Una desarrolladora está por liberar un anticipo. El proveedor es conocido, el mail parece legítimo y la conversación viene de semanas atrás. Sólo hay un cambio: “Por favor, realizar la transferencia a esta nueva cuenta”. Nadie sospecha. El pago sale. Horas después, el proveedor llama para reclamar: la plata nunca llegó.
Ese guion tiene nombre: Business Email Compromise, o BEC. El problema es que no siempre se ve como un ciberataque. No necesariamente hay un virus, una pantalla bloqueada o un sistema caído. A veces hay apenas un mail bien escrito, una factura adjunta y una instrucción bancaria falsa.
En Real Estate, el riesgo ya aparece como una categoría específica. CertifID, empresa estadounidense especializada en prevención y recuperación de fraude de transferencias inmobiliarias, advirtió en su reporte 2026 sobre wire fraud que el fraude de transferencia “ya no es algo sólo teórico”. Según su encuesta de 2026 a consumidores y profesionales del ecosistema inmobiliario de Estados Unidos, casi uno de cada cuatro compradores de vivienda dijo haber recibido una comunicación fraudulenta o sospechosa durante el cierre de una operación.
Índice de temas
Qué es el BEC y por qué no parece un ciberataque
El BEC no siempre empieza con un pedido directo de plata. Puede comenzar con un mensaje aparentemente inocente: “¿Estás disponible?”, “¿Podés revisar esto?”, “Te mando la factura actualizada” o “Hubo un cambio en los datos bancarios”.
Microsoft, compañía tecnológica estadounidense, describió en su Security Blog sobre amenazas de email del primer trimestre de 2026 que el BEC es un ataque basado en texto que suplanta a una entidad confiable para persuadir a una persona a iniciar una transacción fraudulenta o compartir información sensible.
En su telemetría global de amenazas de email, Microsoft observó aproximadamente 10,7 millones de ataques BEC durante el primer trimestre de 2026. Ese dato corresponde a actividad global detectada por Microsoft en Q1 2026, no a Argentina ni específicamente al sector construcción.
Lo más revelador está en la mecánica. Según Microsoft, entre el 82% y el 84% de los mails iniciales de BEC en ese período fueron mensajes genéricos de contacto, mientras que los pedidos financieros explícitos representaron una proporción mucho menor. La empresa interpreta que los atacantes buscan primero “establishing a conversational rapport”: establecer un diálogo antes de pedir dinero.
En una constructora, eso puede significar que el mail peligroso no diga “transferime ya”. Puede parecer una consulta normal de un proveedor, un contratista, un administrador, un bróker o una escribanía.
Por qué construcción y Real Estate son blancos atractivos
El sector inmobiliario tiene una característica que lo vuelve especialmente vulnerable: el negocio funciona en red. Intervienen desarrolladoras, constructoras, contratistas, subcontratistas, proveedores de materiales, estudios de arquitectura, escribanías, brokers, fiduciarias, administradores, compradores, inquilinos y bancos.
Bernstein Shur, compañía legal estadounidense con práctica en construcción y litigios comerciales, explicó en un artículo sobre fraude en pagos de construcción que el atacante puede comprometer una cuenta de correo de un contratista y luego, haciéndose pasar por él, pedir que un pago sea redirigido a una nueva cuenta bancaria. La compañía advierte que, en construcción, un solo fraude exitoso puede ser devastador.
El sector combina tres condiciones sensibles: pagos de alto valor, múltiples capas de autorización y urgencia operativa. Una obra no puede esperar indefinidamente a que alguien valide cada detalle administrativo; al mismo tiempo, esa presión es exactamente lo que explotan los delincuentes.
Da-Com, proveedor estadounidense de servicios de IT gestionada, lo sintetiza en su guía 2026 de ciberseguridad para la construcción: las empresas del sector administran datos de proyecto, transacciones financieras grandes, registros de subcontratistas, payroll, seguros, contratos, planos y datos de pago de proveedores.
Anatomía del engaño: cómo se desvía una transferencia
El fraude suele desplegarse en etapas. Primero, el atacante obtiene acceso a una cuenta de correo o logra imitarla con suficiente precisión. Después, observa conversaciones, identifica quién paga, quién cobra y cuándo se acerca un hito de facturación. Finalmente interviene en el momento justo: envía una factura falsa, modifica un PDF o pide cambiar el CBU.
MDPI Sensors, revista académica open access de la editorial suiza MDPI, publicó un paper académico sobre ataques BEC que describe esta lógica: el atacante selecciona a la víctima, recolecta información de fuentes abiertas y suplanta a un remitente legítimo. La cita técnica es precisa: “impersonates a legitimate sender”. El alcance de esta fuente es académico internacional, no sectorial argentino.
La particularidad en Construcción y Real Estate es que el atacante puede nutrirse de información muy concreta: nombres de obras, proveedores reales, fechas de certificación, montos aproximados, datos de escritura, señas, anticipos, pagos por avance o cierres de operación.
A eso se suma el phishing documental. En el mismo informe de Microsoft sobre Q1 2026, la compañía registró aproximadamente 8.300 millones de amenazas de phishing basadas en email a nivel global. También detectó campañas con asuntos y adjuntos vinculados a pagos, facturas, documentos y alertas de transacciones. El alcance vuelve a ser importante: telemetría global de Microsoft, primer trimestre de 2026.
El error de gestión: confiar en el mail como autorización bancaria
El punto crítico no es sólo que alguien caiga en una estafa. El verdadero problema es que muchas compañías todavía tratan al email o al WhatsApp como si fueran canales suficientes para autorizar un cambio bancario.
Blue & Co., compañía estadounidense de consultoría y servicios profesionales, afirma en su artículo sobre ciberseguridad para constructoras que el correo electrónico sigue siendo una de las herramientas de comunicación más importantes y comunes del sector. También advierte que esa centralidad lo convierte en una vía de ataque para phishing, spoofing, BEC, suplantación de identidad de proveedores y facturas fraudulentas.
Ningún cambio de cuenta debería aprobarse sólo por email. Da-Com lo formula directamente en su guía de construcción: “Nunca modifiques los datos de pago basándote únicamente en una solicitud por correo electrónico”.
Qué deberían hacer las empresas argentinas
En Argentina, constructoras, desarrolladoras, inmobiliarias y administradores pueden aplicar controles inmediatos sin transformar toda su infraestructura tecnológica.
Primero, autenticación multifactor en correo y sistemas financieros. Segundo, revisión de reglas sospechosas de reenvío en buzones corporativos. Tercero, capacitación específica para administración, tesorería, compras, legales y equipos de obra. Cuarto, protocolo obligatorio para cambios de CBU o instrucciones de transferencia. Quinto, doble aprobación para pagos sensibles. Sexto, contacto rápido con el banco y preservación de evidencia si el pago ya salió.
Cyber Unit, compañía canadiense de ciberseguridad, advierte que estos ataques explotan el flujo normal de los proyectos. Ese punto es central hoy, donde muchas empresas medianas y familiares operan con confianza personal, proveedores recurrentes y validaciones informales.
El nuevo control de obra también es financiero-digital
La construcción siempre entendió la importancia del control: avance físico, certificaciones, calidad, seguridad, materiales, plazos. Real Estate también vive de validar: títulos, identidad, fondos, documentación, autorizaciones. Pero el fraude de pagos muestra que falta incorporar una capa más: el control financiero-digital.
En Estados Unidos, Closinglock, compañía especializada en seguridad para cierres inmobiliarios, sintetizó datos del FBI IC3 2025 en un análisis sobre fraude inmobiliario: las denuncias de fraude inmobiliario crecieron aproximadamente un 58% interanual y las pérdidas reportadas superaron los US$275 millones en 2025.
En operaciones de alto valor, el mail ya no puede ser considerado una prueba suficiente de identidad. Una transferencia mal validada no sólo puede perder dinero. Puede frenar un proyecto, quebrar la confianza con un proveedor y dejar a la empresa expuesta frente a clientes, bancos, aseguradoras y socios.
En construcción y Real Estate, la regla debería ser tan obvia como exigente: nadie libera un certificado de avance sin verificar la obra; nadie debería liberar una transferencia sin verificar identidad, cuenta y autorización por una vía independiente.
