INCIBE gestionó 122.223 incidentes en 2025: qué dicen (y qué no) las cifras oficiales

INCIBE cerró 2025 con 122.223 incidentes de ciberseguridad gestionados, un 26 % más que el año anterior. El dato forma parte del balance anual que el instituto publicó el 9 de febrero de 2026, y conviene leerlo con calma: por debajo de esa cifra global hay un reparto que dice bastante sobre dónde está el riesgo real para quien factura solo o con un equipo pequeño.

Lo primero es el orden de magnitud. Más de un tercio de todo lo gestionado —45.445 casos— fueron fraudes online, un 19 % más que en 2024. A eso se suman 25.133 casos de phishing. Frente a esos volúmenes, el ransomware, que suele acaparar los titulares por su capacidad de dejar una empresa parada, sumó 392 ataques en todo el año. No es que el ransomware sea inofensivo: es que, en número de incidentes, el grueso del problema está en el fraude y el engaño, no en el secuestro de sistemas. Para un autónomo, esa es la lectura más útil del balance, porque marca por dónde empezar.

Las cifras del balance 2025

El otro dato que INCIBE destacó es el del teléfono 017, su línea de ayuda en ciberseguridad: 142.767 consultas a lo largo del año, un 44,9 % más. Es el crecimiento porcentual más alto de todo el balance, por encima incluso del aumento de incidentes. Puede leerse de dos maneras, y las dos son razonables a la vez: hay más ataques, pero también más gente que sabe que existe un sitio al que llamar cuando algo huele mal. El 017 sigue operativo como recurso público, así que, más allá del dato retrospectivo, es un número que un autónomo puede apuntar hoy.

Madrid concentra el 30 % de los incidentes

Once días después, el 20 de febrero, INCIBE presentó en las jornadas +Ciberseguridad el desglose por comunidades del mismo balance. Madrid concentró el 30 % de los incidentes geolocalizados de España; Cataluña, el 15 %; y Andalucía, el 14 %. Entre las tres suman cerca de seis de cada diez.

En el caso concreto de Madrid, desde la comunidad se registraron 21.931 consultas al 017, un 39 % más, de las cuales un 8 % procedían de empresas. Es un porcentaje empresarial modesto, lo que sugiere que la mayor parte de las llamadas siguen viniendo de particulares, no de negocios. Conviene, eso sí, no sobreinterpretar el reparto geográfico: que Madrid encabece la lista tiene tanto que ver con la concentración de actividad económica, población y sedes empresariales como con una hipotética mayor exposición al ataque. Donde hay más empresas y más movimiento hay, mecánicamente, más incidentes. El mapa no dice que un autónomo madrileño esté más expuesto que uno de otra comunidad; dice dónde se acumula el volumen.

Qué le importa a un autónomo

Estas son cifras agregadas de todo el país, no una radiografía del colectivo de autónomos ni de las micropymes. El balance no separa cuántos de esos 122.223 incidentes golpearon a una empresa pequeña, a una grande o a un particular. Aun así, la fotografía general orienta bastante bien la prioridad.

Si el fraude online y el phishing son, de largo, el vector más frecuente, ahí es donde rinde más cualquier esfuerzo de prevención, que además suele ser el más barato: desconfiar de correos y mensajes que meten prisa, verificar por otro canal antes de pagar una factura o cambiar un número de cuenta, y activar la verificación en dos pasos en el correo, la banca y las herramientas de gestión. Son medidas sin coste que atacan justo la parte del problema que más pesa en las estadísticas. El ransomware, más temido, exige otra capa —copias de seguridad separadas y actualizaciones al día—, pero en términos de probabilidad es un escenario mucho menos habitual que recibir un intento de fraude.

La utilidad de un balance como este es precisamente esa: dimensionar el riesgo con datos oficiales en lugar de con sustos. No hace falta blindar el negocio contra todo a la vez; hace falta empezar por donde de verdad pasan las cosas.

Lo que las cifras no dicen

El balance tiene límites que conviene tener presentes. Es un recuento de incidentes gestionados por INCIBE, no un censo del total de ataques que sufre España: por debajo hay una cifra desconocida de casos que nunca se reportan. Un incremento del 26 % puede reflejar más ataques, más denuncias, mejor detección o las tres cosas mezcladas, y el comunicado no permite despejar cuánto pesa cada factor. Tampoco desglosa el impacto por tamaño de empresa, de modo que, con estos datos, no se puede afirmar qué proporción afectó específicamente a pymes o autónomos.

Ese vacío es relevante por un motivo concreto: sobre él ha circulado por algunos medios una cifra que atribuye a las pymes una proporción concreta de los incidentes. No la reproducimos, y no por descuido: no aparece en el comunicado oficial que aquí se resume, así que darla por buena sería repetir un dato que la fuente no sostiene. Hasta que pueda leerse y citarse literalmente en el informe completo, lo prudente es dejarla fuera. Con lo publicado, lo que sí se sostiene es lo que figura en las tablas: 122.223 incidentes, un fraude que crece, un phishing masivo, un ransomware minoritario en número y un 017 cada vez más consultado.