Filtración en Aflac Japón expone datos de 4.38 millones de asegurados, incluyendo 230 mil cuentas bancarias

Aflac Life Insurance Japan ha revelado una filtración de datos significativa que afecta a aproximadamente 4,38 millones de asegurados, después de que los atacantes obtuvieran acceso no autorizado a los sistemas de la compañía durante un período de 10 días en junio de 2026. La filtración también comprometió los números de cuentas bancarias de unos 230.000 clientes, lo que hace que el incidente sea inmediatamente explotable para el fraude financiero.

Qué fue robado

Según la divulgación presentada por la compañía el 30 de junio de 2026, los atacantes accedieron a los sistemas de Aflac Japón entre el 15 y el 25 de junio de 2026. Los datos comprometidos abarcan una amplia gama de información personal identificable: nombres completos, fechas de nacimiento, direcciones residenciales, números de teléfono y detalles de pólizas y coberturas de seguro. Para aproximadamente 230.000 clientes que utilizan cuentas bancarias para pagar primas, también se expusieron los números de cuenta. Además, la información de contacto de 40.000 agentes de seguros se vio comprometida en la misma intrusión.

Las operaciones en EE. UU. no se vieron afectadas

Aflac (NYSE: AFL) confirmó que la filtración se limitó a su subsidiaria japonesa. No se accedió a los sistemas que respaldan las operaciones comerciales de EE. UU., y los asegurados estadounidenses no se ven afectados. Aflac mantiene una posición dominante en el mercado de seguros complementarios de Japón, donde asegura aproximadamente a uno de cada cuatro hogares, lo que hace que la magnitud de esta filtración sea especialmente significativa en ese contexto de mercado.

Huellas de Scattered Spider

Los analistas de seguridad han notado similitudes entre las tácticas utilizadas en esta filtración y las asociadas con Scattered Spider, un grupo de amenaza vagamente organizado conocido por atacar instituciones financieras y compañías de seguros con ingeniería social y ataques basados en identidad. Scattered Spider ha estado vinculado a múltiples intrusiones de alto perfil en empresas financieras y hoteleras durante los últimos dos años. Aflac no ha atribuido públicamente el ataque a ningún grupo específico, y la investigación con expertos externos en ciberseguridad está en curso.

Qué deben hacer los clientes afectados

Los clientes cuyos números de cuenta bancaria fueron expuestos enfrentan el riesgo más inmediato. Aflac ha instado a los asegurados afectados a monitorear sus cuentas en busca de transacciones no autorizadas y a contactar a sus bancos si aparece alguna actividad sospechosa. Se espera que la compañía notifique directamente a las personas afectadas. Más allá del monitoreo inmediato de cuentas, los asegurados deben estar atentos a intentos de phishing dirigidos, ya que los atacantes ahora poseen suficientes detalles personales (nombre, dirección, teléfono, tipo de cobertura) para elaborar mensajes de suplantación de identidad convincentes.

La filtración añade a Aflac Japón a una creciente lista de empresas del sector financiero que han sido golpeadas por intrusiones sofisticadas en 2026. Según informó BleepingComputer, la divulgación se realizó a través de un filing ante la SEC, lo que subraya la complejidad regulatoria transfronteriza de incidentes que involucran a empresas cotizadas en EE. UU. con importantes operaciones en el extranjero.