Filtración de datos de Berkadia de 2026

Los tipos de datos verificados son direcciones de correo electrónico, empleadores, nombres, números de teléfono y direcciones físicas. Aunque estos campos no contienen directamente datos de cuentas financieras, son valiosos para la ingeniería social dirigida en entornos empresariales. Cuando se conocen la empresa con la que está vinculada una persona, su nombre, su número de teléfono y su dirección, los mensajes falsos sobre financiación o documentos pueden parecer más personalizados.

En los procesos de financiación de inmuebles comerciales son habituales las comunicaciones sobre documentos, pagos, firmas electrónicas, consultoría y contratos, por lo que los atacantes pueden aprovechar estos temas. Aunque el conjunto de datos verificado no incluya un expediente crediticio ni una cuenta bancaria, la información de contacto puede aportar suficiente contexto para simular que hay una transacción en curso. Por tanto, el riesgo está más relacionado con el fraude por correo electrónico empresarial y los intentos de desviar el envío de documentos que con la toma de control directa de una cuenta.

La fecha verificada del incidente es el 19 de marzo de 2026 y el alcance verificado de los datos consultables es de 305 216 direcciones de correo electrónico únicas. Esta cifra no significa que cada fila corresponda a una persona distinta. En los sistemas corporativos de gestión de clientes y desarrollo de negocio, una misma persona puede estar vinculada a varias empresas, oportunidades, transacciones o registros de comunicaciones. Por ello, deben distinguirse el número de filas, el de registros comerciales y el de direcciones de correo electrónico únicas.

Este registro no afirma que se hayan filtrado tarjetas de pago, cuentas bancarias, expedientes de solicitud de crédito, importes de inversión, registros fiscales, contraseñas, sesiones de cuenta ni documentos oficiales de identificación. El alcance verificado se limita a los campos de contacto y empleador. El riesgo es que se utilice el contexto de la financiación de inmuebles comerciales para generar comunicaciones fraudulentas sobre pagos, documentos o representantes.

Las personas que hayan contactado con Berkadia en el contexto del desarrollo de negocio, la financiación, la consultoría, la venta de activos de inversión, el crédito o las transacciones de inmuebles comerciales pueden estar en riesgo. La información del empleador ayuda al atacante a personalizar el mensaje según la empresa o el papel de la persona en la transacción. Los campos de teléfono y dirección física indican que los ataques también pueden dirigirse a las víctimas por canales distintos del correo electrónico.

Los inversores inmobiliarios, los intermediarios, los equipos financieros, los equipos jurídicos y de contratos, los asistentes ejecutivos y quienes participan en transacciones de inmuebles comerciales deben extremar la precaución. Las ofertas de financiación falsas y los mensajes sobre carga de documentos, firmas electrónicas, cambios de cuenta bancaria, pagos de cierre o cambios de representante pueden parecer parte de procesos de transacción reales. Estas solicitudes no deben validarse con un solo correo electrónico o una única llamada telefónica.

Si sus datos coinciden con los de este registro, debe asegurarse de utilizar contraseñas robustas y únicas para sus cuentas de correo electrónico de trabajo, tener activada la verificación en dos pasos y comprobar que no haya sesiones sospechosas. Las contraseñas no son una categoría de datos verificada en este incidente; sin embargo, podrían producirse intentos de obtenerlas mediante un portal falso para compartir documentos o un enlace a un expediente de financiación. Las solicitudes para compartir archivos y firmar electrónicamente deben verificarse con un representante conocido.

Los mensajes sobre cambios de cuenta bancaria, instrucciones de pago, instrucciones de cierre, actualizaciones de contratos o solicitudes urgentes de carga de documentos deben confirmarse por un segundo canal. En las llamadas telefónicas, no debe compartir información aunque quien llame facilite el nombre real de la empresa, la dirección o el contexto de la transacción. Los equipos financieros y jurídicos deben aplicar un proceso de aprobación en varias etapas para las transacciones de alto valor.

Los datos de comunicaciones, por sí solos, tienen un gran valor en los procesos de financiación y de operaciones con inmuebles comerciales. Las instituciones deben revisar periódicamente los registros de clientes potenciales, inversores, intermediarios y contactos de transacciones; eliminar los registros antiguos innecesarios; y restringir los permisos de acceso en los sistemas de comunicación empresarial. Los procesos de pagos de alto valor y gestión de documentos no deben depender de un único canal de comunicación.

Para los usuarios, la seguridad del correo electrónico empresarial, las contraseñas únicas, la autenticación de dos factores y la verificación cuidadosa de los enlaces para compartir documentos son medidas de protección fundamentales. En las transacciones inmobiliarias, las instrucciones de pago, los cambios de representante y las solicitudes de documentos siempre deben confirmarse por un canal independiente. Este incidente muestra que el contexto de una transacción financiera puede generar suficiente confianza para facilitar un fraude, incluso sin una filtración de datos financieros.

Una coincidencia con la dirección de correo electrónico en este registro indica que la dirección está incluida en el conjunto de datos de comunicaciones corporativas o desarrollo de negocio de Berkadia. Una coincidencia no significa que el expediente crediticio, la contraseña o la cuenta bancaria se hayan visto comprometidos. Primero debe identificar para qué empresa, transacción, servicio de consultoría o proceso de financiación inmobiliaria utilizó esa dirección de correo electrónico.

Las medidas adecuadas son proteger la cuenta de correo electrónico de trabajo, verificar las solicitudes de documentos y pagos por un canal independiente, tratar con cautela las solicitudes urgentes recibidas por teléfono y pedir una segunda aprobación para las comunicaciones relativas a transacciones de alto valor. Que un mensaje contenga información real sobre su empleador o su dirección no demuestra que sea fiable; la solicitud debe confirmarse con un representante conocido o por un canal oficial antes de realizar cualquier transacción.