Em 16 de julho de 2025, um atacante usou engenharia social para acessar um sistema de gestão de relacionamento com o cliente (CRM) baseado em nuvem e operado por terceiros, utilizado pela Allianz Life Insurance Company of North America. O sistema de administração de apólices da empresa não foi acessado.
Essa distinção não protegeu os clientes. A Allianz Life afirmou que dados pessoalmente identificáveis da maioria de seus 1,4 milhão de clientes nos EUA foram expostos, juntamente com dados de profissionais financeiros e de funcionários selecionados.
A empresa disse que conteve e mitigou o incidente, notificou o FBI e começou a entrar em contato com as pessoas afetadas. Não divulgou o nome do fornecedor de CRM, o número exato de pessoas afetadas nem as categorias precisas de informações pessoais obtidas.
A falha foi um erro de limite: os dados dos clientes haviam migrado para uma plataforma de vendas onde um comprometimento por engenharia social poderia se tornar um incidente envolvendo a base de clientes mesmo sem uma intrusão no sistema central.
A violação ocorreu em uma plataforma de vendas, não no sistema central, mas a cópia dos dados era real; proteja os fluxos de trabalho de fornecedores como se fossem sistemas centrais.
Os dados de clientes em um CRM de terceiros carregavam o mesmo risco de privacidade que os sistemas centrais de apólices, mas com controles divulgados mais fracos
O acesso de fornecedores tornou-se uma fronteira de dados de produção, de modo que a engenharia social fora do sistema de apólices ainda expôs clientes
A empresa pôde afirmar que sua rede não foi tocada, mas os clientes ainda enfrentaram exposição porque a cópia dos dados era real
A divulgação pública deixou fatos importantes sem nome, aumentando o dano reputacional após a violação técnica
A lição
Uma cópia de dados de clientes em um CRM ainda é dado de cliente — proteja os fluxos de trabalho de fornecedores como se fossem sistemas centrais.
CONFIRA AS EVIDÊNCIAS