ATTACCHI · VIOLAZIONE DI DATI PERSONALI
Aflac, giugno 2025: intrusione contenuta in poche ore, dati di 22,65 milioni di persone
Il 12 giugno 2025 Aflac ha rilevato e contenuto in poche ore un accesso alla propria rete, senza ransomware né fermo. L'attaccante aveva già copiato dati sanitari e di sinistro, e a fine 2025 Aflac ha avviato le notifiche a 22,65 milioni di persone.
- Vittima
- Aflac
- Settore
- Assicurazioni salute e vita
- Paese
- Stati Uniti
- Data
- 12 giugno 2025
- Categoria
- Violazione di dati personali
- Causa
- Non nota
- Attore
- Criminale (sospettato). Indicato dai ricercatori come Scattered Spider; Aflac non ha commentato l'autore
- Scenari di danno
- Notifica e responsabilità privacy · Responsabilità verso terzi
Le cause in breve
- Accesso iniziale. Non è stato comunicato.
- Contenimento. Intrusione individuata il 12 giugno e contenuta in poche ore; nessun ransomware (Aflac, modulo 8-K).
- Contesto. Il 16 giugno Google ha avvertito che il gruppo stava colpendo le assicurazioni con ingegneria sociale verso help desk e call center (The Register).
L'impatto
- 22,65 milioni di persone notificate: clienti, beneficiari, dipendenti e agenti (GovInfoSecurity).
- Dati: informazioni sui sinistri, dati sanitari, numeri di previdenza sociale.
- Assunzione, liquidazione e servizio clienti proseguiti normalmente.
- Circa due dozzine di azioni collettive riunite in Georgia; costi non resi noti.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense e assistenza legale rispondono.
- Ripristino di dati e sistemiNon pertinenteNessun sistema cifrato o distrutto.
- Business interruption propriaNon pertinenteL'attività è proseguita normalmente.
- Business interruption dipendente (fornitore)Non pertinenteNessun fornitore coinvolto.
- EstorsioneNon pertinenteLe fonti non riportano richieste di riscatto.
- Notifica e responsabilità privacyRisponde con limitiNotifiche e 24 mesi di monitoraggio per 22,65 milioni di persone: il costo cresce con il numero di persone e può superare i limiti.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeLe azioni collettive per negligenza rispondono fino al limite.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Stima iniziale. Ad agosto la segnalazione al regolatore sanitario indicava 500 persone, poi diventate 22,65 milioni: la riserva non va fissata sul primo dato.
- Nessuna esclusione tipica sembra applicabile: attore criminale.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Un'intrusione contenuta in poche ore presso un assicuratore ha portato al furto di dati sanitari e di sinistro di 22,65 milioni di persone.
Segnale di cumulo per il portafoglio.
Cumulo per attore e per settore: nella stessa settimana Erie Insurance e Philadelphia Insurance Companies hanno subito blocchi dei sistemi, con un collegamento al gruppo non confermato.