Fuite de données chez Marcus & Millichap en 2026

Les catégories de données dont la présence est vérifiée dans cette fiche sont les adresses e-mail, les informations sur l’employeur, les intitulés de poste, les noms complets, les numéros de téléphone et les adresses postales. Les mots de passe, les comptes bancaires, les montants investis, les pièces d’identité et le contenu des contrats ne figurent pas parmi les catégories de données vérifiées et n’ont donc pas été ajoutés à cette description. Néanmoins, les informations sur les fonctions professionnelles et les coordonnées peuvent rendre les messages ciblés plus convaincants, notamment lorsqu’ils s’adressent à des courtiers, des investisseurs, des dirigeants ou des personnes travaillant dans la finance et les opérations.

Le premier risque pour les utilisateurs concernés est de recevoir une offre immobilière, un document d’investissement, une mise à jour de contrat ou un message d’instructions de paiement frauduleux. Les attaquants peuvent tenter d’inspirer confiance en utilisant le véritable intitulé du poste, le nom de l’entreprise et les coordonnées téléphoniques. Même si le lien vers un document ou la pièce jointe du message semble se rapporter à une transaction légitime, il ne faut pas l’ouvrir sans vérification par un canal officiel. Pour les demandes de paiement ou de changement de compte bancaire, une approbation par e-mail ne doit pas être considérée comme suffisante : une vérification par un second canal doit être effectuée.

Les numéros de téléphone et les adresses postales augmentent également le risque de fraude par des appels ou des courriers trompeurs. Les utilisateurs doivent se méfier des demandes urgentes de documents, de codes de vérification ou de paiements émanant de personnes qui se présentent comme un conseiller clientèle, un courtier, un conseiller juridique ou un responsable des paiements. Les transactions immobilières pouvant porter sur des montants élevés, même une simple instruction frauduleuse peut entraîner de lourdes pertes financières. Il ne faut pas effectuer de transactions sans passer par les numéros de téléphone connus et les canaux prévus dans les contrats existants.

Cette fiche ne doit pas être considérée comme un élément central à l’appui d’une affirmation de prise de contrôle de compte, car elle ne contient aucun mot de passe. Toutefois, la même adresse e-mail peut être associée à des mots de passe dans d’autres fuites. Les utilisateurs doivent utiliser des mots de passe uniques et l’authentification à deux facteurs pour leur messagerie professionnelle, les portails clients et les outils de partage de documents. Si des adresses appartenant au domaine de l’entreprise sont concernées, il convient de vérifier les tentatives de connexion échouées, les sessions inhabituelles et les autorisations de partage de fichiers.

Pour les entreprises de l’immobilier et de l’investissement, la fiche Marcus & Millichap illustre la manière dont les coordonnées peuvent être utilisées à des fins d’ingénierie sociale financière. Les employés doivent être sensibilisés aux scénarios impliquant de faux contrats, de fausses instructions de paiement et de faux partages de documents. Les clients doivent être clairement informés des canaux de communication officiels. Les droits d’accès aux données, les listes de clients, les processus d’exportation et les intégrations avec des tiers doivent faire l’objet d’audits réguliers.

La violation de données chez Marcus & Millichap présente un risque élevé d’ingénierie sociale dans le contexte de l’immobilier commercial, car elle regroupe les intitulés de poste, les employeurs, les numéros de téléphone, les adresses postales et les adresses e-mail. Les utilisateurs concernés doivent vérifier les documents, les contrats, les offres et les demandes de paiement par les canaux officiels. L’approche la plus juste consiste à évaluer cet incident non comme une fuite de mots de passe, mais comme un risque de fraude ciblée exploitant les fonctions professionnelles et les transactions immobilières.

Dans le contexte de l’immobilier commercial, les données recensées dans la fiche Marcus & Millichap renforcent l’impact financier potentiel des messages frauduleux liés à des transactions. Les attaquants peuvent prétendre disposer d’un portefeuille immobilier, d’une offre, d’un bail, d’une vente, d’un document de vérification préalable ou d’une instruction de paiement. Le véritable nom de l’entreprise, l’intitulé du poste et les coordonnées téléphoniques peuvent donner de la crédibilité à ces messages. Les utilisateurs doivent recourir uniquement à des canaux de communication connus pour les demandes de partage de documents, de transfert d’argent ou de changement de compte bancaire, et mettre en place une vérification par deux personnes.

Cette fiche ne fait état d’aucune allégation de fuite de contenu de contrats, d’informations bancaires ou de mots de passe. Les catégories de données vérifiées se limitent aux coordonnées professionnelles et aux informations sur les fonctions exercées. Néanmoins, le risque a été jugé élevé en raison de la valeur importante des transactions commerciales. Les organisations doivent former leurs employés à reconnaître les scénarios de faux documents et de détournement de paiements, et normaliser les systèmes officiels de partage de fichiers ainsi que les procédures d’approbation dans leurs communications avec les clients.