Filtración de datos de Marcus & Millichap en 2026

Los campos de datos verificados en el registro son direcciones de correo electrónico, información sobre la empresa empleadora, cargos, nombres completos, números de teléfono y direcciones físicas. Las contraseñas, las cuentas bancarias, los importes de inversión, los documentos de identidad y el contenido de los contratos no figuran entre las categorías de datos verificadas, por lo que no se han incluido en la descripción de la exposición. No obstante, la información sobre funciones empresariales y datos de contacto puede hacer más convincentes los mensajes dirigidos a personas concretas, especialmente a quienes desempeñan funciones de intermediación, inversión, dirección, finanzas y operaciones.

El primer riesgo para los usuarios afectados es recibir una oferta inmobiliaria, un documento de inversión, una actualización de contrato o un mensaje con instrucciones de pago fraudulentos. Los atacantes pueden intentar ganarse su confianza utilizando el cargo real, el nombre de la empresa y la información telefónica. Aunque el enlace a un documento o el archivo adjunto de un mensaje parezcan corresponder a una operación legítima, no deben abrirse sin verificarlos por un canal oficial. Ante solicitudes de pago o de cambio de cuenta bancaria, no debe considerarse suficiente la aprobación por correo electrónico: es necesario realizar una verificación por un segundo canal.

La información telefónica y las direcciones físicas también aumentan el riesgo de fraudes mediante llamadas y correspondencia falsas. Los usuarios deben actuar con cautela ante solicitudes urgentes de documentos, códigos de verificación o pagos realizadas por personas que afirman ser representantes de atención al cliente, intermediarios inmobiliarios, asesores jurídicos o responsables de pagos. Dado que las operaciones inmobiliarias pueden implicar grandes importes, incluso una instrucción falsa de poca importancia aparente puede provocar pérdidas económicas graves. No se deben realizar operaciones sin recurrir a números de teléfono conocidos y a los canales establecidos en los contratos.

Este registro no debe considerarse un elemento central para afirmar que se ha tomado el control de una cuenta, ya que no contiene contraseñas; sin embargo, la misma dirección de correo electrónico podría estar asociada a contraseñas en otras filtraciones. Los usuarios deben utilizar contraseñas únicas y autenticación de dos factores para el correo electrónico laboral, los portales de clientes y las herramientas para compartir documentos. Si hay direcciones del dominio corporativo afectadas, deben revisarse los intentos fallidos de inicio de sesión, las sesiones inusuales y los permisos para compartir archivos.

El registro de Marcus & Millichap muestra a las empresas inmobiliarias y de inversión cómo puede utilizarse la información de contacto en ataques de ingeniería social con fines financieros. Se debe informar a los empleados sobre situaciones que impliquen contratos falsos, instrucciones de pago falsas y mensajes falsos para compartir documentos. Los clientes deben recibir información clara sobre los canales oficiales de comunicación. Los permisos de acceso a los datos, las listas de clientes, los procesos de exportación y las integraciones con terceros deben auditarse periódicamente.

La filtración de datos de Marcus & Millichap supone un riesgo elevado de ingeniería social en el contexto inmobiliario comercial porque reúne campos de cargo, empresa empleadora, teléfono, dirección y correo electrónico. Los usuarios afectados deben verificar los documentos, contratos, ofertas y solicitudes de pago a través de canales oficiales. Lo más preciso es evaluar este incidente no como una filtración de contraseñas, sino como un riesgo de fraude dirigido en el contexto de las funciones empresariales y las operaciones inmobiliarias.

En el contexto inmobiliario comercial, el registro de Marcus & Millichap aumenta el impacto económico de los mensajes sobre operaciones fraudulentas. Los atacantes pueden fingir que disponen de una cartera inmobiliaria, una oferta, un arrendamiento, una venta, un documento de diligencia debida o una instrucción de pago. El nombre de la empresa real, el cargo y la información telefónica pueden dar credibilidad a estos mensajes. Los usuarios deben utilizar únicamente canales de comunicación conocidos para solicitudes como compartir documentos, transferir dinero o cambiar cuentas bancarias, y aplicar una verificación por parte de dos personas.

En relación con este registro, no se ha afirmado que se hayan filtrado contenidos de contratos, información bancaria o contraseñas. Los campos verificados se limitan a información de comunicación corporativa y funciones empresariales. No obstante, el riesgo se ha considerado alto debido al elevado valor de las operaciones comerciales. Las organizaciones deben formar a sus empleados para afrontar situaciones de documentos falsos y desvío de pagos, y estandarizar los sistemas oficiales para compartir archivos y los procedimientos de aprobación en las comunicaciones con los clientes.