アリアンツ・ライフのCRMベンダーの扉が140万人の顧客の大半を露出させた

2025年7月16日、攻撃者はソーシャルエンジニアリングを用いて、アリアンツ・ライフ・インシュアランス・カンパニー・オブ・ノースアメリカが利用する第三者のクラウドベース顧客関係管理システムにアクセスした。同社の保険契約管理システムにはアクセスされなかった。

しかしこの区別は顧客を守らなかった。アリアンツ・ライフは、米国の顧客140万人の大半について個人識別情報が露出したほか、金融専門家および一部の従業員のデータも露出したと述べた。

同社はインシデントを封じ込め緩和したとし、FBIに通知し、影響を受けた人々への連絡を開始した。CRM提供事業者名、影響を受けた人数の正確な値、持ち出された個人情報の正確な種類は明らかにしなかった。

この失敗は境界の誤りだった。顧客データが営業プラットフォームに移されていたため、中核システムへの侵入がなくても、ソーシャルエンジニアリングによる侵害が顧客基盤のインシデントになり得た。

侵害は中核システムではなく営業プラットフォームで起きたが、データの複製は現実のものだった。ベンダーのワークフローを中核システムと同様に安全に運用すべきである。

第三者のCRM内の顧客データは、中核の保険契約システムと同じプライバシーリスクを抱えていたが、開示された管理策はより弱かった

ベンダーアクセスが本番データの境界となったため、保険契約システムの外でのソーシャルエンジニアリングでも顧客が露出した

同社は自社ネットワークが無傷だと述べられたが、データの複製が現実のものであったため顧客は依然として露出に直面した

公開開示が主要な事実を明らかにしなかったため、技術的侵害の後に風評被害が増大した

CRM上の顧客データの複製は依然として顧客データである。ベンダーのワークフローを中核システムと同様に安全に運用せよ。