安聯人壽的 CRM 供應商漏洞，暴露了其 140 萬名客戶中的大多數

2025 年 7 月 16 日，一名攻擊者利用社交工程手法，存取了安聯人壽保險公司（Allianz Life Insurance Company of North America）所使用的一套第三方雲端客戶關係管理系統。該公司的保單管理系統並未被存取。

這項區別並未保護到客戶。安聯人壽表示，其 140 萬名美國客戶中大多數人的個人可識別資料遭到暴露，此外還有理財專業人員及部分員工的資料。

該公司表示已控制並緩解了這起事件，通知了聯邦調查局（FBI），並開始聯繫受影響的人士。該公司並未指明 CRM 供應商的名稱、受影響人數的確切數字，或遭取走的個人資訊的確切類別。

這起失誤是邊界劃分上的錯誤：客戶資料已移入一個銷售平台，而在該平台上，即使核心系統未遭入侵，一起社交工程入侵仍可能演變成客戶群體事件。

這起外洩發生在銷售平台，而非核心系統，但資料副本卻是真的；應將供應商工作流程視同核心系統般加以保護。

第三方 CRM 中的客戶資料，承擔著與核心保單系統相同的隱私風險，但所披露的控制措施卻較為薄弱

供應商存取權限成了生產資料的邊界，因此保單系統之外的社交工程仍暴露了客戶資料

該公司可以說其網路未遭觸及，但客戶仍面臨暴露風險，因為資料副本是真的

公開披露未指明關鍵事實，在技術性外洩之後加重了聲譽損害

CRM 中的客戶資料副本仍然是客戶資料——應將供應商工作流程視同核心系統般加以保護。