El informe IOCTA 2026 de Europol advierte de que la inteligencia artificial, el cifrado, los proxies y las criptomonedas están ampliando la capacidad de las redes criminales en Europa.
Europol ha situado la inteligencia artificial en el centro de la nueva evolución del cibercrimen organizado. Su informe ‘Internet Organised Crime Threat Assessment 2026’ (IOCTA 2026) advierte de que las redes criminales están utilizando herramientas tecnológicas cada vez más accesibles para actuar con más rapidez, más escala y más capacidad de ocultación.
La agencia europea describe un escenario en el que el fraude online, el ransomware, la explotación sexual infantil en internet, el uso criminal de criptomonedas y las infraestructuras anónimas avanzan al mismo tiempo. El problema ya no es sólo la sofisticación técnica, sino la velocidad con la que los delincuentes pueden lanzar ataques, personalizarlos y dificultar su rastreo.
Según Europol, el uso de inteligencia artificial permite rebajar la barrera de entrada al delito, automatizar procesos criminales y aumentar la personalización de los ataques. Esa evolución abre una brecha creciente entre la velocidad de actuación de los ciberdelincuentes y la capacidad de respuesta de las fuerzas policiales.
La IA permite ataques más rápidos, personalizados y difíciles de investigar
El informe, de 43 páginas, alerta de que los ciberdelincuentes están explotando herramientas de inteligencia artificial para mejorar la eficiencia y el alcance de sus actividades. Europol señala que estas tecnologías permiten automatizar procesos, generar contenidos más creíbles y ampliar operaciones que antes requerían más tiempo, más medios o más conocimientos técnicos.
Este cambio afecta especialmente al fraude online. La IA generativa facilita la creación de mensajes personalizados, guiones para centros de llamadas fraudulentos, suplantaciones más convincentes y campañas adaptadas al idioma, el contexto y el perfil de la víctima.
Europol describe incluso el uso creciente de bots de voz para filtrar víctimas a escala industrial antes de que intervengan operadores humanos. Este mecanismo permite a los centros de fraude seleccionar objetivos con más eficiencia y dedicar recursos humanos sólo a los casos con más probabilidad de éxito.
La agencia también advierte del desarrollo de sistemas de IA con capacidad de planificación y ejecución autónoma. Aunque su uso criminal está todavía en evolución, Europol sostiene que su adopción puede elevar la amenaza del fraude online a niveles sin precedentes.
El fraude online ya es el área del crimen organizado que más crece
Uno de los puntos más relevantes del IOCTA 2026 es la consideración del fraude online como el área de crimen organizado de crecimiento más rápido. Europol incluye en este bloque las estafas de inversión, especialmente vinculadas a criptomonedas, el fraude del CEO, el soporte técnico falso, las estafas románticas y los ataques contra sistemas de pago.
Estas redes no actúan como grupos aislados, sino como estructuras transnacionales que combinan logística, tecnología, financiación y captación masiva de víctimas. El informe señala que utilizan phishing, publicidad maliciosa y sistemas de ‘anonimización‘ para robar dinero o datos personales.
La publicidad fraudulenta se ha convertido en uno de los vectores más relevantes. Europol advierte de que los delincuentes aprovechan grandes plataformas digitales y herramientas legítimas de marketing para dirigir anuncios falsos a víctimas concretas, especialmente en fraudes de inversión en criptomonedas.
A ese ecosistema se suman las llamadas SIM boxes (granjas de tarjetas SIM), que permiten enviar miles de SMS, llamadas o mensajes en redes sociales para lanzar campañas masivas. Según el informe, estas infraestructuras ayudan a ocultar la identidad y la localización de los delincuentes, y permiten operar contra víctimas de distintos países.
El ransomware se fragmenta: más de 120 marcas activas en 2025
El ransomware sigue siendo una de las principales amenazas en la Unión Europea. Europol observó en 2025 más de 120 marcas activas de ransomware, en un ecosistema cada vez más fragmentado, inestable y competitivo.
El informe destaca que el modelo de extorsión ha cambiado. En los primeros años, la presión se centraba en cifrar los datos y exigir un pago para recuperarlos. Ahora, muchas redes priorizan la amenaza de publicar información robada, porque las empresas suelen estar mejor preparadas para restaurar sistemas, pero no para asumir la exposición pública de sus datos.
Europol también señala la expansión del ransomware-as-a-service (RaaS), un modelo en el que grupos criminales ofrecen plataformas, herramientas, infraestructura, negociación con víctimas y sitios de filtración de datos para que otros delincuentes puedan ejecutar ataques a cambio de un porcentaje del rescate.
Este mercado funciona ya como una economía criminal de servicios. Los afiliados pueden contratar capacidades técnicas, acceder a malware, comprar credenciales robadas o utilizar infraestructuras preparadas para ocultar el origen del ataque.
La frontera entre cibercrimen y amenazas híbridas se difumina
El IOCTA 2026 introduce además una advertencia de seguridad más amplia: los actores híbridos utilizan cada vez más redes cibercriminales como intermediarios para operaciones de desestabilización.
Europol señala que estas redes pueden ser empleadas para ataques de denegación de servicio (DDoS), intrusiones, robo de datos o campañas de ransomware contra objetivos estratégicos. En algunos casos, los delincuentes actúan como intermediarios conscientes; en otros, pueden ser utilizados sin conocer la finalidad última de la operación.
El informe cita como ejemplo la actividad de grupos prorrusos como NoName057(16), vinculado a ataques DDoS contra objetivos públicos y privados. En la operación Eastwood, coordinada por Europol y Eurojust, participaron 19 países, se interrumpieron más de 100 servidores y se notificó a más de 1.000 simpatizantes su posible responsabilidad legal.
Este punto es relevante porque desplaza el cibercrimen del ámbito puramente económico al terreno de la seguridad nacional. La misma infraestructura que sirve para extorsionar empresas puede ser utilizada para presionar instituciones, servicios públicos o sectores estratégicos.
Cifrado, proxies y criptomonedas complican la respuesta policial
Europol identifica tres grandes elementos que dificultan las investigaciones: el cifrado extremo a extremo, los proxies residenciales y las criptomonedas. La combinación de estos factores permite a los delincuentes ocultar comunicaciones, enmascarar direcciones IP y mover dinero con mayor opacidad.
El informe advierte de que las plataformas cifradas generan puntos ciegos para los investigadores, porque dificultan la identificación de sospechosos y la corroboración de pruebas. A ello se suman las barreras jurisdiccionales y las políticas de conservación de datos, que muchas veces impiden acceder a la información a tiempo.
Los proxies residenciales permiten disfrazar tráfico malicioso como si procediera de conexiones domésticas legítimas. Esto complica la atribución del ataque, retrasa las investigaciones y facilita campañas de fraude, DDoS o extracción masiva de datos.
En el terreno financiero, las criptomonedas siguen siendo el método preferente en ataques de ransomware. Europol subraya el uso creciente de monedas de alta opacidad, mezcladores, servicios en jurisdicciones extraterritoriales y puentes entre cadenas de bloques para mover fondos y dificultar su trazabilidad.
La explotación sexual infantil online aumenta y la IA agrava el problema
El informe dedica un bloque específico a la explotación sexual infantil online, uno de los apartados más sensibles del IOCTA 2026. Europol advierte de que los agresores se adaptan con rapidez a las nuevas tecnologías, tanto para ampliar la producción y distribución de material como para evitar la detección policial.
El informe también alerta del aumento de material generado por inteligencia artificial, que complica la identificación de víctimas reales, el análisis forense y la respuesta regulatoria. Además, Europol señala que las aplicaciones con cifrado extremo a extremo se han convertido en un entorno destacado para el contacto, el intercambio y la organización de agresores.
La agencia advierte de una evolución especialmente grave: la monetización del material de abuso sexual infantil. Ya no se trata sólo de comunidades cerradas basadas en relaciones de confianza entre agresores, sino de plataformas que buscan beneficios económicos y nuevos modelos de extorsión.
Europol reclama más cooperación, más acceso a datos y más capacidades tecnológicas
El diagnóstico de Europol es claro: las fuerzas policiales deben cerrar la brecha de velocidad con los delincuentes. Para ello, el informe plantea la necesidad de invertir en capacidades de inteligencia artificial, mejorar la cooperación transfronteriza y reforzar el acceso legal a datos conservados por proveedores de servicios digitales.
La agencia sostiene que la respuesta policial no puede basarse únicamente en operaciones puntuales de desmantelamiento, porque los mercados criminales se recomponen con rapidez. Cuando una plataforma cae, los usuarios migran a otras, aparecen foros sucesores y la infraestructura se reorganiza en pocas semanas.
Europol también insiste en la colaboración con el sector privado, especialmente con proveedores de servicios online, plataformas digitales, entidades financieras y empresas tecnológicas. Sin acceso oportuno a datos, los investigadores pierden capacidad para identificar sospechosos, reconstruir operaciones y prevenir ataques inminentes.
El informe IOCTA 2026 presenta así un mapa del cibercrimen europeo en el que la inteligencia artificial, la automatización, el cifrado, las criptomonedas y los servicios criminales bajo demanda están transformando la amenaza en una industria más rápida, más rentable y más difícil de perseguir.
Fuente:estrelladigital
