Las ciberestafas digitales se consolidaron como una de las principales amenazas de ciberseguridad durante la primera mitad de 2026 en España. Según el informe semestral de Gen Threat Labs, los atacantes han centrado buena parte de su actividad en abusar de la confianza que los usuarios depositan en servicios cotidianos como reservas de hoteles, mensajería, compras online, soporte técnico, anuncios, herramientas de desarrollo y agentes de inteligencia artificial.
El patrón común es claro: los ciberdelincuentes no se limitan a enviar enlaces maliciosos o distribuir malware, sino que insertan sus ataques dentro de contextos que ya resultan familiares. Un mensaje sobre una reserva real, una alerta falsa de soporte técnico, una tienda online aparentemente legítima o una sesión autorizada en una aplicación de mensajería pueden ser suficientes para que la víctima baje la guardia.
Gen señala que, entre enero y junio de 2026, las estafas representaron casi el 46 % de las detecciones de amenazas en su telemetría, convirtiéndose en la categoría dominante. El malvertising, o publicidad maliciosa, también tuvo un peso destacado, con cerca del 30 % de las detecciones.
Soporte técnico falso y tiendas fraudulentas
Una de las modalidades más activas fueron las estafas de soporte técnico. Gen bloqueó 20,3 millones de ataques de este tipo en el primer semestre, un 61,6 % más que en la segunda mitad de 2025. Estas campañas suelen simular errores de Windows, alertas de seguridad o problemas de facturación para convencer a la víctima de que llame a un falso servicio de asistencia.
El informe destaca que muchos de estos fraudes se apoyaron en infraestructura aparentemente legítima, como dominios alojados en servicios cloud, páginas que imitaban Windows Defender o documentos PDF con supuestos recibos de PayPal o Microsoft 365. El objetivo era hacer que el engaño pareciera una situación normal de soporte, pago o atención al cliente.
Las tiendas online falsas también crecieron de forma notable. Gen bloqueó 114,2 millones de ataques relacionados con e-shops fraudulentas, un 109 % más que en el semestre anterior. Muchas de estas campañas utilizaban anuncios online para dirigir a los usuarios hacia páginas de compra desechables, donde se les empujaba hacia formularios de pago falsos o procesos de checkout fraudulentos.
Suplantación de organismos y familiares
Las estafas de suplantación también aumentaron con fuerza. Los fraudes que imitaban a organismos gubernamentales alcanzaron casi un millón de ataques bloqueados, con un incremento del 387 %. Este tipo de campaña se apoya en la presión oficial, el miedo a sanciones y la urgencia para forzar a la víctima a actuar.
También crecieron las estafas de suplantación familiar, con un aumento del 454,2 %. Estas campañas se concentraron especialmente en Europa occidental y llegaron sobre todo a usuarios de Android mediante SMS. Aunque algunos casos documentados ya incorporan clonación de voz mediante IA, la base sigue siendo la ingeniería social tradicional: urgencia, emoción y un mensaje que parece proceder de alguien conocido.
Publicidad maliciosa y fraudes a gran escala
El malvertising se ha convertido en una vía de distribución clave para los estafadores. En una investigación sobre anuncios fraudulentos, Gen analizó 14,57 millones de anuncios en la UE y Reino Unido durante 23 días. De ellos, 4,51 millones estaban relacionados con estafas, casi uno de cada tres.
Estos anuncios generaron más de 304 millones de impresiones en menos de un mes. La conclusión es que las campañas no necesitan permanecer activas durante mucho tiempo: basta con que parezcan legítimas el tiempo suficiente para llegar a una audiencia amplia.
Los atacantes emplean cuentas publicitarias desechables, dominios temporales, presentaciones engañosas y campañas de corta duración para esquivar retiradas y bloqueos.
La IA añade una nueva capa de riesgo
El informe también subraya el papel creciente de la inteligencia artificial. El riesgo ya no se limita a textos de phishing mejor redactados, voces sintéticas o vídeos manipulados. Los agentes de IA pueden navegar, instalar paquetes, leer archivos, conectarse a servicios, escribir en sistemas o ejecutar comandos con permisos concedidos por el usuario.
Esto cambia el modelo de seguridad. Una instrucción maliciosa, un paquete comprometido o una mala interpretación del contexto pueden convertirse en una acción real si el agente tiene permisos suficientes.
Gen advierte de que la protección debe situarse en el momento en que el agente va a actuar: antes de instalar software, acceder a archivos, abrir conexiones o ejecutar comandos. La seguridad de la IA pasa así de controlar solo las respuestas del modelo a vigilar también sus acciones.
Datos expuestos y riesgo financiero
La identidad digital fue otro de los grandes frentes del semestre. Gen registró 18.618 eventos de brecha que afectaron a sus usuarios, un 94,5 % más que en la segunda mitad de 2025. Las alertas de brecha enviadas a usuarios de Norton y LifeLock con una fuente identificada crecieron un 628,1 %, hasta superar los 3,3 millones.
El informe destaca que el riesgo no termina cuando se filtra un dato. La información expuesta puede utilizarse más tarde en phishing, intentos de recuperación de cuentas, validaciones de identidad, solicitudes de crédito o fraudes financieros.
En junio, las alertas de consultas de crédito alcanzaron las 460.000. Además, Gen bloqueó casi un millón de ataques de web skimming, una técnica que roba datos de tarjetas en páginas de pago manipuladas.
La confianza como nuevo campo de batalla
La principal conclusión del informe es que los atacantes están explotando la confianza. No buscan únicamente vulnerabilidades técnicas, sino momentos en los que el usuario, la empresa o una plataforma ya han decidido confiar.
Un mensaje de hotel, una tienda online, un anuncio, una cuenta vinculada, una actualización de software o un agente de IA pueden ser legítimos. Precisamente por eso son atractivos para los atacantes.
La defensa ya no puede depender solo de detectar enlaces extraños o errores evidentes. Debe evaluar si una acción tiene sentido en su contexto, si una solicitud de pago es coherente, si una sesión vinculada debería seguir activa o si un agente de IA debería ejecutar una acción concreta.
El semestre confirma que las amenazas digitales avanzan hacia cadenas más complejas, donde se mezclan estafas, malware, identidad, privacidad, IA y fraude financiero. Proteger a los usuarios implica proteger también los sistemas de confianza que utilizan a diario.
