La filtración de datos de Allianz Life afecta a 1,4 millones de clientes

Allianz Life Insurance Company of North America, con sede en Minneapolis, Minnesota, ha confirmado una importante filtración de datos que afectó la información personal de la mayoría de sus 1,4 millones de clientes, profesionales financieros y empleados seleccionados. El incidente, ocurrido el 16 de julio de 2025 y descubierto al día siguiente, implicó un acceso no autorizado a una plataforma de gestión de relaciones con los clientes (CRM) operada por un proveedor externo.

Según TechCrunch, el primer medio en reportar este incidente, el atacante obtuvo acceso mediante una técnica de ingeniería social, que consiste en manipular a personas mediante engaños para obtener credenciales o datos confidenciales. Si bien se desconoce el número exacto de personas afectadas, la compañía ha reportado la brecha a las autoridades, incluyendo al FBI y la Fiscalía General de Maine.

El actor de amenazas logró obtener datos personales de la mayoría de los clientes, profesionales financieros y empleados selectos de Allianz Life. Tomamos medidas inmediatas para contener y mitigar el problema y notificamos al FBI, declaró el portavoz de la compañía.

Allianz Life planea comenzar a enviar notificaciones por escrito a las personas afectadas alrededor del 1 de agosto de 2025, ofreciéndoles 24 meses de monitoreo de crédito gratuito y protección contra el robo de identidad . Los sistemas internos de la compañía, incluida su plataforma de administración de pólizas, permanecieron seguros durante el incidente. La brecha de seguridad también fue confirmada por la empresa matriz Allianz SE, que declaró que se limitó a las operaciones de Allianz Life en Norteamérica y no afectó a otras partes de la red global del Grupo Allianz.

El método empleado en la brecha de seguridad de Allianz Life, que emplea ingeniería social para acceder a un sistema de terceros, guarda similitudes con las tácticas empleadas por el colectivo de hackers Scattered Spider. Este grupo es conocido por usar engaños, como suplantar la identidad de personal de soporte técnico de TI , para robar credenciales de proveedores de tecnología. Sin embargo, no se ha identificado a los autores específicos del ataque a Allianz Life.

Este incidente resalta un desafío creciente para las empresas de servicios financieros: proteger sus redes tecnológicas extendidas, dado el creciente número de casos en que las empresas financieras se ven comprometidas a través de sus proveedores externos en lugar de ataques directos a su infraestructura principal.

Los proveedores externos que gestionan datos confidenciales de clientes se han convertido en objetivos atractivos para los ciberdelincuentes que buscan un único punto de acceso a la información de múltiples organizaciones. Los sistemas CRM en la nube son especialmente atractivos, ya que contienen información valiosa de los clientes, como información de contacto, detalles de las políticas e historial de comunicaciones, y pueden ofrecer a los atacantes vías para adentrarse en las redes corporativas.

Si bien Allianz Life implementó rápidamente medidas de contención y está notificando a los clientes afectados, los expertos advierten que los datos personales robados aún podrían utilizarse como arma en futuros intentos de ingeniería social dirigidos a las mismas víctimas. Por lo tanto, las personas afectadas deben mantenerse alerta ante mensajes no solicitados o enlaces sospechosos.

Esta brecha de seguridad pone de manifiesto que las mayores amenazas no siempre provienen de ataques directos, sino a menudo de una combinación de vulnerabilidades en toda la cadena de suministro. En este caso, el atacante empleó múltiples técnicas: ingeniería social para obtener derechos de acceso y una solución de terceros como puerta trasera al sistema, afirmó Boris Cipot, ingeniero sénior de seguridad de Black Duck, proveedor de soluciones de seguridad de aplicaciones con sede en Burlington, Massachusetts.

“Allianz respondió adecuadamente notificando a las autoridades y al cliente afectado, y ofreciendo servicios de monitoreo de crédito e identidad”, añadió Boris. “Sin embargo, las personas afectadas deben permanecer alerta. Los datos robados aún podrían usarse en posteriores intentos de ingeniería social. Tenga cuidado con los mensajes no solicitados, especialmente aquellos que contienen enlaces o archivos adjuntos. No haga clic en enlaces ni abra archivos a menos que esté completamente seguro de su legitimidad”, advirtió.