Seguro cibernético para REIT: datos de inquilinos, sistemas del edificio y fraude por transferencia

Una póliza de seguro cibernético para un REIT (fideicomiso de inversión inmobiliaria) puede pagar costos y responsabilidades que siguen a una filtración de datos de inquilinos o residentes, un ataque de ransomware, una extorsión cibernética, la pérdida de datos, una caída de la red, la respuesta al incidente, reclamos de privacidad, procedimientos regulatorios y algunas formas de fraude cometido por medios electrónicos. La cobertura no está estandarizada: las pólizas cibernéticas son muy personalizadas y lo que manda es la redacción de la póliza, según la NAIC (Asociación Nacional de Comisionados de Seguros) (opens in a new tab). Una transferencia fraudulenta es una pregunta aparte. El fraude informático, el fraude en transferencias de fondos y la ingeniería social pueden estar en una póliza cibernética, en una póliza contra delitos, en un endoso o en ninguna parte, según la redacción y los hechos. Los REIT que cotizan en bolsa tienen además obligaciones de divulgación ante la SEC por incidentes cibernéticos materiales. La respuesta para cada REIT depende de sus datos, sistemas, proveedores, controles de pago, contratos, leyes estatales y términos de la póliza.

¿Qué riesgos cibernéticos enfrenta realmente un REIT?

Un REIT guarda más información personal de lo que sugiere su balance. Los expedientes de arrendamiento, los portales para residentes, los pagos de renta, la nómina y los registros de inversionistas contienen datos de inquilinos, residentes, empleados, inversionistas y proveedores. Los REIT que cotizan en bolsa describen esa exposición en sus propios informes anuales. El Formulario 10-K de 2024 de AvalonBay Communities (opens in a new tab) identifica el riesgo cibernético ligado al almacenamiento de información de sus miembros y advierte que una brecha de seguridad podría causar pérdidas, mal uso, litigios y responsabilidad. El Formulario 10-K de 2024 de Kimco Realty (opens in a new tab) señala que un incidente cibernético podría impedir que la empresa mantenga los sistemas del edificio de los que dependen sus inquilinos.

La segunda capa son los propios edificios. El control de acceso, la climatización (HVAC), los elevadores, el estacionamiento y la gestión de energía funcionan cada vez más con tecnología operativa conectada, conocida como OT, que es distinta de la red de TI corporativa que maneja el correo y la contabilidad. Los equipos de OT expuestos a internet, el acceso remoto débil, la mala configuración, la falta de segmentación y la incapacidad de operar los sistemas a mano después de un incidente elevan el riesgo, según la hoja informativa de CISA sobre tecnología operativa (opens in a new tab) del 6 de mayo de 2025.

La tercera capa es todo aquel que tiene una contraseña. Los administradores de propiedades externos, los proveedores de servicios en la nube, los procesadores de pagos y otros proveedores pueden guardar datos del REIT o entrar a sus sistemas. El ransomware puede comprometer redes, cifrar la infraestructura, interrumpir operaciones e incluso ocultar un compromiso previo del correo empresarial, según la guía #StopRansomware de CISA (opens in a new tab). Un buen primer paso es un mapa por escrito de qué datos guarda el REIT, qué sistemas operan cada propiedad y qué terceros tocan unos u otros.

¿Qué suele incluir un seguro cibernético?

La cobertura cibernética suele dividirse en dos partes. La cobertura de primera parte paga los costos propios del asegurado. La cobertura de terceros responde cuando otra persona reclama que el REIT le causó un daño. La explicación de la NAIC sobre la cobertura de primera parte (opens in a new tab) enumera estos componentes típicos:

• Asesoría legal para las obligaciones de notificación y regulatorias
• Recuperación o reemplazo de datos perdidos o robados
• Notificación a clientes y servicios de centro de llamadas
• Ingresos perdidos por interrupción del negocio
• Manejo de crisis y relaciones públicas
• Extorsión cibernética y fraude
• Investigación forense
• Cargos, multas y sanciones relacionados con un incidente cibernético

La cobertura de terceros suele abarcar la responsabilidad frente a otros, incluidos pagos a consumidores, litigios, investigaciones regulatorias, reclamos, acuerdos, sentencias y ciertas acusaciones de difamación o de propiedad intelectual. Algunas pólizas se organizan también en torno a responsabilidad por seguridad de la red, responsabilidad por privacidad, defensa regulatoria, extorsión cibernética, interrupción del negocio por caída de la red y protección de activos de datos.

Cada uno de esos puntos es un componente posible, no una promesa. La cobertura depende de cada aseguradora y queda sujeta a las definiciones, exclusiones, condiciones, retenciones y sublímites de la póliza. Los pagos de rescate y las multas regulatorias son buenos ejemplos: aparecen entre los componentes típicos, pero los requisitos de consentimiento, las reglas sobre sanciones, los límites de asegurabilidad y los sublímites pueden cambiar el resultado. La mayoría de las pólizas comerciales de propiedad y de responsabilidad civil general no cubren riesgos cibernéticos, según la NAIC (opens in a new tab), así que el programa de propiedad que ya tiene un REIT no sustituye la lectura de la redacción cibernética.

El mercado también está repartido. Las primas cibernéticas en Estados Unidos fueron de aproximadamente $7,200 millones en 2022, entre productos independientes y paquetes, según la página de ciberseguridad de la NAIC actualizada el 9 de mayo de 2024. En la participación por segmento que muestra el informe de seguro cibernético de la NAIC (opens in a new tab) con datos de 2023, las líneas excedentes nacionales representaron el 45%, las aseguradoras admitidas en Estados Unidos el 29% y las líneas excedentes extranjeras el 26%. Esas cifras describen el mercado y no lo que pagaría un REIT, pero explican por qué un REIT puede recibir una oferta de póliza cibernética de líneas excedentes.

¿Cubre los sistemas de automatización del edificio y de control de acceso?

Una póliza cibernética cubre los sistemas del edificio solo si esos sistemas, el escenario de pérdida y sus dependencias caen dentro de la redacción de la póliza. Una cobertura pensada para la TI corporativa no se extiende automáticamente al control de acceso, la climatización, los elevadores, el estacionamiento, las plataformas de tecnología inmobiliaria u otra OT. Algunas pólizas tratan estos sistemas como cubiertos, otras los excluyen y otras tratan una plataforma operada por un proveedor como sistema dependiente, con términos distintos para la interrupción del negocio.

Por eso el punto de partida práctico es un inventario. Anote los sistemas conectados de cada propiedad, quién opera cada uno, si está en la red del REIT o en la de un proveedor y cómo funcionaría la propiedad si el sistema dejara de operar. La guía de CISA sobre OT insiste en separar la TI de la OT, proteger el acceso remoto y conservar la capacidad de operar los sistemas a mano, según su hoja informativa sobre OT (opens in a new tab). Con ese inventario en la mano, pregunte al profesional de seguros cómo trata la póliza real cada sistema y cada interrupción dependiente.

¿El fraude por transferencia lo cubre el seguro cibernético o el seguro contra delitos?

Una transferencia fraudulenta no es automáticamente un reclamo cibernético. El compromiso del correo empresarial (BEC, por sus siglas en inglés) es una estafa en la que los delincuentes toman cuentas de correo legítimas de una empresa mediante ingeniería social o intrusión informática para provocar transferencias de fondos no autorizadas, según el Internet Crime Complaint Center (Centro de Denuncias de Delitos en Internet, IC3) del FBI (opens in a new tab). En un REIT, el riesgo aparece en el cobro de rentas, las adquisiciones, los desembolsos de construcción y los cierres, donde una instrucción de transferencia modificada puede parecer rutinaria.

Tres conceptos de cobertura suelen confundirse:

• Fraude informático: en general, actividad fraudulenta que involucra una computadora y causa una pérdida financiera.
• Fraude en transferencias de fondos: en general, instrucciones fraudulentas que hacen que una institución financiera mueva fondos de una cuenta asegurada.
• Fraude por ingeniería social: en general, un empleado autorizado es engañado para transferir dinero o cambiar datos de pago.

No son intercambiables. Una póliza cibernética puede incluir delitos cibernéticos, fraude informático y en transferencias de fondos, o ingeniería social, mientras que una póliza comercial contra delitos puede tener acuerdos de cobertura separados para las mismas ideas. El formulario, la edición, las definiciones, las exclusiones, los requisitos de verificación y los endosos deciden el resultado, y no hay respuesta posible sobre la cobertura sin la póliza y los hechos. Pida al profesional de seguros que identifique el formulario, la edición, el acuerdo de cobertura, el endoso y la condición de verificación exactos que se aplicarían a una transferencia fraudulenta, y si la ingeniería social tiene su propio sublímite.

La rapidez importa después de una transferencia indebida. El IC3 indica este orden:

1. Comuníquese con la institución financiera de origen en cuanto detecte el fraude, solicite la recuperación o reversión de la transferencia y pida una carta de exención de responsabilidad (Hold Harmless Letter) o una carta de indemnización (Letter of Indemnity).
2. Presente una denuncia detallada en ic3.gov (opens in a new tab) con la información bancaria.
3. Entregue pronto los detalles de la operación para que el Recovery Asset Team (Equipo de Recuperación de Activos) intente el proceso Financial Fraud Kill Chain.

El proceso Domestic Financial Fraud Kill Chain (opens in a new tab) conecta a la víctima, el IC3, las instituciones financieras y las oficinas locales del FBI para ayudar a congelar fondos en los casos que califican. No garantiza la recuperación. La escala es real: el Informe de Delitos en Internet 2024 del IC3 (opens in a new tab) registra pérdidas por BEC de $361,651,832 denunciadas solo por víctimas de 50 a 59 años, y pérdidas inmobiliarias de $22,466,504 en ese mismo grupo de edad. Son cifras de denuncias por grupo de edad, no una estimación de todas las pérdidas ni una estadística de REIT.

¿Qué debe divulgar un REIT que cotiza en bolsa después de un incidente cibernético?

La divulgación ante la SEC es una obligación separada del seguro, y tener una póliza no la cambia. La Release No. 33-11216 de la SEC (opens in a new tab), emitida el 26 de julio de 2023, agregó dos requisitos para las empresas públicas.

El Formulario 8-K, Item 1.05, exige divulgar un incidente de ciberseguridad material dentro de los cuatro días hábiles siguientes a que la empresa determina que el incidente es material, con la limitada posibilidad de aplazamiento que prevé la regla. La divulgación cubre los aspectos materiales del incidente, como su naturaleza, alcance y momento, y su impacto o impacto razonablemente probable. La Regulation S-K, Item 106, exige una divulgación anual de los procesos para evaluar, identificar y manejar los riesgos materiales de ciberseguridad (Item 106(b)) y de la supervisión de la junta directiva y el papel de la gerencia (Item 106(c)).

Las reglas entraron en vigor el 5 de septiembre de 2023. El Item 106 se aplicó a los ejercicios fiscales que terminaran el 15 de diciembre de 2023 o después. Las empresas que no son pequeñas empresas informantes comenzaron a cumplir el Item 1.05 el 18 de diciembre de 2023, y las pequeñas empresas informantes comenzaron el 15 de junio de 2024, según la guía de cumplimiento de la SEC para pequeñas empresas (opens in a new tab).

Los informes que resultan muestran lo distinto que cada REIT describe el riesgo cibernético. El Formulario 10-K de 2024 de Prologis (opens in a new tab) indica que su Comité de Auditoría supervisa el riesgo de ciberseguridad y que mantiene un seguro de ciberseguridad independiente. El Formulario 10-K de 2024 de Kimco advierte que el seguro podría no cubrir todas las pérdidas, como la investigación, el análisis forense, la asesoría legal, las relaciones públicas y la reparación o el reemplazo de sistemas. Esas declaraciones describen el programa de cada empresa; no demuestran que una póliza cubra una pérdida en particular. La decisión sobre la materialidad le corresponde al REIT y a sus abogados conforme a las reglas de la SEC.

¿Qué reglas de notificación de filtraciones pueden aplicarse a los datos de inquilinos y residentes?

Las leyes estatales de notificación siguen a los residentes cuyos datos quedaron expuestos, así que un REIT con propiedades en varios estados puede enfrentar varios plazos después de un solo incidente. Tres ejemplos muestran cuánto cambian las reglas.

En Connecticut, Conn. Gen. Stat. § 36a-701b (opens in a new tab) se aplica a quien posee, licencia o mantiene datos computarizados con información personal. El aviso a los residentes debe darse sin demora injustificada y a más tardar 60 días después del descubrimiento, y el Fiscal General de Connecticut debe recibir aviso a más tardar cuando se notifica a los residentes. Si se comprometió un número de Seguro Social o un número de identificación de contribuyente, la ley exige 24 meses de monitoreo de crédito, según la página del Fiscal General de Connecticut sobre cómo reportar una filtración (opens in a new tab).

En Nueva York, la General Business Law § 899-aa (opens in a new tab) exige el aviso en el plazo más expedito posible y sin demora injustificada, y la ley vigente fija un máximo de 30 días después del descubrimiento, con excepciones por necesidades de las autoridades y de la investigación. Cuando se notifica a residentes de Nueva York, la empresa también debe avisar al Fiscal General, al Departamento de Estado, a la División de Policía Estatal y al Departamento de Servicios Financieros sobre el momento, el contenido y la distribución del aviso.

En California, el Civil Code § 1798.82 (opens in a new tab) exige que una empresa que posee o licencia información personal computarizada notifique a los residentes de California afectados en el plazo más expedito posible y sin demora injustificada, con excepciones por necesidades de las autoridades y de restauración de sistemas. La disposición no fija un número general de días.

Pregunte al profesional de seguros si los costos de notificación, el monitoreo de crédito y la defensa regulatoria están incluidos y si comparten un sublímite.

¿Qué controles de seguridad destacan las autoridades?

El seguro no reemplaza los controles de seguridad, y las aseguradoras pueden exigir controles sólidos como condición de la cobertura, según la NAIC. Las guías de CISA apuntan a un conjunto constante de prácticas:

• Autenticación multifactor (MFA), de preferencia resistente al phishing, en el correo, el acceso remoto y las cuentas con privilegios
• Contraseñas fuertes y únicas, y protección de las cuentas con privilegios
• Instalación oportuna de parches en sistemas operativos, aplicaciones, firmware y sistemas expuestos a internet
• Copias de seguridad frecuentes, fuera de línea, aisladas y probadas
• Registro y monitoreo del acceso remoto y de la actividad administrativa
• Acceso remoto seguro mediante redes privadas o VPN, privilegio mínimo y cuentas inactivas deshabilitadas
• Segmentación de la red, incluida la separación entre TI y OT
• Planes de respuesta a incidentes ensayados con los equipos de TI, seguridad y operaciones
• Capacidad de operación manual y procedimientos de seguridad probados para la OT
• Revisión de seguridad de proveedores y de proveedores de servicios administrados

Esos controles provienen de la guía #StopRansomware (opens in a new tab), de la hoja informativa de CISA sobre OT (opens in a new tab) y de su alerta conjunta sobre infraestructura crítica (opens in a new tab) del 11 de enero de 2022. Documentar cuáles están en marcha a nivel corporativo y en cada propiedad, incluidos los sistemas que operan los proveedores, hace que una solicitud de renovación sea más rápida y más exacta.

¿Qué debe preguntar un REIT antes de comprar o renovar la cobertura?

Las preguntas más útiles convierten el mapa de exposición en lenguaje de póliza. Lleve estas al profesional de seguros:

• ¿Qué entidades, subsidiarias, empresas conjuntas, administradores de propiedades y proveedores están asegurados?
• ¿La póliza cubre la información de inquilinos, residentes, empleados, inversionistas y proveedores?
• ¿Están incluidos los sistemas de automatización del edificio, control de acceso, climatización, elevadores, estacionamiento y otra OT?
• ¿La cobertura se aplica a la interrupción del negocio dependiente y cuál es el período de espera?
• ¿Cómo define la póliza el fraude informático, el fraude en transferencias de fondos y la ingeniería social, y la cobertura de transferencias fraudulentas está en la póliza cibernética, en la de delitos o en un endoso?
• ¿Qué procedimientos de verificación se exigen antes de una transferencia?
• ¿Qué exclusiones se aplican a vulnerabilidades conocidas, sistemas sin soporte, incidentes previos, guerra, sanciones o pagos no aprobados?
• ¿Cuáles son la retención, los sublímites y los requisitos de consentimiento?
• ¿Qué proveedores de respuesta a incidentes se pueden usar, y qué aviso debe darse y con qué rapidez?
• ¿Están incluidos la defensa regulatoria, la notificación, el monitoreo de crédito, los servicios forenses y la restauración de datos?
• ¿Qué controles de seguridad deben mantenerse como condición de la cobertura?
• ¿Cómo se coordina la póliza con las de delitos, propiedad, interrupción del negocio, D&O y proveedores?

También ayuda reunir los documentos antes de la conversación: un inventario de datos, un mapa de la TI corporativa y de la OT de los edificios, una lista de administradores de propiedades y proveedores de servicios, la documentación de MFA, copias de seguridad, parches, segmentación, registros y respuesta a incidentes, las pólizas vigentes de seguro cibernético, delitos, propiedad, interrupción del negocio y D&O, las solicitudes anteriores, el historial de reclamos e incidentes, los contratos clave y los cuestionarios de seguridad, los procedimientos de verificación de transferencias, los estados donde viven los residentes y la situación del REIT ante la SEC. Cualquier requisito de seguro cibernético de un prestamista, un socio de empresa conjunta o un contrato debe confirmarse en los propios documentos del préstamo, de la empresa conjunta o del contrato.

Preguntas frecuentes

¿El seguro cibernético de un REIT cubre un error del administrador de la propiedad?

Depende de quién está asegurado y de cómo trata la póliza a los proveedores. Pregunte si el administrador de la propiedad es asegurado, si un incidente en un proveedor de servicios activa la cobertura y cómo se coordina la póliza con el seguro propio del administrador.

¿El seguro cibernético paga la renta perdida después de un ataque de ransomware?

La interrupción del negocio por caída de la red es un componente cibernético común, pero el período de espera, la definición de sistemas cubiertos y los términos para sistemas dependientes deciden cómo queda un reclamo. Pregunte cómo se calculan los ingresos perdidos y si cuenta la caída de un sistema operado por un proveedor.

¿Qué pruebas deben conservarse después de un incidente?

Conserve registros, correos, comprobantes de transferencias e imágenes de los sistemas, y reporte el incidente según las disposiciones de aviso de la póliza. Pregunte con anticipación al profesional de seguros qué exigen las reglas de aviso y consentimiento, porque algunas pólizas limitan qué proveedores de respuesta a incidentes se pueden usar.

¿Una póliza cibernética independiente es distinta de la cobertura cibernética dentro de un paquete?

Sí; el seguro cibernético se vende tanto en pólizas independientes como en coberturas incluidas en paquetes con otras líneas, según los informes de mercado de la NAIC. Los límites, los sublímites y el alcance de la cobertura de primera parte y de terceros pueden variar, así que compare la redacción real lado a lado.

Su siguiente paso

Empiece por el mapa de exposición: los datos que guarda, los sistemas que operan cada propiedad, los proveedores que tocan unos u otros y las pólizas que ya tiene. Después lleve las preguntas de arriba a una agencia de seguros que trabaje con bienes raíces comerciales y pida ver la redacción detrás de cada respuesta. El directorio de Riskado reúne agencias de seguros de todo Estados Unidos, para que encuentre una con quien hablar y verifique su licencia con el departamento de seguros de su estado (opens in a new tab) antes de compartir sus datos.