Brèche chez Aflac Japon : données de 4,38 millions d'assurés exposées, dont 230 000 comptes bancaires

Aflac Life Insurance Japan a révélé une brèche de données importante affectant environ 4,38 millions d'assurés, après que des attaquants ont obtenu un accès non autorisé aux systèmes de l'entreprise pendant une période de 10 jours en juin 2026. La brèche a également compromis les numéros de comptes bancaires d'environ 230 000 clients, rendant l'incident immédiatement exploitable pour une fraude financière.

Ce qui a été volé

Selon le document déposé par l'entreprise le 30 juin 2026, les attaquants ont accédé aux systèmes d'Aflac Japon entre le 15 et le 25 juin 2026. Les données compromises couvrent un large éventail d'informations personnelles identifiables : noms complets, dates de naissance, adresses résidentielles, numéros de téléphone et détails des polices d'assurance et des couvertures. Pour environ 230 000 clients utilisant des comptes bancaires pour payer leurs primes, les numéros de compte ont également été exposés. De plus, les coordonnées de 40 000 agents d'assurance ont été compromises lors de la même intrusion.

Les opérations américaines non affectées

Aflac (NYSE : AFL) a confirmé que la brèche était limitée à sa filiale japonaise. Les systèmes soutenant les opérations commerciales américaines n'ont pas été consultés et les assurés américains ne sont pas concernés. Aflac occupe une position dominante sur le marché japonais de l'assurance complémentaire, où elle assure environ un ménage sur quatre – ce qui rend l'ampleur de cette brèche particulièrement significative dans ce contexte de marché.

Empreintes de Scattered Spider

Les analystes en sécurité ont noté des similitudes entre les tactiques utilisées dans cette brèche et celles associées à Scattered Spider, un groupe de menace vaguement organisé connu pour cibler les institutions financières et les compagnies d'assurance avec des attaques d'ingénierie sociale et basées sur l'identité. Scattered Spider a été lié à de multiples intrusions très médiatisées dans des entreprises financières et hôtelières au cours des deux dernières années. Aflac n'a pas attribué publiquement l'attaque à un groupe spécifique, et l'enquête avec des experts externes en cybersécurité est en cours.

Que doivent faire les clients concernés

Les clients dont les numéros de compte bancaire ont été exposés font face au risque le plus immédiat. Aflac a exhorté les assurés concernés à surveiller leurs comptes pour détecter d'éventuelles transactions non autorisées et à contacter leur banque en cas d'activité suspecte. L'entreprise devrait notifier directement les personnes concernées. Au-delà de la surveillance immédiate des comptes, les assurés doivent être attentifs aux tentatives de phishing ciblées, car les attaquants disposent désormais de suffisamment de détails personnels – nom, adresse, téléphone, type de couverture – pour élaborer des messages d'usurpation d'identité convaincants.

Cette brèche ajoute Aflac Japon à une liste croissante d'entreprises du secteur financier touchées par des intrusions sophistiquées en 2026. Comme l'a rapporté BleepingComputer, la divulgation a été effectuée via un dépôt auprès de la SEC, soulignant la complexité réglementaire transfrontalière des incidents impliquant des sociétés cotées aux États-Unis ayant d'importantes opérations à l'étranger.