Os invasores não quebraram a seguradora. Convenceram alguém a deixá-los entrar na Aflac.
Em junho a Aflac disse que o acesso veio de engenharia social e foi contido em horas. Em dezembro, a revisão fechou em cerca de 22,65 milhões de pessoas.
Engenharia socialEm 12 de junho de 2025 a Aflac identificou atividade suspeita na rede dos Estados Unidos e interrompeu a intrusão em horas. No comunicado de 20 de junho, a empresa disse que os achados preliminares indicavam engenharia social, que os sistemas não foram atingidos por ransomware e que a operação, subscrição, sinistros, atendimento, continuou. Os arquivos em revisão podiam conter dados de sinistro, saúde, Social Security e outras informações de clientes, beneficiários, funcionários e agentes.
Em 19 de dezembro a Aflac informou que a revisão tinha terminado e que dados pessoais de aproximadamente 22,65 milhões de pessoas estavam envolvidos. A empresa disse não ter conhecimento, até aquela data, de uso fraudulento dessas informações, e que seguiu monitorando.
O número grande é de dezembro. O vetor é de junho, e ele é da própria seguradora: alguém foi convencido a abrir a rede. Não houve, no relato da empresa, exploração de uma falha de software.
Conter em horas limita o tempo. Não desfaz a porta. O ensaio útil é o pedido que imita suporte, parceiro ou colega, e a regra que impede uma única pessoa de completar o acesso.
