ANALYSES
Aflac, 22,65 millions de personnes : quand l'assureur est la cible
Le 12 juin 2025, Aflac a contenu en quelques heures une intrusion qui avait déjà dérobé des données de santé et de sinistres de 22,65 millions de personnes, alors que Google avertissait que Scattered Spider était passé à l'assurance. L'analyse : confinement et violation, le secteur comme cible, services d'assistance et agents, questions pour les renouvellements.
Archives : reconstitution rédigée en novembre 2026
Thème du mois de juin 2025 · par cybercoverinsurance
Le 12 juin 2025, Aflac, l'un des plus grands assureurs américains de polices complémentaires santé et vie, a détecté un accès non autorisé à son réseau. L'intrusion a été contenue en quelques heures, sans ransomware ni interruption d'activité, mais le jour même l'attaquant avait déjà copié des données. Fin 2025, Aflac a commencé à notifier 22,65 millions de personnes. La même semaine, Erie Insurance et Philadelphia Insurance Companies ont subi des pannes de systèmes, et Google a averti que le groupe Scattered Spider était passé de la distribution à l'assurance.
Pour qui porte le risque cyber, le cas est double : il concerne un assuré du secteur financier et, en même temps, le secteur de l'assurance comme cible. Il montre qu'un confinement rapide ne réduit pas le sinistre si les données sont déjà sorties, et qu'un secteur riche en données de santé et de sinistres attire des attaquants qui choisissent un secteur à la fois.
Ce que l'on sait
L'incident. Dans le formulaire 8-K du 20 juin, Aflac écrit avoir identifié le 12 juin un accès non autorisé à son réseau américain et contenu l'intrusion en quelques heures. Ses systèmes n'ont pas été touchés par un ransomware, et la souscription, la gestion des sinistres et le service client ont continué normalement. Les fichiers potentiellement concernés contiennent des informations de sinistres, des données de santé, des numéros de sécurité sociale et d'autres données personnelles de clients, bénéficiaires, salariés et agents (Aflac, formulaire 8-K).
Les notifications. Fin 2025, Aflac a annoncé notifier 22,65 millions de personnes. En août, elle avait transmis au régulateur fédéral de la santé une déclaration avec une estimation provisoire de 500 personnes. Aflac propose 24 mois de surveillance du crédit et de protection contre la fraude à l'identité et la fraude médicale, et déclare n'avoir connaissance d'aucune utilisation frauduleuse des données. Environ deux douzaines d'actions collectives ont été jointes devant un tribunal fédéral de Géorgie, pour négligence, violation de contrat implicite et enrichissement sans cause (GovInfoSecurity).
L'attribution. Aflac ne s'est pas exprimée publiquement sur l'auteur. Les chercheurs ont désigné Scattered Spider, mais NCC Group rappelle que le groupe collabore avec d'autres, comme ShinyHunters, ce qui rend une attribution certaine difficile (GovInfoSecurity).
Le secteur. Le 16 juin, John Hultquist, de Google Threat Intelligence, a déclaré que le groupe, après la distribution au Royaume-Uni et aux États-Unis, frappait l'assurance, et que les assureurs devaient être en alerte face à l'ingénierie sociale visant les services d'assistance et les centres d'appels. Erie Insurance avait signalé le 8 juin une panne touchant tous ses systèmes, avec une activité anormale observée dès le 7 juin. Philadelphia Insurance Companies a coupé téléphones, messagerie et applications en ligne après une alerte du 9 juin. Le lien de ces deux cas avec Scattered Spider n'a pas été confirmé (The Register).
Ce que l'on ne sait pas. Aflac n'a publié ni les coûts de l'incident ni d'éventuelles indemnités d'assurance. La manière dont l'attaquant est entré n'a pas été communiquée.
Contenu en quelques heures, un sinistre entier
La rapidité a sauvé l'activité, pas les données. Aflac a stoppé l'intrusion en quelques heures et n'a subi aucune interruption d'activité. Mais les données avaient été prises le jour même (GovInfoSecurity). Pour la police, le poste dominant n'est pas l'interruption mais la violation : notifications à plus de 22 millions de personnes, deux ans de surveillance, défense dans des dizaines d'actions.
Le chiffre arrive tard. Des mois séparent la déclaration provisoire de 500 personnes en août et le chiffre de 22,65 millions en décembre. Pour qui porte le risque, la provision d'un sinistre de violation de données doit reposer sur l'ensemble des données atteignables, pas sur la première estimation communiquée.
Les données de santé pèsent plus. Les informations de sinistres et de santé entraînent des obligations de notification spécifiques et un risque contentieux plus élevé. Un assureur santé, comme un hôpital, détient les données les plus coûteuses à perdre.
L'assureur comme cible
Un secteur à la fois. Selon Google, le même groupe est passé des distributeurs aux assureurs (The Register). Après Marks & Spencer, Co-op et Harrods en avril et mai, les assureurs ont suivi en juin. Pour un portefeuille, le cumul par acteur signifie qu'un secteur entier peut être frappé en quelques semaines.
Le centre d'appels est la porte. Les assureurs disposent de grands centres d'appels, de réseaux d'agents et de services d'assistance qui réinitialisent des identifiants pour des milliers d'utilisateurs externes. Ce sont exactement les points signalés par Google. Les recommandations suggèrent de vérifier les appelants par appel vidéo ou questions de contrôle et d'utiliser une authentification multifacteur résistante à l'hameçonnage (The Register).
Les agents élargissent le périmètre. Parmi les personnes concernées chez Aflac figurent des agents. Un réseau de distribution composé d'intermédiaires indépendants ayant accès aux systèmes de la compagnie est un périmètre difficile à contrôler. Pour qui assure compagnies et intermédiaires, les droits d'accès du réseau d'agents sont un sujet de souscription.
Ce que cela signifie pour qui assure le secteur
L'exposition est dans le portefeuille et au bilan. Les assureurs qui couvrent d'autres compagnies et des intermédiaires ont en portefeuille un secteur qui a été une cible déclarée. Ces mêmes assureurs, en tant qu'entreprises, sont exposés au même acteur. Le sinistre peut venir des deux côtés.
Les actions suivent la notification. Les actions collectives contre Aflac demandent aussi des mesures comme l'interdiction de stocker des données sensibles dans des bases de données cloud (GovInfoSecurity). Les actions pour violation de données ne visent pas seulement des dommages et intérêts, elles imposent aussi des coûts de mise en conformité que les polices ne couvrent généralement pas.
Ce qu'il faut apporter aux renouvellements
Impact pour les assureursÉlevé
Une intrusion contenue en quelques heures chez un assureur a entraîné le vol de données de santé et de sinistres de 22,65 millions de personnes, dans une campagne visant tout le secteur de l'assurance.
Côté portefeuille, le cas invite à suivre les alertes sur les groupes qui changent de secteur et à traiter compagnies et intermédiaires comme un groupe exposé au même acteur sur la même période. Pour un assureur cyber qui assure aussi d'autres compagnies, le contrôle de ses propres procédures d'assistance fait partie de la gestion du risque de portefeuille.