Brecha de datos de Cushman & Wakefield de 2026

Los tipos de datos enumerados en este registro son direcciones de correo electrónico, cargos, nombres, números de teléfono, direcciones físicas y fórmulas de tratamiento. Al combinar el correo electrónico, el nombre, la fórmula de tratamiento y el cargo, los atacantes pueden preparar mensajes de trabajo que parezcan personalizados. Los campos de teléfono y dirección física hacen más convincentes pretextos como visitas a oficinas, gestión de instalaciones, reuniones sobre arrendamientos, inspecciones sobre el terreno o entrega de documentos. En el sector inmobiliario comercial, las personas contactadas suelen ser directivos, equipos financieros y jurídicos, inversores, arrendatarios y proveedores, por lo que incluso la información de contacto por sí sola ofrece una base suficiente para crear un archivo con una propuesta falsa, una actualización falsa de un contrato, una instrucción de pago falsa o una invitación falsa a una reunión. Este registro no corresponde a una filtración directa de cuentas financieras; el riesgo reside en el uso indebido del contexto de las principales relaciones corporativas.

La principal cifra verificada es de 310 431 cuentas de correo electrónico únicas. Además de las direcciones internas de la empresa, los registros también pueden contener direcciones de correo electrónico de otras empresas e información de contactos comerciales; por tanto, no debe considerarse que el impacto se limita a los empleados. Las categorías de datos se restringen a información sobre comunicaciones empresariales, cargos, teléfonos, direcciones y fórmulas de tratamiento. Los textos completos de contratos, los importes de los alquileres, la información bancaria, los números de identificación fiscal, los documentos oficiales de identidad, las tarjetas de pago y los archivos confidenciales de clientes no son campos verificados de este registro. Esta limitación es importante para orientar al usuario sobre las medidas adecuadas cuando se encuentra una coincidencia en el registro: sus vínculos corporativos y canales de comunicación pueden haber quedado expuestos, pero este registro no permite afirmar que su cuenta financiera o su expediente contractual se hayan visto comprometidos. No deben añadirse categorías de datos más sensibles sin haberlas verificado.

Los grupos en riesgo incluyen empleados y exempleados de Cushman & Wakefield, personas de contacto de los clientes, empresas arrendatarias, representantes de inversores, propietarios de inmuebles, proveedores, equipos jurídicos y financieros, y personas que trabajan en la gestión de instalaciones. Las personas cuyo cargo figura en los datos pueden ser blanco de instrucciones falsas de la alta dirección, solicitudes falsas de clientes o archivos de licitación falsos. Los registros con una dirección física hacen que los mensajes que aluden a una oficina, sucursal o ubicación de un proyecto concretas parezcan más realistas. Para las personas cuyo número de teléfono figura en los datos, el riesgo va más allá del correo electrónico: los atacantes pueden intentar obtener una confirmación rápida mediante llamadas o mensajes de texto. Como los asuntos relacionados con firmas, pagos, depósitos, solicitudes de mantenimiento y tarjetas de acceso son habituales en los procesos inmobiliarios, los atacantes pueden aprovechar estos temas. Cuando hay direcciones de correo electrónico de otras empresas, los clientes y socios comerciales también quedan indirectamente en riesgo.

Si su dirección de correo electrónico aparece en este registro, asegúrese de utilizar una contraseña segura y única para su correo de trabajo, de tener activada la autenticación multifactor y de prestar atención a las alertas de inicio de sesión inesperadas. Aunque el campo de contraseña no esté verificado, su correo de trabajo puede ser blanco de ataques mediante páginas de inicio de sesión falsas e invitaciones para compartir documentos. Verifique las solicitudes a través de un canal independiente antes de hacer clic en enlaces de mensajes relacionados con arrendamientos, ventas, inversiones, gestión de instalaciones, mantenimiento, facturación o instrucciones sobre el destino de los pagos. Aunque quien llame conozca su nombre, cargo, oficina o empresa, no proporcione información bancaria, documentos de identidad, códigos de un solo uso ni acceso remoto. Las organizaciones deben aplicar un procedimiento de verificación en dos pasos a las solicitudes que impliquen cambios en el destino de los pagos, modificaciones de contratos y solicitudes urgentes para compartir documentos. Los mensajes sospechosos deben notificarse al equipo de seguridad, y deben enviarse avisos rápidos a los empleados sobre contenidos similares.

Los datos de comunicación del sector inmobiliario comercial y de los servicios corporativos conservan su valor durante mucho tiempo; aunque el cargo, la oficina y el número de teléfono de una persona no cambien, el contexto de operaciones antiguas puede seguir siendo útil para los atacantes. Las organizaciones deben reducir los campos innecesarios de teléfono, dirección y fórmulas de tratamiento en los directorios de clientes y socios, depurar periódicamente los registros de proyectos antiguos e incluir solo los campos necesarios en los archivos exportados. Debe impartirse formación en seguridad sobre situaciones como cambios en los pagos, firma de contratos, solicitudes de mantenimiento y autorización de acceso, específicamente para los equipos financieros, jurídicos, de arrendamiento y de gestión de instalaciones. Los usuarios deben mantener separadas sus cuentas de trabajo y personales, y evitar el uso del correo corporativo para cuentas de entretenimiento o compras. Si se establecen canales habituales de verificación para las comunicaciones con proveedores y clientes, la información sobre cargos y teléfonos presente en la filtración no se considera por sí sola una prueba de fiabilidad.

La consulta en LeakData muestra si su dirección de correo electrónico aparece en la filtración de Cushman & Wakefield. Un resultado positivo no significa que su contraseña, cuenta bancaria o expediente contractual hayan quedado expuestos; el riesgo verificado es el uso indebido de la información de comunicación corporativa y del perfil profesional. Las medidas que puede tomar incluyen reforzar la seguridad de su correo de trabajo, verificar por un segundo canal las solicitudes inesperadas de documentos y pagos, rechazar las solicitudes de aprobación rápida recibidas por teléfono y comprobar si la misma dirección de correo electrónico aparece en otras filtraciones. En el ámbito corporativo, este registro debe utilizarse para emitir alertas sobre phishing dirigido a los equipos inmobiliarios, financieros, jurídicos y de gestión de instalaciones. Si la misma persona también aparece en otras filtraciones, los atacantes pueden combinar su cargo, empresa y número de teléfono con información personal previa para crear mensajes más convincentes.