La banca concentra uno de cada tres ciberincidentes en operadores esenciales

La banca se ha convertido en el epicentro del nuevo mapa de riesgo digital. En 2025, INCIBE atendió 401 incidentes en operadores esenciales e importantes, y el 34% se concentró en el sector bancario, por delante de transporte, energía, infraestructuras de mercados financieros, aseguradoras y fondos de pensiones. Así lo recoge el whitepaper “Ciberresiliencia 2026: Del ataque inevitable a la respuesta competitiva”, elaborado por Qaracter, que analiza cómo la digitalización, el fraude, la regulación europea, la IA, el ciberseguro, el talento y la gestión de terceros están redefiniendo la agenda de riesgo en las grandes corporaciones.

El documento parte de la premisa de que el ataque ya no es remoto, es inevitable. En 2025, INCIBE gestionó 122.223 incidentes de ciberseguridad, un 26% más que en 2024, en un contexto donde el impacto ya no se mide solo por datos comprometidos, sino por interrupciones de servicio, clientes sin atención, proveedores afectados y pérdida de confianza.

El fraude online alcanzó 45.445 casos, y el phishing sumó 25.133 incidentes, consolidando un entorno de riesgo cada vez más sofisticado.

 

La app bancaria como nueva infraestructura crítica de confianza

La digitalización financiera ha elevado la exposición del sector. Según el I Barómetro Qaracter 2025, el 95% de los clientes tiene instalada la app de su banco principal y el 85% la utiliza semanalmente o más. Esto convierte la app en una infraestructura crítica de relación y operación.

Cualquier fallo técnico, brecha de seguridad, suplantación de marca o interrupción del servicio impacta directamente en la experiencia del cliente y en la reputación de la entidad.

El fraude, además, se activa por múltiples vías, incluida la ingeniería social, SMS y llamadas, correos electrónicos, webs clonadas, deepfakes y suplantación de marca.

El whitepaper destaca que casi nueve de cada diez usuarios se sienten seguros operando online, pero esa confianza convive con una exposición creciente que exige mecanismos de alerta y acompañamiento más visibles.

Uno de los hallazgos más relevantes del informe es el comportamiento del usuario ante el fraude. Entre quienes recibieron un intento de suplantación bancaria, el 51,4% no lo comunicó a su entidad. Esto limita la capacidad de aprendizaje del banco, reduce la detección temprana y convierte la experiencia del cliente en un punto ciego operativo.

Qaracter subraya que el fraude no termina cuando se detecta, sino cuando el cliente sabe qué hacer, la entidad recibe la señal y el sistema puede contener el daño y aprender.

La intervención humana sigue siendo decisiva. El 44,6% prefiere una llamada personalizada, el 40,4% opta por un chat con un agente y solo el 15% elegiría un asistente virtual. La tecnología debe acelerar la respuesta, pero sin sustituir la confianza humana en momentos críticos.

 

La regulación eleva el estándar

Finalmente, el whitepaper destaca que la presión regulatoria está transformando la ciberseguridad en banca y seguros. Las normas que más influyen son:

-     DORA. Exige marcos estructurados de gestión del riesgo TIC, notificación de incidentes, pruebas de resiliencia y control de proveedores críticos.

-     NIS2. Amplía la ciberseguridad a 18 sectores críticos, refuerza la responsabilidad de la dirección y exige mayor control de la cadena de suministro.

-     Basilea III y PSD3. Impulsan una medición más robusta de riesgos, refuerzan la autenticación, la protección del consumidor y la armonización de pagos y open finance.

El informe identifica como pilares clave la inteligencia artificial, que acelerará la detección de anomalías, priorización de incidentes y anticipación de patrones de fraude, siempre con gobernanza, trazabilidad y supervisión humana; el ciberseguro, que dejará de ser una cobertura final para convertirse en una herramienta de gestión del riesgo residual, ligada a evidencias como MFA, backups probados, segmentación y continuidad; el talento, que exigirá perfiles híbridos capaces de conectar negocio, riesgo, tecnología, datos y experiencia de cliente; y la gestión de terceros, que requiere un seguimiento más activo de proveedores críticos y una visión integral del ecosistema.