Fraude electrónico y estafas de alquiler en 2026: cómo frenarlos

Las víctimas le informaron al FBI que perdieron $3.05 mil millones por el compromiso del correo electrónico empresarial (business email compromise, BEC) y $275.1 millones por fraude inmobiliario (real estate fraud) en el año calendario 2025, según el 2025 Internet Crime Report del Internet Crime Complaint Center del FBI, publicado en abril de 2026.¹ Los controles que frenan la mayor parte de ese fraude son sencillos: confirma cada instrucción de pago llamando a un número que ya tenías, nunca aceptes por correo electrónico un cambio en las instrucciones de transferencia bancaria (wire instructions) o de depósito, protege los buzones con autenticación multifactor (multi-factor authentication, MFA) y controles de sesión, y somete todo cambio de pago a un procedimiento escrito que exija a dos personas. Si el dinero sale de todos modos, llama de inmediato al banco que envió la transferencia y presenta una denuncia en ic3.gov, porque los propios datos del FBI muestran que todavía se pueden congelar los fondos cuando el reporte es rápido.²¹

Esta guía describe lo que dicen las fuentes y lo que suelen hacer los operadores. No es asesoría legal.

Lo que muestra el informe 2025 del FBI

El informe del IC3 cubre las denuncias recibidas de enero a diciembre de 2025. El IC3 recibió 1,008,597 denuncias con $20.877 mil millones en pérdidas reportadas, un aumento del 26% en pérdidas frente a 2024.¹ Dos tipos de delito son los que más importan a las corredurías (brokerages) y a las empresas de administración de propiedades.

Fuente: FBI IC3, 2025 Internet Crime Report.¹

Según esa tabla, las pérdidas inmobiliarias subieron cerca de 58% en un año y las denuncias cerca de 32%. El BEC fue la segunda categoría con más pérdidas, después del fraude de inversión, y sus pérdidas equivalen a unos $123,000 por denuncia, frente a unos $22,000 en la categoría inmobiliaria.¹

El IC3 define el fraude inmobiliario como la pérdida de fondos en una inversión inmobiliaria o el fraude que involucra propiedades de alquiler o de tiempo compartido (timeshare), y clasifica cada denuncia en un solo tipo de delito (pp. 60, 62).¹ Una transferencia de cierre desviada puede caer en cualquiera de las dos categorías. El propio informe agrupa "BEC/Real Estate" al contar los casos de congelamiento de fondos y usa esa etiqueta para un caso de cierre (pp. 18, 23).¹ Ninguna de las dos líneas, por sí sola, es un conteo completo del fraude electrónico en bienes raíces.

Hay tres cifras más que vale la pena mostrarle a tu equipo:

• Clientes mayores. Los denunciantes de 60 años o más presentaron 2,473 denuncias inmobiliarias con $123,671,936 en pérdidas, y reportaron $568,048,472 en pérdidas por BEC (pp. 45, 46).¹
• Inteligencia artificial. Las empresas reportaron más de $30 millones en pérdidas en 2025 por estafas de BEC que involucraban IA, incluida la clonación de voz usada para pedir pagos por transferencia (p. 39).¹
• Los congelamientos sí ocurren. El Recovery Asset Team del IC3 gestionó 3,900 incidentes de la Financial Fraud Kill Chain en 2025, que sumaban $1,163,919,846 en intentos de robo, y congeló $679,013,183, una tasa de éxito del 58% (p. 17).¹

Los datos de la Federal Trade Commission (FTC) apuntan en la misma dirección. Las personas reportaron haber perdido unos $16 mil millones por fraude en 2025, la cifra más alta registrada, y $3.5 mil millones de ese total por estafas de suplantación de identidad (imposter scams).³ Las estafas de suplantación fueron la categoría de fraude más reportada por noveno año consecutivo, con más de 1 millón de reportes.⁴ Hacerse pasar por un oficial de títulos (title officer), un agente o un administrador de propiedades (property manager) es una estafa de suplantación.

Cómo funciona el compromiso del correo empresarial en un cierre

El FBI define el BEC como una estafa dirigida a empresas o personas que envían transferencias bancarias con regularidad, que se ejecuta comprometiendo cuentas de correo electrónico, números de teléfono o aplicaciones de reuniones virtuales mediante ingeniería social o intrusión informática (p. 59).¹ En una venta, el delincuente entra al buzón de una de las partes, o registra una dirección parecida, lee la conversación y envía instrucciones de transferencia "actualizadas" cerca del día del cierre (closing).

El informe 2025 describe dos cierres. En marzo de 2025, una persona de la tercera edad en Missouri que estaba en el cierre de una propiedad recibió un correo comprometido de la "compañía de títulos" (title company) con instrucciones para una transferencia de más de $1.3 millones a una cuenta fraudulenta. En agosto de 2025, unos compradores recibieron un correo que suplantaba a sus propios abogados y enviaron más de $449,000. En ese caso, ni el banco de los compradores ni los abogados lograron que el banco receptor actuara, pero después de que los compradores presentaron su denuncia ante el IC3, el Recovery Asset Team pidió un congelamiento y el banco receptor confirmó que el monto completo seguía retenido (p. 23).¹

Una alerta del FBI del 16 de junio de 2026 describe a delincuentes que se hacen pasar por dueños de terrenos baldíos con licencias de conducir o pasaportes falsos, direcciones de correo gratuitas y números de teléfono por internet. Contactan a un agente local y a una compañía de títulos para listar y vender el terreno, y desvían el dinero de la venta a un abogado cómplice en otro estado.⁵ Sus señales de alerta se pueden verificar al recibir el listado: un vendedor que solo se comunica por correo, texto o teléfono por internet y no acepta reunirse; presión para cerrar rápido, a veces por debajo del precio de mercado; poco conocimiento de la propiedad y falta de planos de medición (surveys) o registros de impuestos; una solicitud para enviar el dinero al extranjero o a una cuenta a nombre de otra persona; y escrituras (deeds) notarizadas en otro país.⁵ La alerta sugiere enviar una carta certificada a la dirección del dueño que aparece en el registro de impuestos para confirmar que el vendedor es real.⁵

Cómo funciona en la administración de propiedades

Las empresas de administración mueven dinero con un calendario predecible, y eso las convierte en blanco. Un análisis de la Federal Reserve enumera tres formas en que los delincuentes de BEC sacan dinero de cuentas empresariales: engañar a usuarios autorizados para que envíen fondos, hacerse pasar por el usuario autorizado e intentar que los agreguen como parte autorizada en la cuenta o en la plataforma bancaria.⁶

En una oficina de administración, se ve así:

• Cambio de beneficiario del propietario. Un correo que parece venir de un propietario (owner) te pide enviar la distribución de este mes a una cuenta nueva.
• Desvío de facturas de proveedores. Llega la factura de un proveedor conocido con datos bancarios nuevos. El mismo artículo de la Federal Reserve, citando una encuesta de la industria, incluye la suplantación de proveedores y la suplantación de terceros entre las tácticas de BEC más comunes.⁶
• Desvío de pagos de inquilinos. Un delincuente dentro de tu buzón, o en un dominio parecido, les dice a los residentes que la renta ahora se paga en una cuenta nueva.

La autenticación multifactor es necesaria, pero 2026 demostró que no basta. En mayo de 2026, el FBI advirtió sobre un kit de phishing, visto por primera vez en abril de 2026, que engaña a los usuarios para que ingresen un código de dispositivo en una página de inicio de sesión real. Eso le entrega al atacante tokens de acceso al correo, al chat y al almacenamiento de archivos sin contraseña y sin otra solicitud de MFA.⁷ En septiembre de 2026 advirtió sobre el "phishing de consentimiento" (consent phishing), en el que un usuario aprueba la solicitud de acceso de una aplicación maliciosa. Ese acceso solo se puede revocar invalidando el token en la configuración de seguridad de la cuenta, no cambiando la contraseña, y puede saltarse tanto las contraseñas como la MFA.⁸

Controles que frenan la mayoría de los pagos desviados

Ningún control por sí solo lo frena todo, así que las empresas los combinan en capas.

La llamada de verificación tiene que ir a un número que ya tenías. Un número que viene en el correo o en un texto es parte de la estafa. Usa el número del contrato de administración (management agreement) firmado, del expediente de alta del proveedor o de la línea principal publicada de la compañía de títulos.

Avísales a los clientes por escrito, desde el principio. Incluye un aviso breve en el contrato de listado (listing agreement), el contrato de representación del comprador (buyer representation agreement), el contrato de administración y el paquete de bienvenida del inquilino: nunca enviaremos ni cambiaremos instrucciones de pago por correo electrónico, y debes llamarnos a un número que ya tengas antes de enviar dinero. El aviso solo funciona si el personal nunca acepta, por su parte, un cambio enviado por correo.

Positive Pay es un producto bancario. La Federal Reserve lo describe como un servicio que el banco configura para cuentas empresariales; sus materiales no hablan específicamente de las cuentas fiduciarias (trust accounts).⁶¹⁰ Pregúntale a tu banco si puede cubrir tus cuentas fiduciarias y de depósito en garantía (escrow). Consulta nuestra guía de contabilidad fiduciaria.

Empieza en la incorporación del cliente. Recoge los datos bancarios por un canal verificado y registra el número de verificación al mismo tiempo. Integra ambos pasos en tus procesos de incorporación de propietarios, incorporación de proveedores e incorporación de personal.

Secuestro de listados y anuncios de alquiler falsos

La FTC describe dos versiones de la estafa de alquiler. En una, los estafadores copian las fotos, la descripción o el recorrido virtual de un listado real, reemplazan los datos de contacto del agente por los suyos y lo vuelven a publicar en otro sitio. En la otra, inventan listados de casas que no están en alquiler o que no existen. En ambos casos cobran una tarifa de solicitud, un depósito o el primer mes de renta, o recopilan números de Social Security y talones de pago para robar identidades, y luego desaparecen.¹¹ La FTC también advierte que los estafadores copian listados de arrendadores que usan servicios de visita sin acompañante (self-tour) y les envían a los interesados un código de la caja de llaves (lockbox) para que el fraude parezca real.¹¹¹²

En un Data Spotlight de diciembre de 2025, la FTC informó que las personas reportaron cerca de 65,000 estafas de alquiler con unos $65 millones en pérdidas entre enero de 2020 y junio de 2025, con una pérdida mediana reportada de $1,000. Cerca de la mitad de los reportes del año que terminó en junio de 2025 dijeron que la estafa empezó con un anuncio falso en una sola gran plataforma de redes sociales, y 16% dijo que empezó en un sitio de clasificados en línea. Las personas de 18 a 29 años tenían tres veces más probabilidades que otros adultos de reportar haber perdido dinero en una estafa de alquiler.¹² El mismo Spotlight señala que muchos arrendadores reales reportan que les copiaron sus listados, y que los avisos sobre estafas colocados dentro de las viviendas han alertado a algunos interesados.¹²

Lo que suelen hacer los administradores:

• Publica cada unidad disponible en tu propio sitio web, con un solo número de teléfono y un solo enlace de solicitud. La FTC les dice a los interesados que revisen el sitio propio de la empresa de alquiler y que traten como posible estafa un listado que no aparezca ahí.¹¹
• Indica en el listado y en el sitio que nunca aceptas tarifas de solicitud, depósitos ni renta por servicios de transferencia de dinero, tarjetas de regalo ni criptomonedas. La FTC les dice a los interesados que cualquiera que insista en esos métodos está cometiendo una estafa.¹¹
• Coloca un aviso dentro de las unidades con visita sin acompañante con tus datos de contacto reales, que diga que la vivienda no se ofrece en ningún otro lugar.
• Busca tus direcciones y fotos cada semana y reporta las copias al sitio que las aloja, a las autoridades locales, a ReportFraud.ftc.gov y al fiscal general (attorney general) de tu estado, como indica la FTC.¹¹

Algunos estados ya tratan esto como un delito grave. El Florida Statute 817.0311 convierte en delito grave de primer grado (first degree felony) listar o anunciar en venta un inmueble sabiendo que el supuesto vendedor no tiene título ni autoridad, o alquilar o arrendar una propiedad sabiendo que no tienes ningún interés de propiedad ni de arrendamiento (leasehold interest) sobre ella. Fue creado por el capítulo 2024-44 y modificado por el capítulo 2025-112.¹³ Texas agregó la sección 32.57 del Penal Code, vigente desde el 1 de septiembre de 2025, que convierte en delito grave de primer grado listar o anunciar a sabiendas una propiedad residencial para venta, renta o arrendamiento sin título ni autoridad, o venderla, rentarla o arrendarla sin ese título o autoridad. Le da a un corredor (broker) o agente con licencia, a un prestamista o a una compañía de títulos una defensa frente al delito de venta y arrendamiento si no sabía que la otra parte carecía de autoridad.¹⁴

Ambas leyes dependen de lo que la persona sabía. Una verificación documentada de identidad y de título al recibir al cliente es la forma en que una empresa demuestra que no lo sabía. Si un listado falso mete a un desconocido en una unidad vacía, consulta nuestra guía sobre ocupantes ilegales.

La primera hora después de una transferencia fraudulenta

La guía del FBI es breve: el tiempo importa. Sigue este orden.

1. Llama de inmediato al banco que envió el dinero. El FBI dice que hay que contactar a la institución financiera de origen en cuanto se detecte el fraude para pedir que retire o revierta la transferencia (recall or reversal), junto con una carta de exención de responsabilidad (Hold Harmless Letter) o una carta de indemnización (Letter of Indemnity), y que hacerlo rápido puede reducir o eliminar las pérdidas.² Pregunta qué hará tu banco, porque el FBI señala que cada institución tiene políticas distintas (informe 2025, p. 17).¹ Si fue un cliente quien envió el dinero, él hace esta llamada a su propio banco; tú lo ayudas a hacerla.
2. Presenta la denuncia en ic3.gov, sin importar el monto. El FBI pide una denuncia detallada con todos los datos de la transacción y los datos bancarios, porque el IC3 puede ayudar a los bancos y a las autoridades a congelar fondos (informe 2025, p. 17).¹² Escribe www.ic3.gov directamente en el navegador. En julio de 2026, el FBI advirtió que hay delincuentes que se hacen pasar por personal del IC3 y del FBI para atacar a personas que ya fueron estafadas, con sitios de denuncia falsos y ofertas para "recuperar" el dinero. El IC3 nunca contactará a las víctimas directamente por teléfono, correo electrónico ni redes sociales, y nunca cobra por recuperar fondos.¹⁵
3. Llama por teléfono a las demás partes. La compañía de títulos, el agente de depósito en garantía (escrow), el prestamista, el otro agente y tu corredor responsable (broker of record) necesitan saber que la conversación está comprometida antes de que alguien más envíe dinero con base en ella.
4. Bloquea bien el buzón. Restablece las contraseñas, cierra todas las sesiones, elimina los dispositivos desconocidos y revoca los permisos de aplicaciones de terceros. El FBI señala que el acceso obtenido por phishing de consentimiento sobrevive a un cambio de contraseña hasta que se revoca el token.⁸
5. Conserva la evidencia. Guarda los correos de phishing con los encabezados completos, las horas de inicio de sesión sospechosas y las direcciones IP, y cualquier dispositivo o sesión no autorizada. Esos son los datos que el FBI pide en los reportes.⁷

Para alguien que buscaba alquiler y le pagó a un falso arrendador por transferencia bancaria, el consejo de la FTC es en esencia el mismo: reportarlo de inmediato al banco o a la cooperativa de crédito (credit union) y pedir que revierta el pago, y luego reportarlo en ReportFraud.ftc.gov.¹⁶

Cómo notificar a clientes y reguladores

Las leyes de notificación de filtraciones de datos (breach notice laws) pueden aplicar aunque no se mueva dinero. Si un delincuente entró a un buzón que guardaba solicitudes de inquilinos, la pregunta es si se accedió a información personal. La ley de Florida es un ejemplo. Su definición de información personal incluye un nombre combinado con un número de Social Security, un número de licencia de conducir o de pasaporte, o un número de cuenta financiera con el código necesario para acceder a ella, y también un nombre de usuario o una dirección de correo electrónico combinados con una contraseña. Una empresa cubierta debe notificar a cada residente de Florida afectado a más tardar 30 días después de determinar que ocurrió una filtración, y debe notificar al Department of Legal Affairs dentro de 30 días si hay 500 o más residentes de Florida afectados. Las autoridades pueden pedir por escrito que se retrase la notificación.¹⁷

Otros estados fijan sus propias definiciones, plazos y umbrales de notificación a reguladores, así que revisa la ley de tu estado con un abogado. Las reglas de cuentas fiduciarias de tu comisión de bienes raíces (real estate commission) y tu póliza de errores y omisiones (errors and omissions) también pueden fijar pasos de reporte después de una pérdida en una cuenta fiduciaria. Anota esos plazos en tu calendario de cumplimiento. Los resúmenes de las leyes de licencias de cada estado están en /es/estados.

Qué hacer ahora: lista de prevención de fraude para corredurías y empresas de administración

Políticas

• Adopta una regla escrita: las instrucciones de pago nunca se crean ni se cambian solo por correo, y toda instrucción nueva o modificada se verifica con una llamada a un número que ya está en el expediente.²
• Exige que una segunda persona apruebe cualquier cambio en los datos de pago de propietarios, proveedores o inquilinos, y acuerda palabras clave con los clientes de alto valor.⁶
• Agrega el aviso "nunca cambiamos instrucciones de transferencia por correo electrónico" a cada contrato, paquete de bienvenida y firma de correo.

Cuentas y sistemas

• Activa la MFA en el correo, la banca y los sistemas contables.⁶
• Restringe el inicio de sesión con código de dispositivo y revisa cada trimestre los permisos de aplicaciones de terceros en cada buzón.⁷⁸
• Pregúntale a tu banco por Positive Pay y bloqueos de ACH en las cuentas operativas, fiduciarias y de depósito en garantía.⁶¹⁰
• Concilia las cuentas a diario y activa las alertas de transacciones.¹⁰

Listados y recepción de clientes

• Verifica la identidad y el título de cada nuevo vendedor o propietario cliente, y desconfía del vendedor que no quiere reunirse, tiene prisa y quiere que el dinero se envíe al extranjero.⁵
• Publica cada vacante en tu propio sitio, indica los métodos de pago que aceptas y coloca avisos de contacto dentro de las unidades con visita sin acompañante.¹¹¹²
• Busca tus direcciones y fotos cada semana y reporta las copias.¹¹

Respuesta a incidentes

• Ten una tarjeta de una página en cada escritorio: línea de fraude del banco, ic3.gov, corredor responsable, contacto de TI y contactos de la compañía de títulos.²
• Capacita al personal cada trimestre con los guiones de este artículo para cierres y pagos a propietarios, incluidas las solicitudes con voz generada por IA.¹