El 16 de julio de 2025, un atacante utilizó ingeniería social para acceder a un sistema de gestión de relaciones con clientes (CRM) en la nube de un tercero utilizado por Allianz Life Insurance Company of North America. No se accedió al sistema de administración de pólizas de la empresa.
Esa distinción no protegió a los clientes. Allianz Life declaró que quedaron expuestos datos de identificación personal de la mayoría de sus 1,4 millones de clientes en Estados Unidos, junto con datos de profesionales financieros y de determinados empleados.
La empresa afirmó que contuvo y mitigó el incidente, notificó al FBI y comenzó a contactar a las personas afectadas. No nombró al proveedor del CRM, ni la cifra exacta de personas afectadas, ni las categorías precisas de información personal sustraída.
El fallo fue un error de límites: los datos de los clientes habían pasado a una plataforma de ventas donde un compromiso por ingeniería social podía convertirse en un incidente que afectara a la base de clientes incluso sin una intrusión en el sistema central.
La brecha se produjo en una plataforma de ventas, no en el sistema central, pero la copia de los datos era real; hay que proteger los flujos de trabajo de los proveedores como si fueran sistemas centrales.
Los datos de los clientes en un CRM de un tercero conllevaban el mismo riesgo de privacidad que los sistemas centrales de pólizas, pero con controles divulgados más débiles
El acceso de los proveedores se convirtió en un límite de datos de producción, por lo que la ingeniería social fuera del sistema de pólizas siguió exponiendo a los clientes
La empresa pudo afirmar que su red no había sido tocada, pero los clientes seguían expuestos porque la copia de los datos era real
La divulgación pública omitió hechos clave, lo que aumentó el daño reputacional tras la brecha técnica
Una copia de los datos de los clientes en un CRM sigue siendo un dato de cliente: hay que proteger los flujos de trabajo de los proveedores como si fueran sistemas centrales.
CONSULTA LAS PRUEBAS