GDPR y seguridad en inmobiliarias: gestionar los datos y protegerse del phishing
Lectura 10 min · AstraLoop Studio
Una inmobiliaria trata exactamente el tipo de datos que buscan los ciberdelincuentes: nombre, apellidos, DNI, dirección, documentos de identidad, notas simples registrales, datos de ingresos, IBAN. Y gestiona operaciones de cientos de miles de euros que pasan por correo electrónico y transferencias bancarias. Junta estas dos cosas y entenderás por qué el sector está en el punto de mira, con un fraude específico que está causando estragos: el del cambio de cuenta bancaria en las compraventas.
El problema de fondo es otro. La mayoría de las agencias ve el GDPR como un trámite burocrático que se resuelve una sola vez (cláusula de información firmada, expediente cerrado) y la ciberseguridad como algo que solo afecta a las grandes empresas, no a ellas. Son dos ideas equivocadas que pueden costar, literalmente, el precio de un piso. Veamos cómo gestionar de verdad el tratamiento de datos en la agencia y, sobre todo, cómo defenderse de los timos que golpean en el momento más delicado: el paso del dinero.
Por qué la inmobiliaria es un blanco perfecto
El Rapporto Clusit 2026 (referencia italiana, extrapolable a toda Europa) traza un cuadro claro: los ataques han crecido más de un 20% en el primer trimestre del año y las pymes representan ya el 72% de los objetivos. La inmobiliaria tipo es una pyme: pocos empleados, poca o ninguna competencia informática interna, herramientas dispares (Gmail u Outlook personales, WhatsApp, programas de gestión en la nube, portales). Es el perfil de riesgo ideal para un atacante.
Hay tres motivos concretos que hacen tan apetecible al sector.
- Datos personales y financieros de alto valor. Un solo expediente de cliente contiene documento de identidad, nóminas, extractos bancarios, notas registrales. Un paquete listo para el robo de identidad y el fraude crediticio.
- Transacciones de importe altísimo. Pocas actividades mueven transferencias de 200.000 o 400.000 euros con la naturalidad de una compraventa. Basta desviar una para dar el golpe del año.
- Muchos actores en el mismo expediente. Vendedor, comprador, agente, notaría, banco, arquitecto técnico: una cadena larga de correos y adjuntos, donde basta un eslabón débil para colarse.
Si quieres enmarcar el tema de forma estructurada antes de entrar en el detalle inmobiliario, conviene partir de una auditoría de ciberseguridad completa para pymes. Es el marco donde encaja todo lo que sigue.
GDPR en la inmobiliaria: cómo gestionarlo de verdad
El GDPR (Reglamento UE 2016/679) para una inmobiliaria no es un formulario para hacer firmar y archivar. Es una forma de tratar los datos durante toda la relación con el cliente. Estos son los puntos que la autoridad de protección de datos mira primero, traducidos en práctica operativa.
1. Base jurídica y finalidad: por qué recoges ese dato
Cada dato que recoges debe tener una finalidad precisa y una base jurídica. El DNI del comprador para la oferta sirve al contrato (ejecución de un contrato o medidas precontractuales). El envío de newsletters y nuevas propuestas inmobiliarias, en cambio, es marketing y requiere un consentimiento aparte, libre y revocable. No puedes usar los datos recogidos para una compraventa para bombardear al cliente con anuncios de por vida: es una de las quejas más frecuentes.
2. Cláusula informativa específica, no un copia y pega
La cláusula informativa debe decir quién eres (responsable del tratamiento), qué datos tratas, con qué fines, cuánto tiempo los conservas, a quién se los comunicas (notaría, banco, portales) y cómo puede el cliente ejercer sus derechos. Una cláusula genérica descargada de internet y nunca actualizada es peor que nada, porque declara cosas que luego no cumples.
3. Minimización y plazos de conservación
No recojas más de lo necesario y no guardes los datos para siempre. Las copias de los documentos de identidad y las nóminas de un cliente que no ha comprado no deben quedarse en tu Drive de forma indefinida. Define un plazo de conservación para cada categoría de dato y elimínalos de verdad cuando caduque. Quince años de documentos sensibles sin proteger son una bomba de relojería en caso de brecha de seguridad.
4. Encargados del tratamiento: quién toca tus datos
El programa de gestión en la nube, el portal inmobiliario, el gestor, el consultor de marketing: cualquiera que trate datos por tu cuenta es un encargado del tratamiento y debe estar nombrado mediante contrato conforme al art. 28 del GDPR. Aquí entra el tema del riesgo de terceros, hoy central: alrededor del 30% de las brechas de datos involucra a un proveedor, y los ataques a la cadena de suministro se han multiplicado por cuatro en cinco años. Saber dónde acaban tus datos no es un formalismo, es control del riesgo.
5. Seguridad técnica: medidas adecuadas
El GDPR exige medidas "adecuadas" al riesgo. Para una inmobiliaria esto significa: contraseñas robustas y distintas para cada servicio, autenticación en dos factores en el correo y el programa de gestión, dispositivos con disco cifrado, copias de seguridad, y ningún documento sensible circulando por WhatsApp sin control. No hace falta un centro de datos, hace falta dejar de tener las puertas abiertas.
El fraude del cambio de cuenta: el golpe que vacía la compraventa
Llegamos aquí a la estafa que debería quitarle el sueño a cualquier agente inmobiliario. En jerga técnica se llama Business Email Compromise, o ataque "man in the middle" sobre la transferencia. Funciona así.
- El criminal compromete una cuenta de correo de la cadena (agente, comprador, a veces la notaría) mediante phishing, o la vigila en silencio tras robar las credenciales.
- Espera el momento en que se habla de dinero: señal, resto del precio, día de la firma.
- En el momento justo envía un correo perfectamente creíble, con el asunto correcto, la firma correcta, el estilo correcto, en el que comunica que "por un problema técnico el IBAN ha cambiado" y adjunta nuevos datos bancarios.
- El comprador, de buena fe, transfiere la señal o el resto del precio a la cuenta del estafador. Cuando se detecta, el dinero ya se ha repartido en cuentas extranjeras y retirado.
El daño medio por este tipo de fraude se mide en decenas de miles de euros por episodio, y en las compraventas inmobiliarias la apuesta es mucho más alta. El problema se ve amplificado por los ataques potenciados con inteligencia artificial: los correos de phishing son ya gramaticalmente perfectos, y están estallando los casos de deepfakes de voz usados para confirmar pagos por teléfono (el vishing con audio clonado ha crecido más de un 300% desde 2023). El estafador te llama, con una voz creíble, para "confirmar" el mismo IBAN falso que acaba de enviarte por correo.
Por qué el agente es responsable aunque no haya hecho la transferencia él
Atención a un punto delicado. Aunque quien transfiere sea el comprador, si el fallo partió de la cuenta de correo de la agencia (por estar mal protegida, sin 2FA, con una contraseña débil), la agencia corre el riesgo de ser demandada por el daño y, en el plano del GDPR, por no haber adoptado medidas de seguridad adecuadas. El compromiso de tu correo que expone los datos de una compraventa es, a todos los efectos, una brecha de seguridad conforme al GDPR, con obligación de valorar la notificación a la autoridad de control en 72 horas.
Cómo protegerse del phishing inmobiliario: procedimientos concretos
Contra el fraude del cambio de cuenta no basta un antivirus. Hace falta un procedimiento, compartido con todos los colaboradores y comunicado a los clientes desde el inicio de la negociación. Este es el que funciona.
| Regla | Cómo se aplica |
|---|---|
| El IBAN nunca se envía ni se cambia por correo | Los datos bancarios se comunican una sola vez, en persona o de forma verificable. Regla de oro: "ningún IBAN cambia nunca por correo". Si llega un email de cambio de IBAN, es una estafa hasta que se demuestre lo contrario. |
| Verificación por otro canal (out-of-band) | Antes de cada transferencia, el comprador llama a un número ya conocido y verificado (no el que aparece en el último correo) para confirmar de viva voz los datos bancarios. Un segundo canal que el atacante no controla. |
| Autenticación en dos factores en todas partes | 2FA obligatoria en correo, programa de gestión y portales. Es la única medida que por sí sola bloquea la mayoría de los compromisos de cuenta. |
| Autenticación del correo (SPF, DKIM, DMARC) | Configura los registros que impiden a un estafador enviar correos haciéndose pasar por tu dominio. Mira cómo funcionan SPF, DKIM y DMARC. |
| Formación de los colaboradores | Quien responde a los correos debe saber reconocer las señales: urgencia, cambio de IBAN, remitente ligeramente distinto, adjuntos inesperados. Aquí tienes cómo reconocer un intento de phishing empresarial. |
| Comunicación al cliente | Deja por escrito, al inicio de la negociación, que nunca cambiarás el IBAN por correo y que cada transferencia debe verificarse por teléfono. Conviertes al cliente en una defensa activa. |
Hay también un riesgo interno que no hay que subestimar: la Shadow AI, es decir, los colaboradores que pegan datos de clientes (nóminas, documentos, contratos) en ChatGPT u otras herramientas para que les ayuden a redactar anuncios o resúmenes. El 38% de los empleados comparte datos confidenciales con herramientas de IA no autorizadas: para una inmobiliaria eso significa datos sensibles de clientes saliendo del perímetro de la empresa, con un problema potencial de GDPR. Una política clara sobre qué se puede y qué no se puede hacer con estas herramientas ya forma parte de la seguridad a todos los efectos.
¿Quieres saber dónde está realmente expuesta tu agencia, desde los correos de las transferencias hasta el archivo de documentos? Solicita un análisis a medida: detectamos los puntos débiles y los procedimientos que te ponen a salvo.
Auditoría de seguridad para inmobiliarias: por dónde empezar
Si al leer has reconocido más de un agujero, la forma correcta de abordarlo no es comprar al azar el enésimo software. Es partir de una evaluación ordenada de qué proteges y de qué. Una auditoría para una inmobiliaria, en la práctica, mira cuatro frentes.
- Mapeo de datos (GDPR). Qué datos tratas, dónde están, quién accede a ellos, con qué proveedores los compartes, cuánto tiempo los conservas. Es la base tanto del cumplimiento como de la seguridad.
- Seguridad del correo y de las transacciones. 2FA, autenticación del dominio, procedimiento antifraude de transferencias. Es el frente con el riesgo económico más alto.
- Comprobación técnica de vulnerabilidades. Un análisis de vulnerabilidades localiza las puertas abiertas en la web, el programa de gestión y los dispositivos. Para entender la diferencia con la prueba de ataque real, lee análisis de vulnerabilidades y pentest comparados.
- Procedimientos y personas. Copias de seguridad probadas, gestión de accesos, formación antiphishing, política sobre el uso de herramientas de IA. La tecnología sin hábitos correctos no protege.
Vale la pena recordar que esta atención no es solo defensiva. Cada vez más pólizas de ciberseguro exigen la prueba de medidas mínimas (2FA, copias de seguridad, procedimientos) para pagar en caso de siniestro. Una auditoría documentada es también lo que te hace asegurable en condiciones razonables.
El contexto normativo que te afecta desde 2026
Aunque la inmobiliaria media no está entre los sujetos directamente obligados por la directiva NIS2, el clima normativo se está endureciendo para todos. Conviene tener presentes dos referencias.
- GDPR: sigue siendo el marco que te afecta en primera persona. Las sanciones de la autoridad de control por tratamientos incorrectos o brechas mal gestionadas alcanzan cifras elevadas, y una brecha de seguridad mal gestionada empeora la posición.
- Efecto cascada de la NIS2: si trabajas con bancos, aseguradoras o grandes grupos (sujetos obligados), estos empezarán a pedirte garantías de seguridad como proveedor. Es el riesgo de terceros visto desde el otro lado. Para saber si y cómo te afecta la NIS2 a tu empresa, conviene aclararlo antes de que te lo pregunte un socio.
El enfoque, que quede claro, es informativo: para la parte legal y de privacidad específica de tu agencia el referente sigue siendo un asesor. Pero la sustancia técnica no cambia: protege el correo, blinda las transferencias, ordena los datos, forma a las personas. La compraventa más valiosa que gestionas es la que no acaba en la cuenta equivocada.
Preguntas frecuentes
¿Una inmobiliaria debe nombrar un DPO?
Para la mayoría de las agencias no es obligatorio, porque el tratamiento a gran escala de datos especialmente protegidos no es la actividad principal. Sin embargo, sigue siendo obligatorio cumplir el GDPR: cláusulas informativas correctas, base jurídica, plazos de conservación, medidas de seguridad y nombramiento de los encargados del tratamiento. En caso de duda conviene una evaluación con un asesor de privacidad.
¿Qué es el fraude del cambio de cuenta en las compraventas inmobiliarias?
Es una estafa en la que el criminal compromete una cuenta de correo de la negociación y envía datos bancarios falsos, a menudo con la excusa de un IBAN cambiado. El comprador transfiere la señal o el resto del precio a la cuenta del estafador. La defensa principal es sencilla: ningún IBAN cambia nunca por correo, y cada transferencia debe confirmarse por teléfono a un número ya conocido.
Si estafan a un cliente, ¿es responsable la inmobiliaria?
Depende del caso, pero si el fallo partió de una cuenta de correo de la agencia mal protegida (sin 2FA, con contraseñas débiles), la agencia corre el riesgo de ser demandada por el daño y, en el plano del GDPR, por falta de medidas de seguridad adecuadas. El compromiso también debe valorarse como posible brecha de seguridad que notificar a la autoridad de control en 72 horas.
¿Qué medidas mínimas de seguridad hacen falta en una agencia?
Autenticación en dos factores en correo y programa de gestión, contraseñas distintas para cada servicio, discos cifrados en los dispositivos, copias de seguridad probadas, autenticación del dominio de correo (SPF, DKIM, DMARC), procedimiento antifraude de transferencias y formación antiphishing de los colaboradores. Son también los requisitos que muchas ciberseguros exigen para cubrir un siniestro.
¿Cuánto tiempo puedo conservar los documentos de los clientes?
Solo el tiempo necesario para las finalidades declaradas. Los documentos de quien no ha comprado no deben guardarse indefinidamente: hay que definir un plazo de conservación para cada categoría de dato y eliminarlos de verdad al vencer. Un archivo infinito de documentos sensibles es un riesgo elevado en caso de violación.
¿Pueden los colaboradores usar ChatGPT para redactar anuncios?
Con precaución. Pegar datos de clientes (documentos, nóminas, contratos) en herramientas de IA no autorizadas hace que datos sensibles salgan del perímetro de la empresa y es un problema potencial de GDPR. Hace falta una política clara que prohíba introducir datos personales de clientes e indique qué herramientas están permitidas.
Si gestionas compraventas y datos sensibles cada día, no esperes al incidente para reaccionar. Hablemos: construimos juntos los procedimientos antifraude y el cumplimiento del GDPR a medida de tu agencia.