La banca concentra el 34% de los incidentes de ciberseguridad registrados en operadores esenciales e importantes en 2025, en un contexto de creciente riesgo digital y fraude bancario.
La banca se sitúa en el centro del nuevo mapa de riesgo digital. En 2025, INCIBE atendió 401 incidentes en operadores esenciales e importantes, de los cuales el 34% se concentró en la banca, por delante de sectores como transporte, energía, infraestructuras de mercados financieros, aseguradoras y fondos de pensiones.
Así lo recoge el whitepaper ejecutivo “Ciberresiliencia 2026: Del ataque inevitable a la respuesta competitiva”, elaborado por Qaracter. Analiza cómo la digitalización, el fraude, la regulación europea, la IA, el ciberseguro, el talento y la gestión de terceros están redefiniendo la agenda de riesgo en banca, seguros y grandes corporaciones.
El informe parte de una premisa clara: el ataque ya no es una hipótesis remota, sino un escenario de gestión. INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un 26% más que en 2024, en un contexto en el que el impacto de un incidente ya no se mide solo por datos comprometidos, sino también por interrupciones de servicio, clientes sin atención, proveedores afectados y pérdida de confianza.
La app bancaria, infraestructura crítica de confianza
La digitalización financiera ha elevado el nivel de exposición. Según el I Barómetro Qaracter 2025 sobre Tendencias y Digitalización en Banca y Seguros, el 95% de los clientes tiene instalada la app de su banco principal y el 85% la utiliza semanalmente o con mayor frecuencia, consolidándola como una infraestructura crítica de relación, operación y confianza.
Esto implica que cualquier fallo técnico, brecha de seguridad, suplantación de marca o interrupción del servicio puede impactar directamente en la experiencia del cliente y en la reputación de la entidad. Aunque la digitalización aporta eficiencia, control y satisfacción, también redistribuye el riesgo: el fraude puede activarse mediante ingeniería social, SMS, correos electrónicos, llamadas, webs clonadas, deepfakes o suplantación de marca.
El whitepaper subraya así una paradoja clave, casi nueve de cada diez usuarios se sienten bastante o muy seguros operando online con su banco, pero esa confianza convive con una exposición creciente y exige mecanismos de alerta, reporte y acompañamiento más visibles.
La brecha del fraude ya no está solo en la detección
Uno de los puntos más relevantes del informe está en la respuesta del cliente ante el fraude. Entre quienes recibieron un intento de suplantación bancaria, el 51,4% no lo comunicó a su entidad, lo que limita la capacidad de aprendizaje del banco, reduce la detección temprana y convierte la experiencia del cliente en un punto ciego operativo.
Según Qaracter, el fraude no termina cuando se detecta un intento de engaño, sino cuando el cliente sabe qué hacer, la entidad recibe la señal y el sistema puede contener el daño y aprender. Por eso, no basta con invertir en detección, alertas o modelos antifraude si los canales de reporte no son claros y útiles para el usuario.
En este contexto, la intervención humana sigue siendo decisiva. Datos de la compañía muestran que el 44,6% de los clientes prefiere recibir una llamada personalizada ante un problema y el 40,4% opta por un chat con un agente humano, frente al 15% que elegiría un asistente virtual. La tecnología debe acelerar la respuesta, pero sin sustituir la confianza que aporta el acompañamiento humano en momentos críticos.
De la política formal a la evidencia operativa
La presión regulatoria también está elevando el estándar. DORA, NIS2, Basilea III y PSD3 están desplazando el foco desde la política formal hacia la evidencia operativa. DORA exige al sector financiero marcos estructurados de gestión del riesgo TIC, notificación de incidentes, pruebas de resiliencia y control de proveedores críticos. NIS2 amplía el marco europeo de ciberseguridad a 18 sectores críticos y refuerza la responsabilidad de la dirección, la gestión de riesgos, la seguridad de la cadena de suministro, la cooperación y la notificación de incidentes significativos.
Basilea III y PSD3 completan este nuevo marco. Basilea III empuja a una medición más robusta de riesgos y capital, mientras que PSD3 refuerza la seguridad, la protección del consumidor, la autenticación y la armonización de pagos y open finance. En conjunto, el mensaje es claro: innovación sí, pero con evidencia de control, proporcionalidad y resiliencia.
IA, ciberseguro, talento y terceros: palancas de madurez
El informe identifica cuatro palancas críticas de madurez para 2026: inteligencia artificial, ciberseguro, talento y gestión de terceros. La IA permitirá acelerar la detección de anomalías, priorizar incidentes y anticipar patrones de fraude, siempre que se apoye en una gobernanza clara, con trazabilidad, supervisión humana y seguridad del dato.
El ciberseguro, por su parte, dejará de ser una cobertura adquirida al final del proceso para convertirse en una herramienta de gestión del riesgo residual, cada vez más ligada a evidencias como autenticación multifactor, backups probados, segmentación, continuidad y control de proveedores.
La gestión del talento y del ecosistema de terceros completa la agenda. La ciberresiliencia exigirá perfiles híbridos capaces de conectar negocio, riesgo, tecnología, datos y experiencia de cliente, además de un seguimiento más activo de proveedores críticos. En este nuevo escenario, la respuesta será la nueva ventaja competitiva: reducir exposición, resistir interrupciones, responder con confianza y reequilibrar el riesgo residual.
“La ciberresiliencia ya no es solo tecnología: es negocio, confianza y gobierno. En un entorno donde el riesgo cero no existe, la diferencia estará en saber qué procesos proteger, quién decide bajo presión y cómo responder, comunicar y recuperar con rapidez”, señala Enrique Galván, CEO de Qaracter.