ARTÍCULO DE ANÁLISIS CRÍTICO

El dinero no desaparece

Ciberestafa, cuentas mula y el blanqueo industrial que España aún tolera

Toda estafa digital consumada exige un desplazamiento patrimonial. La cuenta receptora no es un detalle técnico: es la infraestructura del delito.

Datos oficiales consultados hasta el 19 de agosto de 2026

España | Reino Unido | Prevención del blanqueo | Fraude APP

ANÁLISIS | CIBERFRAUDE Y BLANQUEO

La discusión pública se concentra en el engaño sufrido por la víctima y deja en segundo plano la pieza que hace rentable la estafa: una cuenta, un monedero o una plataforma capaz de recibir, fragmentar y sacar el dinero. España dispone de normas exigentes contra el blanqueo, pero mantiene un reparto de costes que permite que el banco receptor de una cuenta mula soporte muy poco del daño que su infraestructura hizo posible.

No hay ciberestafa consumada sin desplazamiento patrimonial

Una ciberestafa no se consuma cuando llega un SMS falso, cuando se clona una web o cuando una voz impostada convence a alguien de que habla con su banco. Se consuma cuando el patrimonio cambia de manos: el dinero sale del bolsillo de la víctima y entra en una infraestructura controlada por el delincuente. El engaño es el método; el desplazamiento patrimonial es el resultado; la ocultación y la rápida circulación de los fondos son la fase que permite disfrutar del botín.

Conviene afinar la tesis para hacerla jurídicamente resistente. No todo cibercrimen mueve dinero: un acceso ilícito, una amenaza o un ataque de denegación de servicio pueden no producir un desplazamiento patrimonial. Pero toda ciberestafa consumada sí lo produce. Y aunque no siempre intervenga una cuenta bancaria tradicional —pueden usarse tarjetas, criptoactivos, cuentas de juego o plataformas de pago—, siempre existe un punto de recepción o tránsito. En una proporción decisiva de los casos, ese punto es una cuenta mula: una cuenta abierta o utilizada a nombre de un tercero, con identidad robada, falsa, prestada o reclutada, que recibe fondos y los reexpide antes de que la víctima, el banco o la policía puedan reaccionar.^[2][13]

Por eso, hablar de ciberestafa sin hablar de blanqueo es contar solo la mitad del delito. El fraude genera el activo ilícito; la red de mulas lo recoge, lo estratifica y lo aleja de su origen. A veces el dinero no llega a adquirir una apariencia plenamente lícita y la conducta encaja mejor en la recepción, transferencia u ocultación de efectos del delito. Pero desde la perspectiva preventiva —la que obliga a bancos, entidades de pago y proveedores de dinero electrónico— la señal es la misma: fondos incompatibles con el perfil del titular, entradas y salidas rápidas, fragmentación, múltiples contrapartes y una cuenta cuya operativa carece de sentido económico propio.

Las cifras ya no permiten hablar de casos aislados

En 2025, las Fuerzas y Cuerpos de Seguridad registraron 488.426 ciberdelitos en España. Casi nueve de cada diez —429.677— fueron fraudes informáticos. Aumentaron un 4% respecto de 2024 y la cibercriminalidad alcanzó el 19,8% de toda la delincuencia registrada. Hubo 383.285 víctimas. Solo el 14,6% de los hechos conocidos figuró como esclarecido, pese a que la tasa mejoró. La foto anual importa, pero la tendencia larga importa más: las estafas informáticas son hoy más de seis veces las 70.178 registradas en 2016.^[1]

El salto más revelador aparece en la inteligencia financiera. En 2024, las comunicaciones por indicio analizadas por el Sepblac pasaron de 13.854 a 24.320: un incremento del 76% en un solo año. Casi el 80% de esas comunicaciones quedó vinculado al fraude y a las cuentas mula, veinte puntos porcentuales más que en 2023. El nuevo formato agregado estrenado por el supervisor permitió que solo 26 sujetos obligados declararan más de 30.000 cuentas, 1,5 millones de operaciones y un importe superior a 700 millones de euros.^[2]

En 2025, las comunicaciones por indicio bajaron un 11%, hasta 21.667. El dato impide fingir una línea ascendente perfecta, pero no desmiente la magnitud del cambio: el nivel seguía siendo aproximadamente un 56% superior al de 2023. Además, las comunicaciones de proveedores de servicios de moneda virtual crecieron otro 72% en 2025 y las de entidades de pago un 38%. El fenómeno no solo persiste; se desplaza hacia canales más rápidos, baratos y fragmentados.^[3]

La cifra que debería cambiar el debate: más de 30.000 cuentas mula y más de 700 millones de euros comunicados en 2024 por solo 26 sujetos obligados. No es el universo completo; es apenas lo que afloró mediante un procedimiento nuevo de reporte.^[2]

Estas cifras no equivalen a condenas ni demuestran que cada euro fuera definitivamente blanqueado. Son alertas y operaciones sospechosas, y deben leerse como tales. Pero tampoco son ruido estadístico: describen la escala de la infraestructura financiera detectada, el número de cuentas que hubo que reportar y el volumen que circuló por ellas. Cuando un supervisor crea un formulario específico para cuentas mula es porque el problema dejó de ser episódico y se volvió industrial.

Los bancos lo saben porque la ley les obliga a saberlo

La afirmación de que los bancos “no podían saberlo” choca con su posición jurídica y tecnológica. La Ley 10/2010 incluye expresamente a las entidades de crédito, de pago y de dinero electrónico entre los sujetos obligados. Su artículo 17 exige examinar con especial atención, cualquiera que sea su cuantía, toda operación que pueda estar relacionada con blanqueo, y menciona expresamente las operaciones complejas, inusuales, sin propósito económico aparente o con indicios de fraude. El artículo 18 obliga a comunicar sin dilación incluso las tentativas cuando exista indicio o sospecha razonable. Y el artículo 19 impone, como regla, abstenerse de ejecutar la operación sospechosa.^[4]

No se trata de exigir clarividencia. Se trata de exigir que se use la información que la entidad ya posee: quién abrió la cuenta, desde qué dispositivo, con qué documento, qué ingresos declaró, qué patrón de uso tenía antes de recibir decenas de transferencias, cuánto tarda el dinero en salir, cuántas contrapartes aparecen, si existe una alerta de otra entidad y si la conducta coincide con tipologías conocidas. La ley incluso exige aplicaciones informáticas apropiadas para realizar ese examen especial. El conocimiento no es una intuición moral; es una obligación de vigilancia basada en datos.^[4]

Y el propio Sepblac ha documentado las carencias. Sus inspecciones de 2024 califican la apertura de cuantas online (no presenciales) como un problema recurrente: no todos los sujetos emplean videoconferencia o videograbación, o no lo hacen conforme a los requisitos. En entidades de crédito, advierte, las altas remotas sin controles suficientes y sin un conocimiento adecuado del cliente aumentan el número de cuentas mula. El supervisor añade que muchos sujetos obligados presentan debilidades en el conocimiento real del negocio de sus clientes y en los sistemas de alerta capaces de detectar movimientos incoherentes o inusuales. No es una acusación retórica contra “la banca”; es la conclusión publicada por la autoridad española.^[2]

La crítica, por tanto, debe ser precisa: no todos los bancos actúan igual y una entidad no puede impedir todo fraude. Pero el sistema, considerado en conjunto, permite todavía demasiadas cuentas abiertas con identidades endebles, demasiados flujos incompatibles con el perfil del titular y demasiadas salidas instantáneas después de la primera alerta. Cuando la cuenta receptora sobrevive el tiempo suficiente para vaciarse, el control preventivo ha llegado tarde. Y llegar tarde, en pagos instantáneos, equivale con frecuencia a no llegar. A día de hoy, ninguna entidad financiera y de crédito sabe a ciencia cierta cuantas cuentas: son mulas, fantasma, durmientes, etc. y eso no lo podemos permitir.

La coartada de la transferencia “autorizada”

El marco de servicios de pago distingue entre operaciones no autorizadas y operaciones consentidas. Si un tercero ordena una transferencia sin consentimiento, la regla de reembolso protege al cliente salvo fraude o negligencia grave acreditada. Pero en la estafa de pago autorizado —la llamada APP scam en el Reino Unido— el delincuente manipula a la víctima para que sea ella quien valide la transferencia. La autenticación puede ser impecable y el pago seguir siendo delictivo.^[8]

El Banco de España reconoce que la manipulación del ordenante gana peso y ya roza el 80% del número de transferencias fraudulentas en sus datos de supervisión de 2024. También explica por qué la autenticación reforzada no basta: el cliente puede superar correctamente todos los factores de seguridad y, aun así, autorizar una operación nacida del phishing, el vishing, el spoofing o la suplantación. La tecnología verifica quién pulsa el botón; no verifica si la voluntad ha sido capturada mediante engaño.^[5]

Sin embargo, el reparto actual de pérdidas sigue descansando en exceso sobre esa distinción formal. El Banco de España recuerda que las transferencias son irrevocables y que, una vez abonado el dinero, el banco del beneficiario no puede devolverlo sin consentimiento u orden judicial; a la entidad del ordenante se le exige, en esencia, realizar esfuerzos razonables de recuperación. El resultado práctico es conocido: el cliente que fue inducido a autorizar pierde el dinero, mientras el banco receptor de la mula puede haber cobrado por mantener una cuenta que jamás debió operar así.^[8]

Desde octubre de 2025, la verificación gratuita del beneficiario permite comprobar la correspondencia entre el nombre y el IBAN antes de autorizar una transferencia. Es una mejora necesaria. Pero no desactiva una cuenta mula abierta con identidad prestada o robada cuyo nombre coincide perfectamente. Confirmar el nombre evita errores y algunas suplantaciones; no sustituye el análisis de comportamiento, la vigilancia del banco receptor ni la capacidad de congelar fondos en minutos.^[7]

Las reclamaciones muestran el coste humano de esa brecha. En 2025, el Banco de España recibió 30.970 reclamaciones y admitió 10.856. El fraude con tarjetas y transferencias fue la principal causa de las admitidas, cerca del 28%. En el primer cuatrimestre de 2026, las reclamaciones recibidas crecieron más de un 50% interanual, principalmente por pagos realizados en contextos de fraude o estafa. Mientras tanto, en el Espacio Económico Europeo los usuarios soportaron alrededor del 85% de las pérdidas por fraude en transferencias en 2024, precisamente por las estafas que les inducen a iniciar el pago.^[6][12]

El modelo británico que España debería mirar

La referencia que suele recordarse como “ley PCR” no se llama así. Probablemente se trata del PSR, el Payment Systems Regulator británico. Tampoco es una única “ley antimulas”. La base legal está en la sección 72 de la Financial Services and Markets Act 2023, que ordenó al regulador preparar un requisito de reembolso para determinados fraudes de pago. La aplicación concreta llegó mediante la Specific Direction 20 y las reglas de reembolso de Faster Payments, vigentes desde el 7 de octubre de 2024.^[9][10]

El diseño cambia el incentivo económico. En los fraudes APP cubiertos, la víctima suele ser reembolsada en cinco días laborables, con un máximo regulatorio de 85.000 libras por reclamación y protecciones reforzadas para clientes vulnerables. El coste se reparte al 50% entre el proveedor que envió el pago y el proveedor que alojó la cuenta receptora. El propio PSR aclara que, cuando hay una cuenta mula, la operación cubierta es la transferencia inicial entre la víctima y la mula, y que la responsabilidad se comparte entre ambas entidades.^[9]

La virtud del modelo no es solo compensatoria. Obliga al banco receptor a internalizar el coste de una cuenta mula. Si cada fraude que entra por una cuenta mal controlada puede generar una factura, mejorar el alta remota, las alertas de entradas y salidas, el intercambio de inteligencia y la congelación temprana deja de ser un gasto reputacional y se convierte en una necesidad económica. El PSR lo dice sin rodeos: el reparto incentiva a las entidades receptoras a dificultar que los defraudadores sigan manteniendo cuentas.^[9]

Los primeros resultados no prueban que el problema esté resuelto, pero sí que los incentivos importan. En 2025 se reembolsó el 87% del dinero perdido en estafas APP —215 millones de libras— frente al 61% comunicado para 2024. Las empresas de pago habían devuelto 243 millones de libras a víctimas al cierre de 2025 y las reclamaciones incluidas en el régimen descendieron. La evaluación independiente encargada por el regulador concluyó que las políticas habían cumplido ampliamente sus objetivos iniciales y generado beneficios superiores a sus costes en el corto plazo.^[11]

El modelo también tiene límites: no cubre toda modalidad de fraude, contiene excepciones, fija un tope y puede incentivar bloqueos excesivos o exclusión financiera si se aplica sin proporcionalidad. Además, el propio PSR detectó retrasos de bancos receptores al pagar su mitad. Pero esos defectos son discutibles y corregibles. Lo esencial es la regla política: la pérdida no debe recaer casi íntegramente en la persona engañada cuando el dinero atravesó infraestructuras profesionales sujetas a deberes legales de prevención.

Qué debería hacer España

Reembolso obligatorio para el fraude de pago autorizado

España debería establecer un régimen de reembolso rápido para consumidores, microempresas y entidades vulnerables engañadas para autorizar transferencias. La exclusión debe reservarse al fraude del propio reclamante o a una negligencia grave demostrada por la entidad, no presumida por el mero hecho de haber pulsado “aceptar”. La ingeniería social explota confianza, urgencia y suplantación; convertir la autenticación formal en culpa automática de la víctima premia precisamente la técnica del delincuente.

Responsabilidad real del banco receptor

El coste debe repartirse entre la entidad ordenante y la receptora, con posibilidad de elevar la cuota de esta última cuando ignoró señales objetivas: alta remota deficiente, cuenta recién abierta, operativa incompatible con el perfil, múltiples abonos de terceros, salida inmediata, uso anómalo de dispositivos o alertas previas. Sin responsabilidad por recibir el dinero, la lucha contra las mulas seguirá siendo una obligación regulatoria con un incentivo económico demasiado débil.

Congelación y recuperación en tiempo real

El sistema necesita un protocolo único, disponible las veinticuatro horas, que permita notificar una estafa, marcar la cuenta receptora, inmovilizar cautelarmente el saldo durante un plazo breve y encadenar la alerta a las cuentas de segundo y tercer nivel. Debe incluir salvaguardias, trazabilidad, revisión rápida y acceso judicial urgente. En un entorno de transferencias instantáneas, un procedimiento pensado en días es una invitación a que el dinero salga en segundos.

Inteligencia compartida y métricas públicas

Sepblac, Banco de España, entidades y Fuerzas de Seguridad deben compartir indicadores de riesgo y referencias de cuentas en tiempo casi real, con garantías de protección de datos y mecanismos de rectificación. Y el supervisor debería publicar por entidad tasas comparables de fraude enviado y recibido, tiempo de congelación, porcentaje recuperado, cuentas mula cerradas, reincidencia y reembolso. Lo que no se mide por banco termina diluido en una estadística sectorial sin responsables visibles.

Más control al abrir; más cuidado al cerrar

La respuesta no puede ser cerrar masivamente cuentas de jóvenes, migrantes o clientes con ingresos irregulares. Debe reforzarse la identificación remota, limitar temporalmente ciertas capacidades de cuentas nuevas cuando el riesgo lo justifique y revisar manualmente los casos de alto impacto. La prevención eficaz distingue entre identidad robada, mula engañada, persona coaccionada y colaborador consciente. Combatir el blanqueo no autoriza a automatizar la exclusión financiera.

Supervisión con consecuencias

Las obligaciones de los artículos 17, 18 y 19 de la Ley 10/2010 no pueden quedar reducidas a expedientes internos y comunicaciones posteriores al vaciado de la cuenta. Cuando se repitan deficiencias en el conocimiento del cliente, el tratamiento de alertas o la abstención de operaciones, deben existir requerimientos verificables, sanciones disuasorias y responsabilidad de gobierno interno. La prevención no se demuestra por el número de informes enviados después del fraude, sino por el dinero que no llegó a salir.

Conclusión

España no sufre únicamente una epidemia de mensajes falsos. Sufre una economía del fraude que necesita cuentas, bancos, entidades de pago, pasarelas y plataformas para transformar el engaño en dinero disponible. El delincuente diseña la mentira, pero el sistema financiero ejecuta el desplazamiento patrimonial y conserva el rastro. Por eso es el lugar donde la prevención puede ser más eficaz.

Decir que los bancos “lo saben” no significa afirmar que conozcan cada delito concreto antes de que ocurra. Significa algo más sobrio y más grave: conocen el patrón, poseen los datos, están legalmente obligados a examinarlos y el supervisor ha identificado debilidades persistentes en los controles que deberían impedir su explotación. Cuando, pese a ello, la pérdida se carga casi siempre a la víctima porque la transferencia fue formalmente autorizada, el reparto jurídico protege mejor la irrevocabilidad del pago que la integridad del sistema.

El Reino Unido entendió la palanca: hacer que la entidad que aloja la cuenta mula pague una parte del daño. España debería ir en la misma dirección. No por castigar a la banca, sino porque la responsabilidad debe situarse donde existe capacidad real de prevención. El dinero de una ciberestafa no se evapora. Sale de una cuenta, entra en otra y deja señales. Seguir tratando esas señales como un daño inevitable ya no es prudencia: es tolerancia regulatoria.

Fuentes citadas

[1] Ministerio del Interior. Los ciberdelitos representaron en 2025 casi el 20 por ciento de la criminalidad total en España. 10 de julio de 2026.

[2] Sepblac. Memoria de actividades 2024. publicada en 2025.

[3] Sepblac. Datos de actividad como Unidad de Inteligencia Financiera 2025. datos actualizados a 10 de febrero de 2026.

[4] Boletín Oficial del Estado. Ley 10/2010, de prevención del blanqueo de capitales y de la financiación del terrorismo. texto consolidado.

[5] Banco de España. Evolución del fraude en la operativa de pagos (Memoria de Supervisión 2024, recuadro 2.7). 2025.

[6] Banco de España. Servicio de reclamaciones del Banco de España: qué datos deja la Memoria de 2025. 30 de julio de 2026.

[7] Banco de España. Nuevo servicio gratuito de verificación del beneficiario. 7 de octubre de 2025.

[8] Banco de España. Transferencias no autorizadas o ejecutadas incorrectamente. consulta vigente en agosto de 2026.

[9] Payment Systems Regulator. APP scams: reimbursement, 50:50 liability and Specific Direction 20. régimen vigente desde el 7 de octubre de 2024.

[10] UK Parliament. Financial Services and Markets Act 2023, section 72. 2023.

[11] Payment Systems Regulator. Annual report and accounts 2025/26. 2026.

[12] Banco de España / Banco Central Europeo. Informe conjunto de la EBA y el BCE sobre el fraude en los pagos. 15 de diciembre de 2025.

[13] Banco de España. ¿Sabes qué son las cuentas mula?. 30 de mayo de 2024.

Nota metodológica. Las comunicaciones por indicio del Sepblac y las cuentas declaradas bajo el nuevo formato agregado son indicadores preventivos y de inteligencia financiera; no equivalen por sí solos a condenas firmes ni permiten identificar el importe total efectivamente blanqueado.