ANALISI
Aflac, 22,65 milioni di persone: quando l'assicuratore è il bersaglio
Il 12 giugno 2025 Aflac ha contenuto in poche ore un'intrusione che aveva già sottratto dati sanitari e di sinistro di 22,65 milioni di persone, mentre Google avvertiva che Scattered Spider era passato alle assicurazioni. L'analisi: contenimento e violazione, il settore come bersaglio, help desk e agenti, domande per i rinnovi.
Archivio: ricostruzione scritta a novembre 2026
Tema del mese di giugno 2025 · di cybercoverinsurance
Il 12 giugno 2025 Aflac, uno dei maggiori assicuratori statunitensi di polizze integrative salute e vita, ha rilevato un accesso non autorizzato alla propria rete. L'intrusione è stata contenuta in poche ore, senza ransomware e senza fermo dell'attività, ma nello stesso giorno l'attaccante aveva già copiato dati. A fine 2025 Aflac ha avviato le notifiche a 22,65 milioni di persone. Nella stessa settimana Erie Insurance e Philadelphia Insurance Companies hanno subito blocchi dei sistemi, e Google ha avvertito che il gruppo Scattered Spider era passato dal commercio al dettaglio alle assicurazioni.
Per chi assume il rischio cyber il caso è doppio: riguarda un assicurato del settore finanziario e, allo stesso tempo, il settore assicurativo come bersaglio. Mostra che un contenimento rapido non riduce il sinistro se i dati sono già usciti, e che un settore pieno di dati sanitari e di sinistro attira attaccanti che scelgono un settore alla volta.
Cosa si sa
L'incidente. Nel modulo 8-K del 20 giugno Aflac scrive di aver individuato il 12 giugno un accesso non autorizzato alla rete statunitense e di aver contenuto l'intrusione in poche ore. I sistemi non sono stati colpiti da ransomware e assunzione, liquidazione dei sinistri e servizio clienti sono proseguiti normalmente. I file potenzialmente coinvolti contengono informazioni sui sinistri, dati sanitari, numeri di previdenza sociale e altri dati personali di clienti, beneficiari, dipendenti e agenti (Aflac, modulo 8-K).
Le notifiche. A fine 2025 Aflac ha comunicato di notificare 22,65 milioni di persone. Ad agosto aveva presentato al regolatore sanitario federale una segnalazione con una stima provvisoria di 500 persone. Aflac offre 24 mesi di monitoraggio del credito e di protezione da frodi d'identità e mediche, e dichiara di non essere a conoscenza di usi fraudolenti dei dati. Circa due dozzine di azioni collettive sono state riunite davanti a un tribunale federale della Georgia, per negligenza, violazione di contratto implicito e arricchimento senza causa (GovInfoSecurity).
L'attribuzione. Aflac non ha commentato pubblicamente l'autore. I ricercatori hanno indicato Scattered Spider, ma NCC Group ricorda che il gruppo collabora con altri, come ShinyHunters, e che un'attribuzione certa è difficile (GovInfoSecurity).
Il settore. Il 16 giugno John Hultquist di Google Threat Intelligence ha detto che il gruppo, dopo il commercio al dettaglio nel Regno Unito e negli Stati Uniti, stava colpendo le assicurazioni, e che gli assicuratori dovevano stare in allerta per l'ingegneria sociale verso help desk e call center. Erie Insurance aveva segnalato l'8 giugno un'interruzione su tutti i sistemi, con attività anomala vista dal 7 giugno. Philadelphia Insurance Companies ha spento telefoni, email e applicazioni online dopo un allarme del 9 giugno. Il collegamento di questi due casi con Scattered Spider non è stato confermato (The Register).
Cosa non è noto. Aflac non ha reso noti i costi dell'incidente né eventuali recuperi assicurativi. Come l'attaccante sia entrato non è stato comunicato.
Contenuto in ore, sinistro intero
La velocità ha salvato l'attività, non i dati. Aflac ha fermato l'intrusione in poche ore e non ha avuto interruzione dell'attività. Ma i dati erano stati presi lo stesso giorno (GovInfoSecurity). Per la polizza, la voce dominante non è l'interruzione ma la violazione: notifiche a oltre 22 milioni di persone, monitoraggio per due anni, difesa in decine di cause.
Il numero arriva tardi. Tra la segnalazione provvisoria di 500 persone ad agosto e la cifra di 22,65 milioni a dicembre passano mesi. Per chi assume il rischio, la riserva su un sinistro da violazione di dati va costruita sull'insieme dei dati raggiungibili, non sulla prima stima comunicata.
I dati sanitari pesano di più. Informazioni sui sinistri e dati sanitari portano obblighi specifici di notifica e un rischio di cause più alto. Un assicuratore dei rami salute, come un ospedale, custodisce i dati più costosi da perdere.
L'assicuratore come bersaglio
Un settore alla volta. Secondo Google, lo stesso gruppo è passato dai retailer alle assicurazioni (The Register). Dopo Marks & Spencer, Co-op e Harrods ad aprile e maggio, a giugno sono arrivati gli assicuratori. Per un portafoglio, il cumulo per attore significa che un settore intero può essere colpito nel giro di poche settimane.
Il call center è la porta. Gli assicuratori hanno grandi call center, reti di agenti e help desk che reimpostano credenziali per migliaia di utenti esterni. Sono esattamente i punti che Google ha indicato. Le linee guida suggeriscono di verificare chi chiama con una videochiamata o con domande di controllo e di usare un'autenticazione a più fattori resistente al phishing (The Register).
Gli agenti allargano il perimetro. Tra le persone coinvolte da Aflac ci sono agenti. Una rete distributiva fatta di intermediari indipendenti, con accessi ai sistemi della compagnia, è un perimetro difficile da controllare. Per chi assicura compagnie e intermediari, i diritti di accesso della rete agenziale sono un tema di assunzione.
Cosa significa per chi assicura il settore
L'esposizione è nel portafoglio e nel bilancio. Gli assicuratori che coprono altre compagnie e intermediari hanno in portafoglio un settore che è stato un bersaglio dichiarato. Gli stessi assicuratori, come aziende, sono esposti allo stesso attore. Il sinistro può arrivare da entrambi i lati.
Le cause seguono la notifica. Le azioni collettive contro Aflac chiedono anche misure come il divieto di conservare dati sensibili in database cloud (GovInfoSecurity). Le cause sulla violazione di dati non chiedono solo risarcimenti, ma impongono costi di adeguamento che le polizze di norma non coprono.
Cosa portare ai rinnovi
Impatto per gli assicuratoriAlto
Un'intrusione contenuta in poche ore presso un assicuratore ha portato al furto di dati sanitari e di sinistro di 22,65 milioni di persone, in una campagna rivolta all'intero settore assicurativo.
Sul fronte del portafoglio, il caso suggerisce di monitorare gli avvisi sui gruppi che cambiano settore e di trattare compagnie e intermediari come un gruppo esposto allo stesso attore nello stesso periodo. Per un assicuratore cyber che assicura anche altre compagnie, il controllo delle proprie procedure di help desk fa parte della gestione del rischio di portafoglio.