Ciberseguridad en el Sector Inmobiliario: El Blanco Olvidado del Fraude

Una inmobiliaria coordina el cierre de una compraventa. El comprador recibe, aparentemente de la misma cadena de correos donde ha estado coordinando todo el proceso, instrucciones para transferir la cuota inicial a una nueva cuenta bancaria "por cambios administrativos internos". El comprador transfiere el dinero — a veces sumas que representan los ahorros de toda una vida — sin sospechar nada, porque el correo llegó exactamente en el momento esperado del proceso, con el tono y formato habitual. El dinero desaparece, y ni la inmobiliaria ni el comprador se dan cuenta hasta que alguien pregunta por qué el pago nunca llegó a la cuenta real.

Las transacciones inmobiliarias combinan tres factores que las hacen extraordinariamente atractivas para el fraude: montos de dinero muy altos en comparación con transacciones comerciales típicas, procesos con múltiples partes involucradas por correo electrónico (comprador, vendedor, inmobiliaria, notaría, entidad financiera), y una industria que, en comparación con sectores como el financiero, ha invertido históricamente mucho menos en ciberseguridad — precisamente porque no siempre se percibe a sí misma como un objetivo tecnológico.

Esta combinación es exactamente el mismo patrón que describimos en nuestra guía sobre el fraude del CEO / BEC, pero aplicado a un contexto donde la víctima final suele ser una persona natural, sin los recursos legales o de seguros que una empresa grande tendría disponibles para mitigar la pérdida.

Compromiso del correo de la inmobiliaria o notaría, donde el atacante obtiene acceso a la cuenta real mediante phishing o credenciales filtradas, y desde ahí monitorea conversaciones activas de compraventa esperando el momento exacto para insertar instrucciones de pago fraudulentas.

Suplantación de dominio similar, creando una dirección de correo casi idéntica a la de la inmobiliaria o notaría real (con una letra cambiada, por ejemplo), y uniéndose a la cadena de correo en un momento crítico del proceso.

Vigilancia de anuncios públicos de propiedades, donde el atacante identifica transacciones en curso a través de portales inmobiliarios públicos y contacta directamente a compradores potenciales haciéndose pasar por el agente o la inmobiliaria.

A diferencia de un correo de phishing genérico que llega sin contexto, estos ataques se sincronizan deliberadamente con el momento exacto en que la víctima espera recibir instrucciones de pago — justo antes del cierre, cuando la presión de tiempo y la ansiedad natural de una transacción de alto valor reducen la probabilidad de que la víctima se detenga a verificar cuidadosamente.

Verificación telefónica obligatoria para cualquier cambio de datos bancarios, usando un número ya conocido y verificado previamente, nunca el que aparece en el correo con las nuevas instrucciones — el mismo principio de verificación fuera de banda que aplica contra cualquier variante de BEC.

Autenticación multifactor en todas las cuentas de correo del personal que participa en la coordinación de transacciones, reduciendo significativamente el riesgo de que una cuenta legítima sea comprometida directamente.

Comunicar proactivamente a compradores y vendedores que la inmobiliaria nunca cambiará datos bancarios por correo electrónico sin verificación telefónica adicional, estableciendo esa expectativa desde el inicio del proceso.

Monitoreo de dominios similares al propio, para detectar tempranamente si alguien ha registrado un dominio diseñado para suplantar a la inmobiliaria en un ataque dirigido.

**Capacitación específica en reconocimiento de phishing y spear phishing** para todo el personal que maneja comunicación relacionada con transacciones de alto valor.

Confirma siempre cualquier instrucción de pago o cambio de datos bancarios mediante una llamada telefónica al número que ya conocías antes de que empezara la transacción, nunca al que aparece en el correo con las nuevas instrucciones. Desconfía de cualquier cambio repentino en los datos de pago, especialmente si llega con lenguaje de urgencia cerca de la fecha de cierre.