ANÁLISIS
Aflac, 22,65 millones de personas: cuando el asegurador es el objetivo
El 12 de junio de 2025 Aflac contuvo en pocas horas una intrusión que ya había sustraído datos de salud y de siniestros de 22,65 millones de personas, mientras Google advertía de que Scattered Spider había pasado a los seguros. El análisis: contención y violación, el sector como objetivo, servicios de asistencia y agentes, preguntas para las renovaciones.
Archivo: reconstrucción escrita en noviembre de 2026
Tema del mes de junio de 2025 · por cybercoverinsurance
El 12 de junio de 2025 Aflac, uno de los mayores aseguradores estadounidenses de pólizas complementarias de salud y vida, detectó un acceso no autorizado a su red. La intrusión se contuvo en pocas horas, sin ransomware y sin interrupción de la actividad, pero ese mismo día el atacante ya había copiado datos. A finales de 2025 Aflac empezó a notificar a 22,65 millones de personas. En la misma semana Erie Insurance y Philadelphia Insurance Companies sufrieron caídas de sistemas, y Google advirtió de que el grupo Scattered Spider había pasado del comercio minorista a los seguros.
Para quien asume el riesgo cyber el caso es doble: afecta a un asegurado del sector financiero y, a la vez, al sector asegurador como objetivo. Muestra que una contención rápida no reduce el siniestro si los datos ya han salido, y que un sector lleno de datos de salud y de siniestros atrae a atacantes que eligen un sector cada vez.
Lo que se sabe
El incidente. En el formulario 8-K del 20 de junio Aflac escribe que el 12 de junio identificó un acceso no autorizado a su red estadounidense y contuvo la intrusión en pocas horas. Sus sistemas no se vieron afectados por ransomware, y la suscripción, la gestión de siniestros y la atención al cliente continuaron con normalidad. Los archivos potencialmente afectados contienen información de siniestros, datos de salud, números de la Seguridad Social y otros datos personales de clientes, beneficiarios, empleados y agentes (Aflac, formulario 8-K).
Las notificaciones. A finales de 2025 Aflac comunicó que notificaba a 22,65 millones de personas. En agosto había presentado al regulador sanitario federal un informe con una estimación provisional de 500 personas. Aflac ofrece 24 meses de vigilancia del crédito y de protección frente a fraudes de identidad y médicos, y declara no tener constancia de usos fraudulentos de los datos. Unas dos docenas de acciones colectivas se han acumulado ante un tribunal federal de Georgia, por negligencia, incumplimiento de contrato implícito y enriquecimiento injusto (GovInfoSecurity).
La atribución. Aflac no ha comentado públicamente la autoría. Los investigadores señalaron a Scattered Spider, pero NCC Group recuerda que el grupo colabora con otros, como ShinyHunters, y que una atribución cierta es difícil (GovInfoSecurity).
El sector. El 16 de junio John Hultquist, de Google Threat Intelligence, dijo que el grupo, tras el comercio minorista en el Reino Unido y Estados Unidos, estaba golpeando a los seguros, y que los aseguradores debían estar en alerta ante la ingeniería social dirigida a servicios de asistencia y centros de llamadas. Erie Insurance había comunicado el 8 de junio una interrupción en todos sus sistemas, con actividad anómala desde el 7 de junio. Philadelphia Insurance Companies apagó teléfonos, correo y aplicaciones online tras una alerta del 9 de junio. El vínculo de estos dos casos con Scattered Spider no se ha confirmado (The Register).
Lo que no se sabe. Aflac no ha hecho públicos los costes del incidente ni posibles recobros del seguro. No se ha comunicado cómo entró el atacante.
Contenido en horas, siniestro completo
La rapidez salvó la actividad, no los datos. Aflac detuvo la intrusión en pocas horas y no tuvo interrupción de la actividad. Pero los datos se habían sustraído el mismo día (GovInfoSecurity). Para la póliza, la partida dominante no es la interrupción sino la violación: notificaciones a más de 22 millones de personas, vigilancia durante dos años, defensa en decenas de demandas.
La cifra llega tarde. Entre el informe provisional de 500 personas en agosto y la cifra de 22,65 millones en diciembre pasan meses. Para quien asume el riesgo, la reserva de un siniestro por violación de datos debe construirse sobre el conjunto de datos alcanzables, no sobre la primera estimación comunicada.
Los datos de salud pesan más. La información de siniestros y de salud conlleva obligaciones específicas de notificación y un riesgo de demandas mayor. Un asegurador de salud, como un hospital, custodia los datos más caros de perder.
El asegurador como objetivo
Un sector cada vez. Según Google, el mismo grupo pasó de los minoristas a los aseguradores (The Register). Tras Marks & Spencer, Co-op y Harrods en abril y mayo, en junio llegaron los aseguradores. Para una cartera, el cúmulo por actor significa que un sector entero puede ser golpeado en pocas semanas.
El centro de llamadas es la puerta. Los aseguradores tienen grandes centros de llamadas, redes de agentes y servicios de asistencia que restablecen credenciales para miles de usuarios externos. Son exactamente los puntos que señaló Google. Las pautas sugieren verificar a quien llama por videollamada o con preguntas de control y usar autenticación multifactor resistente al phishing (The Register).
Los agentes amplían el perímetro. Entre las personas afectadas en Aflac hay agentes. Una red de distribución hecha de intermediarios independientes, con acceso a los sistemas de la compañía, es un perímetro difícil de controlar. Para quien asegura compañías e intermediarios, los derechos de acceso de la red de agentes son una cuestión de suscripción.
Qué significa para quien asegura el sector
La exposición está en la cartera y en el balance. Los aseguradores que cubren a otras compañías e intermediarios tienen en cartera un sector que fue objetivo declarado. Esos mismos aseguradores, como empresas, están expuestos al mismo actor. El siniestro puede llegar por ambos lados.
Las demandas siguen a la notificación. Las acciones colectivas contra Aflac piden también medidas como la prohibición de conservar datos sensibles en bases de datos en la nube (GovInfoSecurity). Las demandas por violación de datos no piden solo indemnizaciones, también imponen costes de adecuación que las pólizas no suelen cubrir.
Qué llevar a las renovaciones
Impacto para las aseguradorasAlto
Una intrusión contenida en pocas horas en un asegurador llevó al robo de datos de salud y de siniestros de 22,65 millones de personas, en una campaña dirigida a todo el sector asegurador.
En el lado de la cartera, el caso sugiere vigilar las alertas sobre grupos que cambian de sector y tratar a compañías e intermediarios como un grupo expuesto al mismo actor en el mismo periodo. Para un asegurador cyber que asegura también a otras compañías, revisar sus propios procedimientos de asistencia forma parte de la gestión del riesgo de cartera.