Allianz Life: ingeniería social en el CRM de un proveedor
El 16 de julio de 2025, un tercero no autorizado accedió mediante ingeniería social a un sistema CRM en la nube que Allianz Life utilizaba a través de un proveedor externo. Accedió a datos personales de clientes, intermediarios financieros y determinados empleados. Según la investigación de entonces, los sistemas internos de Allianz Life no se vieron afectados.
Lo esencial en breve
- El acceso se produjo a través del CRM de un proveedor. Mediante ingeniería social, un tercero no autorizado obtuvo datos personales de clientes, intermediarios financieros y determinados empleados de Allianz Life.
- Según BleepingComputer, 1.497.036 personas resultaron afectadas. Según la misma fuente, la investigación concluyó a principios de octubre de 2025.
- Allianz Life recurrió a la contención, la notificación a las autoridades y la vigilancia de identidad. Según AP, se informó al FBI y se ofrecieron a los destinatarios de la notificación dos años gratuitos de vigilancia de identidad a través de Kroll.
Relacionado: Ciberseguro: sin pruebas, la póliza está en riesgo
La situación de Allianz Life
Según BleepingComputer, en julio de 2025 Allianz Life era una aseguradora estadounidense de rentas vitalicias y seguros de vida con 1,4 millones de clientes. Según la agencia de noticias AP, la empresa, con sede en Minneapolis, era una filial de la muniquesa Allianz.
Allianz Life utilizaba un sistema CRM en la nube de un proveedor externo. CRM significa Customer Relationship Management y designa el software con el que las empresas gestionan de forma centralizada los contactos y datos de sus clientes. El sistema funcionaba como servicio en la nube del proveedor y, por tanto, fuera de los sistemas internos de la aseguradora.
¿Qué es la ingeniería social? La ingeniería social comprende ataques que engañan deliberadamente a las personas para obtener credenciales, permisos o información confidencial. Los atacantes explotan la confianza, la presión de tiempo o una autoridad fingida. Entre las formas habituales figuran los correos de phishing, las llamadas fraudulentas y las solicitudes de soporte falsas.
El ataque y su cronología
El 16 de julio de 2025, un tercero no autorizado accedió a este sistema CRM mediante ingeniería social. Se trata del engaño deliberado de personas para obtener acceso o información. A través de ese acceso, el atacante consultó datos personales de clientes, intermediarios financieros y determinados empleados de Allianz Life.
Según la agencia de noticias AP, el ataque se descubrió al día siguiente. Allianz Life adoptó de inmediato medidas para contener el incidente y mitigar sus efectos. Según AP, la empresa también notificó al FBI, la policía federal estadounidense.
En agosto de 2025, Allianz confirmó la vía de ataque en su informe provisional del segundo trimestre. Allí se describe expresamente el acceso a través del sistema CRM del proveedor externo como consecuencia de una técnica de ingeniería social.
Decisiones tras el descubrimiento
Las decisiones de Allianz Life acreditadas públicamente abarcan tres ámbitos. En el primero, la respuesta técnica, la contención y la limitación de daños comenzaron de inmediato. En el segundo, según AP, la empresa recurrió a las autoridades policiales al informar al FBI.
El tercer ámbito afecta a las personas cuyos datos estaban en el sistema CRM. Entre los datos potencialmente afectados figuraban los números de la Seguridad Social estadounidense, que en Estados Unidos sirven como identificador principal. Allianz Life ofreció a los destinatarios de la notificación una suscripción gratuita de dos años al servicio de vigilancia de identidad del proveedor Kroll. Estos servicios detectan indicios de uso indebido de datos personales, por ejemplo, para abrir cuentas a nombre de otra persona.
Resultado y consecuencias documentadas
Según la investigación disponible en agosto de 2025, los sistemas internos de Allianz Life no se vieron afectados por el acceso no autorizado. En ese momento aún no era posible estimar de forma fiable las posibles consecuencias financieras.
La cifra de afectados quedó establecida a principios de octubre de 2025. Según BleepingComputer, el ataque afectó en total a 1.497.036 personas entre clientes, intermediarios financieros y empleados de Allianz Life. Según la misma fuente, la empresa había concluido la investigación y notificado a todas las personas potencialmente afectadas.
Lecciones para los CISO de la región DACH
De los hechos documentados se desprenden cinco lecciones para los responsables de seguridad de la región DACH.
- Las plataformas de los proveedores forman parte de la superficie de ataque propia. En Allianz Life, los sistemas internos permanecieron intactos según la información de entonces, pero los datos personales de tres grupos de personas eran accesibles a través del sistema CRM de un proveedor. Por eso, todo modelo de amenazas debe incluir un inventario de estos sistemas en la nube y de las categorías de datos que almacenan.
- La defensa contra la ingeniería social no termina en el perímetro de la red propia. Las solicitudes de acceso, el restablecimiento de contraseñas y las autorizaciones en sistemas de proveedores requieren pasos de verificación definidos que puedan cumplirse incluso bajo presión de tiempo. La formación debe incluir expresamente estas cuentas.
- Según AP, Allianz Life descubrió el ataque al día siguiente. Para lograr tiempos de respuesta similares con los propios proveedores, es necesario asegurar por contrato el acceso a los registros y conectarlos a la supervisión propia.
- Los servicios para los afectados pueden acordarse antes de que ocurra un incidente. Los contratos marco de vigilancia de identidad y las plantillas de notificación preparadas pueden reducir el tiempo necesario para informar y asistir a los afectados.
- La evaluación financiera de un incidente de este tipo puede quedar pendiente durante mucho tiempo. La planificación presupuestaria y las conversaciones con las aseguradoras de ciberriesgos deben tener en cuenta esta incertidumbre desde el principio.
Preguntas frecuentes
Cada pregunta está cerrada. Con un toque se desbloquea la respuesta.
¿Qué datos personales pudieron verse afectados en Allianz Life?
Los datos personales potencialmente afectados incluían nombre, dirección, fecha de nacimiento y número de la Seguridad Social estadounidense. Podían verse afectados clientes, intermediarios financieros y determinados empleados.
¿Se vio comprometido el sistema de gestión de pólizas de Allianz Life?
Según la investigación de entonces, no. Los sistemas internos de Allianz Life, incluido el sistema de gestión donde se administran las pólizas de seguros, no se vieron afectados por el acceso no autorizado.
¿Qué recomendó Allianz Life a las personas afectadas?
Allianz Life recomendó revisar los extractos bancarios y los informes crediticios. Las personas afectadas debían comunicar de inmediato cualquier actividad sospechosa a su banco, a la entidad emisora de su tarjeta de crédito o a otros proveedores afectados.
Fuente de la imagen: generada por IA (noviembre de 2026)
Traducido del original en alemán con inteligencia artificial. La versión alemana es la de referencia.
