Aflac Life Insurance Japan Ltd. ha scoperto il 25 giugno 2026 che un terzo non autorizzato ha mantenuto accesso persistente ai propri sistemi per dieci giorni, dal 15 al 25 giugno. Il filing SEC depositato il 30 giugno 2026 conferma che l'incidente si è limitato all'infrastruttura giapponese: i sistemi del gruppo negli Stati Uniti non sono stati toccati. L'attività di contenimento ha richiesto la sospensione di almeno cinque servizi, con ripristini i cui tempi non sono stimabili al momento.
- L'accesso non autorizzato è durato dieci giorni, dal 15 al 25 giugno 2026, con scoperta e contenimento avvenuti il 25 giugno
- Circa 4,38 milioni di clienti e agenti risultano probabilmente interessati, secondo SecurityWeek
- L'esfiltrazione ha coinvolto dati personali e informazioni bancarie di circa 230.000 persone; nessuna carta di credito è stata accessata
- I sistemi statunitensi sono stati esplicitamente esclusi dalla compromissione grazie a una separazione geografica e architetturale
La timeline: dieci giorni di accesso persistente
Il filing SEC, riportato da BleepingComputer, documenta una finestra di esposizione precisa: l'attore non autorizzato ha operato nei sistemi di Aflac Japan dal 15 giugno 2026, con la scoperta avvenuta il 25 giugno dello stesso anno. Dieci giorni di latenza tra ingresso e rilevazione rappresentano una persistenza significativa per un ambiente assicurativo che gestisce policyholder portal e dati sensibili.
Aflac Japan ha reagito con sospensione di determinati sistemi per contenere l'intrusione e prevenirne la propagazione. La società continua a servire i propri assicurati nonostante le interruzioni, ma almeno cinque servizi restano compromessi. La durata del ripristino non è quantificabile al momento della disclosure.
"On June 30, 2026, Aflac Life Insurance Japan Ltd. [...] issued a press release announcing that, on June 25, 2026, Aflac Japan discovered an unauthorized third-party had unlawfully accessed certain of Aflac Japan's systems between June 15, 2026 and June 25, 2026" — Aflac filing SEC, riportato da BleepingComputer
Cosa è stato esfiltrato: il profilo varia per individuo
Secondo SecurityWeek, i dati compromessi non sono uniformi per tutti gli interessati. L'ammontare complessivo riguarda circa 4,38 milioni di clienti e agenti, ma la natura specifica delle informazioni esfiltrate varia persona per persona. Aflac ha confermato che i file impattati contengono policy e dettagli di copertura, informazioni personali e dati di conto bancario.
SecurityWeek aggiunge un dettaglio critico: le informazioni sui conti di trasferimento premi (insurance premium transfer account information) di circa 230.000 persone sono state oggetto di esfiltrazione. I campi di dati personali coinvolti includono nomi, indirizzi, numeri di telefono, date di nascita, genere, "security information" e informazioni relative ai conti assicurativi. Aflac ha esplicitamente escluso il coinvolgimento di carte di credito.
La varianza per individuo è un elemento rilevante per la valutazione del rischio: non tutti i 4,38 milioni hanno subito identica esposizione, e la documentazione non chiarisce quanti abbiano avuto soltanto dati anagrafici minori versus chi abbia perso informazioni bancarie complete.
La segmentazione geografica ha tenuto: i sistemi US sono intatti
Un dato tecnico-architetturale emerge con chiarezza dal filing: "This incident is limited to systems in Japan, the Company's systems related to its U.S. business were not accessed by the unauthorized third-party." La separazione tra infrastruttura nipponica e americana ha funzionato come barriera effettiva, impedendo la propagazione laterale a una delle più grandi compagnie assicurative statunitensi.
La formulazione di Aflac — "were not accessed" — è categorica, senza modali o cautele. Questo esclude sia la compromissione diretta sia, almeno nella dichiarazione ufficiale, l'accesso indiretto tramite trust relationship o federazione tra le due entità giuridiche. Il gruppo ha incaricato esperti cybersecurity esterni per l'indagine, la cui identità non è stata resa pubblica.
La notifica è stata estesa alla Japan Financial Services Agency e ad altre autorità regolatorie competenti, in conformità con gli obblighi di disclosure del settore finanziario giapponese.
Il pattern ricorrente: il secondo breach in due anni per il Fortune 500
L'incidente 2026 colloca Aflac in una posizione di vulnerabilità sistemica nel settore assicurativo. Nel 2025 la stessa compagnia aveva già subito un data breach, con segni attribuibili a Scattered Spider — gruppo noto per il targeting del settore finanziario e assicurativo statunitense. Per il 2026, BleepingComputer sottolinea che non emergono sovrapposizioni infrastrutturali o tecniche che colleghino l'attore a Scattered Spider allo stato attuale: l'attributione per il nuovo breach rimane non confermata.
La ricorrenza del targeting solleva questioni sulla postura di sicurezza delle subsidiary internazionali. Le compagnie assicurative gestiscono repository di dati monetizzabili su scala decennale: informazioni anagrafiche complete, dati di salute, coordinate bancarie persistenti. Il mercato criminale dell'identity fraud giapponese — dove i trasferimenti automatici sono pervasivi e i controlli di autenticazione bancaria tradizionalmente meno aggressivi rispetto agli standard europei — rende il profilo di rischio particolarmente elevato per i 230.000 conti bancari esposti.
Per i CISO di multinazionali con asset in Asia-Pacifico, il caso Aflac Japan funge da stress test sul modello di segmentazione. La separazione ha contenuto il danno, ma non ha impedito l'intrusione iniziale. Il gap rimane nel rilevamento: dieci giorni di permanenza non autorizzata prima della scoperta indicano una lacuna nei controlli di monitoraggio locale, non nella progettazione della segregazione geografica.
Perche è importante
Il dossier non specifica il vettore di accesso iniziale, né conferma o esclude la presenza di ransomware. L'identità degli operatori, i loro moventi e l'eventuale commercializzazione dei dati in mercati criminali restano elementi non documentati. Aflac non ha fornito tempistiche per la notifica diretta agli interessati né stime sull'impatto finanziario.
La fonte non chiarisce inoltre se l'esfiltrazione sia stata intercettata durante il trasferimento o rilevata solo a posteriori, né documenta misure correttive specifiche oltre alla sospensione dei sistemi. Il livello di dettaglio fornito nel filing SEC è consistente con le disclosure regolatorie obbligatorie, ma non soddisfa gli standard di trasparenza tecnica che le testate di settore applicano agli incidenti cyber.
Il confronto con il breach 2025 resta parziale: Scattered Spider era un'attributione contestata anche all'epoca, e l'assenza di sovrapposizioni tecniche nel 2026 non esclude né conferma una campagna sistematica contro il gruppo Aflac. La verifica di questa ipotesi richiede analisi forense non disponibili nel materiale pubblico.
Per i clienti giapponesi, l'esposizione di dati bancari legati a trasferimenti automatici premium rappresenta un rischio a lungo termine: le frodi identity-based su conti correnti con addebito diretto possono manifestarsi con mesi o anni di ritardo rispetto all'incidente iniziale, quando i dati esfiltrati vengono abbinati a informazioni complementari raccolte da altre fonti.
Fonti
- https://www.bleepingcomputer.com/news/security/insurance-giant-aflac-discloses-data-breach-after-subsidiary-hack/
- https://www.securityweek.com/aflac-japan-data-breach-impacts-4-38-million/
- https://www.welivesecurity.com/en/kids-online/lessons-life-childrens-data-long-term-identity-risk/
- https://www.welivesecurity.com/2023/02/06/online-safety-laws-whats-store-childrens-digital-playgrounds/
- https://www.welivesecurity.com/en/kids-online/roblox-executors-fun-games-someone-gets-hacked/
- https://www.welivesecurity.com/en/kids-online/child-identity-theft-how-keep-kids-personal-data-safe/
- https://www.welivesecurity.com/en/cybersecurity/ai-driven-identify-fraud-havoc/
- https://www.welivesecurity.com/en/cybersecurity/so-your-friend-has-been-hacked-could-you-be-next/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.