La filtración de datos de Allianz Life afecta a 1.1 millones de clientes

Allianz Life, una subsidiaria de EE. UU. del asegurador global Allianz SE, ha confirmado que los hackers comprometieron los datos personales de 1.1 millones de clientes, destacando los crecientes riesgos para las empresas de servicios financieros que dependen de plataformas en la nube de terceros.

La empresa, que atiende a 1.4 millones de clientes en EE. UU., dijo que la filtración se descubrió en julio y se originó a partir de un compromiso de un sistema de gestión de relaciones con clientes (CRM) basado en Salesforce el 16 de julio. Los hackers obtuvieron acceso al desplegar aplicaciones OAuth maliciosas, lo que les permitió infiltrarse en los sistemas de Salesforce antes de descargar las bases de datos de la empresa.

¿Qué datos se filtraron?

Según el sitio de notificación de filtraciones Have I Been Pwned, los datos filtrados incluyen nombres, direcciones de correo electrónico, números de teléfono, direcciones físicas, géneros y fechas de nacimiento. En algunos casos, también se comprometieron números de Seguro Social e identificaciones fiscales. La filtración también se extendió a ciertos empleados de Allianz Life, cuya información fue expuesta junto con los datos de los clientes.

El notorio grupo de ciberdelincuentes ShinyHunters, que ha reclamado la responsabilidad del ciberataque, ha llevado a cabo una serie de ciberataques de alto perfil en los últimos años, incluyendo filtraciones en AT&T, Snowflake y Workday. El grupo de hackers es conocido por utilizar técnicas de ingeniería social para engañar a los empleados y otorgar acceso a los sistemas corporativos, a menudo utilizando datos robados para exigir rescates. Otras grandes marcas afectadas por su campaña incluyen Google, Adidas, Qantas, Louis Vuitton y Tiffany & Co.

“Grupos como ShinyHunters dependen de tácticas de ingeniería social de rápido movimiento; esto típicamente implica llamar y enviar correos electrónicos a empleados de la organización víctima e intentar extorsionarlos. Si esto no funciona, lanzan un sitio de filtración con el objetivo de presionar a las víctimas para que paguen”, dijo Jon Abbott, CEO de ThreatAware.

“Este patrón en sus ataques es por qué los fundamentos de seguridad son tan importantes. Inventarios de activos precisos, verificación de identidad a prueba de manipulaciones y procesos de mesa de servicio endurecidos son todos esenciales.”

Los expertos en seguridad advierten que la filtración de Allianz podría dejar a sus clientes y empleados vulnerables a fraudes de identidad, estafas de phishing y intentos de fraude. Allianz Life dijo que ha informado de la filtración a las autoridades de EE. UU. y está ofreciendo a los clientes y empleados afectados dos años de servicios gratuitos de monitoreo de identidad. Sin embargo, la empresa se negó a compartir más detalles, citando una investigación en curso.

Por ahora, se insta a los clientes de Allianz Life a permanecer alerta, monitorear de cerca sus cuentas financieras y estar atentos a correos electrónicos o llamadas telefónicas sospechosas.

Mientras tanto, Salesforce, por su parte, enfatizó que su plataforma en sí no ha sido comprometida. En cambio, los atacantes engañaron a los empleados de las empresas para que les otorgaran acceso.

“La plataforma de Salesforce no ha sido comprometida, y este problema no se debe a ninguna vulnerabilidad conocida en nuestra tecnología”, dijo un portavoz en un comunicado a TechRadar Pro.

“Sabemos lo disruptivos y estresantes que pueden ser estos incidentes, y nuestros equipos están completamente comprometidos a apoyar a los clientes afectados y ayudar a minimizar cualquier impacto. Nuestro blog proporciona contexto adicional y orientación sobre cómo fortalecer la postura de seguridad contra ataques de ingeniería social, incluyendo mejores prácticas, controles de acceso sólidos y medidas proactivas.”

El incidente subraya los crecientes riesgos en torno a los datos personales. Muestra cuán rápidamente los criminales pueden convertir la información personal en un arma, y por qué las empresas deben protegerse contra los trucos de los empleados. Los expertos dicen que incidentes como este destacan la importancia de defensas más fuertes contra la ingeniería social, así como una supervisión más estricta de los servicios en la nube de terceros que almacenan datos de clientes.