Le 16 juillet 2025, un attaquant a utilisé l'ingénierie sociale pour accéder à un système de gestion de la relation client tiers, basé dans le cloud, utilisé par Allianz Life Insurance Company of North America. Le système d'administration des polices de l'entreprise n'a pas été accédé.
Cette distinction n'a pas protégé les clients. Allianz Life a déclaré que des données personnelles identifiables concernant la majorité de ses 1,4 million de clients américains avaient été exposées, ainsi que des données sur des professionnels de la finance et certains employés.
L'entreprise a déclaré avoir contenu et atténué l'incident, avoir informé le FBI et avoir commencé à contacter les personnes concernées. Elle n'a pas nommé le fournisseur du CRM, le nombre exact de personnes touchées ni les catégories précises des informations personnelles dérobées.
La défaillance était une erreur de périmètre : les données clients avaient migré vers une plateforme commerciale où une compromission par ingénierie sociale pouvait devenir un incident touchant la base clients, même sans intrusion dans le système central.
La violation s'est produite dans une plateforme commerciale, et non dans le système central, mais la copie des données était bien réelle ; sécurisez les flux de travail des prestataires comme s'il s'agissait de systèmes centraux.
Les données clients dans un CRM tiers présentaient le même risque pour la vie privée que les systèmes de polices centraux, mais avec des contrôles divulgués plus faibles
L'accès des prestataires est devenu une frontière de données de production, de sorte que l'ingénierie sociale en dehors du système de polices a tout de même exposé les clients
L'entreprise pouvait affirmer que son réseau était intact, mais les clients restaient exposés parce que la copie des données était bien réelle
La divulgation publique a laissé des faits essentiels non nommés, aggravant l'atteinte à la réputation après la violation technique
La leçon
Une copie de données clients dans un CRM reste des données clients — sécurisez les flux de travail des prestataires comme s'il s'agissait de systèmes centraux.
VÉRIFIEZ LES SOURCES