La filtración por acceso no autorizado en Aflac aumenta a unas 4,4 millones de personas; informe a fin de julio

2026-07-13

La filtración de datos personales causada por el acceso no autorizado en Aflac Life Insurance se ampliará en unas 20.000 personas respecto a lo anunciado a fines de junio, hasta alrededor de 4,4 millones. La notificación a los clientes avanzará de forma escalonada, y la empresa prevé presentar a finales de julio un informe a la Agencia de Servicios Financieros con el análisis de las causas y medidas para evitar una nueva incidencia.

Revisión del alcance de la filtración

Aflac informó el 30 de junio de que un tercero accedió de forma no autorizada al sitio exclusivo para contratantes y que se habían filtrado datos de clientes. Además de nombres, direcciones, números de teléfono, números de póliza y coberturas, en algunos casos también se incluía información de cuentas bancarias para el cargo de primas.

Una investigación interna determinó que el acceso no autorizado comenzó el 10 de junio, cinco días antes de la fecha inicialmente prevista del 15 de junio. La situación permaneció accesible desde el exterior hasta el 25 de junio, cuando el personal detectó la anomalía y detuvo el sistema.

Notificación y respuesta de los bancos

El número de clientes afectados se revisó desde los aproximadamente 4,38 millones iniciales a unos 4,4 millones, mientras que los clientes cuya información de cuenta se filtró se ajustaron de unos 230.000 a unos 220.000. Desde el día 10, la empresa empezó a enviar notificaciones a los clientes en los que pudo confirmar la filtración, priorizando primero a los aproximadamente 220.000 a los que se les filtró la información de cuenta. El objetivo es completar las notificaciones a los 4,4 millones hacia finales de julio.

Tras la filtración de la información de cuentas, los bancos también han acelerado sus verificaciones. Un megabanco pidió a Aflac que aclare el número de casos que le afectan entre los clientes cuya información de cuenta se filtró. La entidad seguirá confirmando la situación, incluida la identificación de los titulares de las cuentas. Otro megabanco también continúa monitoreando las transacciones para detectar cualquier uso indebido.

Si bien no es posible realizar retiros fraudulentos de inmediato solo con el número de cuenta bancaria, el riesgo de daños secundarios aumenta si se combinan la posible deducción del PIN y la filtración de contraseñas de banca por internet.

Detección de la causa y respuesta ante la Agencia de Servicios Financieros

Aflac creó una sede de crisis bajo la dirección directa de su presidente y avanza en la identificación de la causa con la participación de expertos externos en ciberseguridad. Según personas vinculadas al caso, se cree que el responsable robó por algún medio los ID y contraseñas de varios clientes y accedió al sitio exclusivo haciéndose pasar por un contratante. Sin embargo, no se ha logrado identificar al responsable, incluido si actúa individualmente o como parte de una organización.

Con la difusión de IA avanzadas como Mythos, de la estadounidense Anthropic, también se ha advertido del riesgo de que grupos delictivos aprovechen vulnerabilidades no reveladas. No obstante, las personas vinculadas al caso consideran que en este acceso no autorizado 'es poco probable que se haya utilizado IA y que fue un método clásico'.

El 30 de junio, la Agencia de Servicios Financieros emitió una orden de requerimiento de informe basada en la Ley de Seguros. Aflac prevé presentar hacia finales de julio un informe con el análisis de las causas y las medidas para evitar la repetición.

Ataques cibernéticos a instituciones financieras

Los ataques cibernéticos dirigidos a instituciones financieras en Japón están aumentando en estos momentos. Desde alrededor de marzo de 2025, varios corredores de bolsa registraron una serie de operaciones bursátiles fraudulentas mediante la toma de control de cuentas. Las organizaciones delictivas robaban ID y contraseñas mediante phishing y otros métodos, y obtenían beneficios mediante la manipulación del mercado haciéndose pasar por clientes. Las empresas avanzan en contramedidas, entre ellas hacer obligatoria la autenticación con passkeys, que generan claves criptográficas dentro del dispositivo.

En junio de 2025, Sompo Japan Insurance anunció que sufrió un acceso no autorizado desde el exterior y que existía la posibilidad de que se hubieran visualizado unas 17,5 millones de informaciones de clientes y otras personas. El sistema utilizado para intercambiar información con las agencias de ventas fue el objetivo del ataque. Sompo Japan recibió una orden de requerimiento de informe de la Agencia de Servicios Financieros, elaboró medidas para evitar recurrencias y avanzó en inversiones adicionales, como la adopción de una defensa en capas. El sistema afectado por el acceso no autorizado sigue detenido actualmente.

Si este artículo le resultó útil, compártalo.