Violazione dei dati di Allianz Life colpisce 1,4 milioni di clienti

Allianz Life Insurance Company of North America, con sede a Minneapolis, Minnesota, ha confermato una significativa violazione dei dati, che ha interessato i dati personali della maggior parte dei suoi 1,4 milioni di clienti, professionisti finanziari e dipendenti selezionati. L'incidente, avvenuto il 16 luglio 2025 e scoperto il giorno successivo, ha comportato l'accesso non autorizzato a una piattaforma di gestione delle relazioni con i clienti (CRM) gestita da un fornitore terzo.

Secondo TechCrunch, che per primo ha riportato l'incidente, l'aggressore ha ottenuto l'accesso utilizzando una tecnica di ingegneria sociale, che consiste nel manipolare gli individui con l'inganno per ottenere credenziali o dati sensibili. Sebbene il numero esatto di persone colpite non sia stato ancora rivelato, l'azienda ha segnalato la violazione alle autorità, tra cui l'FBI e l' ufficio del Procuratore Generale del Maine.

"L'autore della minaccia è riuscito a ottenere dati personali identificabili relativi alla maggior parte dei clienti, dei professionisti finanziari e di alcuni dipendenti di Allianz Life. Abbiamo preso misure immediate per contenere e mitigare il problema e abbiamo informato l'FBI", ha dichiarato il portavoce dell'azienda.

Allianz Life prevede di iniziare a inviare notifiche scritte agli individui interessati intorno al 1° agosto 2025, offrendo loro 24 mesi di monitoraggio gratuito del credito e protezione contro il furto di identità . I sistemi interni dell'azienda, inclusa la piattaforma di gestione delle polizze, sono rimasti protetti per tutta la durata dell'incidente. La violazione è stata confermata anche dalla società madre Allianz SE, che ha dichiarato che è stata limitata alle attività nordamericane di Allianz Life e non ha interessato altre parti della rete globale del Gruppo Allianz.

Il metodo utilizzato nella violazione di Allianz Life, che prevede l'utilizzo di tecniche di social engineering per accedere a un sistema di terze parti, presenta somiglianze con le tattiche utilizzate dal collettivo di hacker Scattered Spider. Questo gruppo è noto per l'uso di inganni, come l'impersonificazione di help desk IT , per rubare credenziali ai fornitori di tecnologia. Tuttavia, gli autori specifici dell'attacco ad Allianz Life non sono stati identificati.

Questo incidente mette in luce una sfida crescente per le società di servizi finanziari: proteggere le loro reti tecnologiche estese, dato il crescente numero di casi in cui le società finanziarie vengono compromesse tramite i loro fornitori terzi anziché tramite attacchi diretti alla loro infrastruttura principale.

I fornitori terzi che gestiscono dati sensibili dei clienti sono diventati obiettivi allettanti per i criminali informatici alla ricerca di un unico punto di accesso per accedere alle informazioni di più organizzazioni. I sistemi CRM basati su cloud sono particolarmente interessanti, in quanto contengono preziosi dati dei clienti, come informazioni di contatto, specifiche delle policy e cronologia delle comunicazioni, e possono potenzialmente offrire agli aggressori la possibilità di penetrare più a fondo nelle reti aziendali.

Sebbene Allianz Life abbia rapidamente implementato misure di contenimento e stia informando i clienti interessati, gli esperti avvertono che i dati personali rubati potrebbero comunque essere "armati" in futuri tentativi di ingegneria sociale mirati alle stesse vittime. Le persone colpite dovrebbero quindi rimanere vigili contro messaggi indesiderati o link sospetti.

"Questa violazione evidenzia che le minacce più gravi non provengono sempre da attacchi diretti, ma spesso da una combinazione di vulnerabilità lungo l'intera supply chain. In questo caso, l'aggressore ha utilizzato diverse tecniche: l'ingegneria sociale per ottenere i diritti di accesso e una soluzione di terze parti come backdoor nel sistema", ha affermato Boris Cipot, Senior Security Engineer presso Black Duck, fornitore di soluzioni per la sicurezza delle applicazioni con sede a Burlington, Massachusetts.

"Allianz ha risposto in modo appropriato, avvisando le autorità e il cliente interessato e offrendo servizi di monitoraggio del credito e dell'identità", ha aggiunto Boris. "Tuttavia, le persone colpite devono rimanere vigili. I dati rubati potrebbero comunque essere utilizzati in successivi tentativi di ingegneria sociale. Prestate attenzione ai messaggi indesiderati, soprattutto a quelli contenenti link o allegati. Non cliccate sui link o aprite file a meno che non siate assolutamente certi della loro legittimità", ha avvertito.