Ciberseguridad para inmobiliarias: guía práctica para proteger tu agencia

La ciberseguridad para inmobiliarias ya forma parte del trabajo comercial diario. Una agencia maneja documentos de identidad, teléfonos, direcciones, contratos, llaves digitales, datos bancarios y conversaciones sobre operaciones de alto valor. Esa combinación convierte el correo, el CRM y los dispositivos del equipo en objetivos atractivos para el fraude.

El riesgo no se limita a “que entre un virus”. Un atacante puede suplantar a un cliente, modificar la cuenta bancaria de una reserva, acceder a documentación privada o utilizar un buzón comprometido para engañar a compradores y propietarios. El impacto alcanza al dinero, a la continuidad del negocio y a la confianza construida por la marca.

La exposición aumenta cuando una agencia combina formularios web, mensajería instantánea, visitas, anuncios y publicación en portales inmobiliarios. La solución no es frenar la digitalización, sino aplicar controles sencillos y repetibles en cada punto del proceso.

Esta guía propone un sistema práctico para reducir los incidentes más probables: verificar solicitudes de pago, proteger accesos, limitar permisos, cifrar información sensible, preparar copias de seguridad y saber qué hacer si algo falla.

Por qué una inmobiliaria necesita un plan de ciberseguridad

Los ataques más peligrosos no siempre parecen técnicos. El fraude BEC —compromiso del correo empresarial— aprovecha la confianza y la urgencia: el mensaje parece proceder de gerencia, una notaría, un proveedor o un cliente y solicita una transferencia, un cambio de cuenta o el envío inmediato de documentación.

Una inmobiliaria debería considerar críticos al menos estos activos:

• Correo corporativo: concentra comunicaciones, restablecimientos de contraseña y documentos adjuntos.
• CRM y agenda: contienen datos personales, notas comerciales e historial de contactos.
• Web y formularios: reciben información de compradores, vendedores y demandantes.
• Carpetas compartidas: almacenan contratos, fotografías, notas simples y copias de identidad.
• Procesos de pago: incluyen reservas, honorarios, facturas y cambios de cuenta bancaria.

La mejor defensa no depende de una sola herramienta: combina verificación humana, accesos protegidos, copias recuperables y un equipo que sabe detener una operación sospechosa.

Cómo detectar el fraude por correo antes de que afecte a una operación

El correo fraudulento busca que la víctima actúe antes de comprobar. Por eso conviene establecer una regla interna: ningún cambio de cuenta bancaria se acepta únicamente por email. La agencia debe verificarlo mediante un segundo canal ya conocido, como una llamada al número registrado previamente.

Antes de abrir un enlace o tramitar una petición económica, revisa cinco señales:

1. El dominio se parece al real, pero cambia una letra, un guion o la extensión.
2. El mensaje introduce urgencia, confidencialidad o presión para saltarse el procedimiento.
3. La firma parece correcta, pero el tono o la forma de pedir la acción no son habituales.
4. El enlace visible no coincide con el destino real al pasar el cursor sobre él.
5. Se solicita una contraseña, un código de doble factor o un archivo sensible sin contexto suficiente.

El INCIBE explica cómo funciona el fraude BEC y recomienda procedimientos de verificación, alertas para transacciones inusuales y un plan de respuesta conocido por el equipo.

Protege los datos de clientes y propietarios

La protección debe comenzar preguntando qué información necesita realmente la agencia, dónde se guarda y quién puede verla. Cuantos menos duplicados existan en móviles, correos y carpetas personales, menor será la superficie de exposición.

Las medidas mínimas deberían incluir:

• Doble factor de autenticación en correo, CRM, almacenamiento y administración web.
• Una cuenta individual por persona, sin contraseñas compartidas.
• Permisos limitados según función y retirada inmediata de accesos cuando alguien deja el equipo.
• Cifrado del dispositivo y bloqueo automático de pantalla.
• Copias de seguridad separadas, periódicas y sometidas a pruebas de restauración.
• Actualizaciones del sistema, navegador, plugins y aplicaciones de trabajo.

La AEPD ofrece orientación específica para pymes, con herramientas para documentar tratamientos, preparar cláusulas y revisar medidas de seguridad. Estas ayudas facilitan el trabajo, pero deben adaptarse a los datos y riesgos reales de cada agencia.

Qué hacer ante un incidente de seguridad

Un plan breve y conocido reduce decisiones improvisadas. Si se detecta un acceso extraño, un pago desviado o una filtración, la prioridad es contener el incidente sin destruir evidencias.

1. Detener la operación afectada y avisar al responsable interno.
2. Aislar el dispositivo o cerrar sesiones comprometidas sin borrar mensajes ni registros.
3. Cambiar credenciales desde un equipo seguro y revocar sesiones activas.
4. Contactar de inmediato con la entidad bancaria cuando haya transferencias o cambios de cuenta.
5. Conservar cabeceras de correo, capturas, horas, dominios y movimientos realizados.
6. Solicitar ayuda especializada y valorar las obligaciones de comunicación de una brecha de datos.

El protocolo debe indicar quién toma decisiones, quién habla con clientes, dónde están las copias, cómo se recuperan los sistemas y qué contactos externos deben activarse. Ensayarlo una vez al año permite descubrir fallos antes de una emergencia real.

Checklist de ciberseguridad para inmobiliarias

• Activa el doble factor en todos los servicios críticos.
• Revisa cada trimestre las cuentas, permisos y dispositivos conectados.
• Verifica por un segundo canal cualquier cambio bancario.
• Evita enviar documentación sensible a cuentas personales.
• Comprueba que las copias puedan restaurarse.
• Forma al equipo con ejemplos reales de phishing y suplantación.
• Define un canal para informar de errores sin ocultarlos por miedo.
• Mantén por escrito el protocolo de respuesta y los contactos esenciales.

La ciberseguridad no exige convertir a cada agente en especialista. Exige que las acciones delicadas tengan controles claros y que todo el equipo sepa reconocer cuándo debe parar, verificar y pedir ayuda. Aplicadas con constancia, estas medidas reducen el riesgo sin entorpecer la actividad comercial.