Aflacのデータ侵害で2,200万人が影響

保険大手のAflacは、2025年6月に同社のシステムから個人情報が盗まれたとして、約2,265万人に通知している。

同社は6月20日、侵入を公表し、6月12日に米国内のネットワークで不審な活動を確認したと述べ、巧妙なサイバー犯罪グループの犯行だとした。

同社は、直ちに攻撃を封じ込め、インシデント対応を支援するために第三者のサイバーセキュリティ専門家と連携したと説明した。ファイル暗号化型ランサムウェアは展開されなかったため、Aflacの業務は影響を受けなかった。

クリスマス直前、ジョージア州コロンバスに本拠を置く同社は、侵害された可能性のあるデータに関する調査を完了し、影響を受けた個人への通知を開始したと発表した。

同社は「影響を受けた可能性のあるファイルを精査した結果、約2,265万人に関連する個人情報が含まれていたと判断した」と述べた。

侵害された情報には、氏名、住所、社会保障番号、生年月日、運転免許証番号、政府発行ID番号、医療および健康保険情報、その他のデータが含まれると、保険大手は説明している。

Aflacは、同社ウェブサイト上の通知（PDF）で、「影響を受けた可能性のあるファイルの精査により、顧客、受益者、従業員、代理店、ならびにAflacに関連するその他の個人に紐づく個人情報が含まれていたことが判明した」と述べた。

同社は、影響を受けた個人に対し、24か月間の無料のクレジット監視、個人情報盗難保護、医療詐欺保護サービスを提供している。

Aflacは、盗まれた情報が不正に使用された事実は把握していないとしているが、影響を受けた個人に対し、個人情報盗難や詐欺の試みに引き続き警戒するよう呼びかけている。

保険大手はデータ侵害の背後にいる脅威アクターの名称を明らかにしなかったが、このインシデントは「保険業界に対するキャンペーン」の一環だと述べた。

これは、GoogleのThreat Intelligence Groupが、同時期に同ギャングが保険会社に注力していると警告していたことから、Scattered Spiderハッキンググループが侵入の責任を負っていた可能性を示唆している。