La violation de données d'Allianz Life touche 1,1 million de clients

Allianz Life, une filiale américaine de l’assureur mondial Allianz SE, a confirmé que des hackers ont compromis les données personnelles de 1,1 million de clients, mettant en évidence les risques croissants pour les entreprises de services financiers qui dépendent des plateformes cloud tierces.

La société, qui sert 1,4 million de clients aux États-Unis, a déclaré que la violation avait été découverte en juillet et provenait d’un compromis d’un système de gestion de la relation client (CRM) basé sur Salesforce le 16 juillet. Les hackers ont accédé au système en déployant des applications OAuth malveillantes, ce qui leur a permis de s’infiltrer dans les systèmes Salesforce avant de télécharger les bases de données de l’entreprise.

Quelles données ont été divulguées ?

Selon le site de notification des violations Have I Been Pwned, les données divulguées comprennent des noms, des adresses e-mail, des numéros de téléphone, des adresses physiques, des sexes et des dates de naissance. Dans certains cas, des numéros de sécurité sociale et des identifiants fiscaux ont également été compromis. La violation a également touché certains employés d’Allianz Life, dont les informations ont été exposées aux côtés des données des clients.

Le groupe de cybercriminalité notoire ShinyHunters, qui a revendiqué la responsabilité de la cyberattaque, a mené une série de cyberattaques de haut niveau ces dernières années, y compris des violations chez AT&T, Snowflake et Workday. Le groupe de hackers est connu pour utiliser des techniques d’ingénierie sociale pour tromper les employés afin de leur accorder l’accès aux systèmes d’entreprise, utilisant souvent des données volées pour exiger des rançons. D’autres grandes marques touchées par leur campagne incluent Google, Adidas, Qantas, Louis Vuitton et Tiffany & Co.

« Des groupes comme ShinyHunters s’appuient sur des tactiques d’ingénierie sociale rapides – cela implique généralement d’appeler et d’envoyer des e-mails aux employés de l’organisation victime et d’essayer de les extorquer. Si cela ne fonctionne pas, ils lancent alors un site de fuite dans le but de faire pression sur les victimes pour qu’elles paient », a déclaré Jon Abbott, PDG de ThreatAware.

« Ce schéma dans leurs attaques est la raison pour laquelle les fondamentaux de la sécurité sont si importants. Des inventaires d’actifs précis, une vérification d’identité à l’épreuve des falsifications et des processus de service desk renforcés sont tous essentiels. »

Les experts en sécurité avertissent que la violation d’Allianz pourrait laisser ses clients et employés vulnérables à la fraude d’identité, aux escroqueries par phishing et aux tentatives de fraude. Allianz Life a déclaré avoir signalé la violation aux autorités américaines et propose aux clients et employés concernés deux ans de services de surveillance d’identité gratuits. Cependant, la société a refusé de partager d’autres détails, invoquant une enquête en cours.

Pour l’instant, les clients d’Allianz Life sont invités à rester vigilants, à surveiller de près leurs comptes financiers et à être attentifs aux e-mails ou appels téléphoniques suspects.

Pendant ce temps, Salesforce, de son côté, a souligné que sa plateforme elle-même n’a pas été compromise. Au lieu de cela, les attaquants ont trompé les employés des entreprises pour leur accorder l’accès.

« La plateforme Salesforce n’a pas été compromise, et ce problème n’est pas dû à une vulnérabilité connue dans notre technologie », a déclaré un porte-parole dans un communiqué à TechRadar Pro.

« Nous savons à quel point ces incidents peuvent être perturbateurs et stressants, et nos équipes sont pleinement engagées à soutenir les clients concernés et à aider à minimiser tout impact. Notre blog fournit un contexte et des conseils supplémentaires sur le renforcement de la posture de sécurité contre les attaques d’ingénierie sociale, y compris les meilleures pratiques, des contrôles d’accès solides et des mesures proactives. »

L’incident souligne les risques croissants liés aux données personnelles. Il montre à quelle vitesse les criminels peuvent transformer des informations personnelles en arme, et pourquoi les entreprises doivent se protéger contre les astuces des employés. Les experts affirment que des incidents comme celui-ci mettent en évidence l’importance de défenses plus solides contre l’ingénierie sociale, ainsi qu’un contrôle plus strict des services cloud tiers qui détiennent des données clients.