Le nombre de personnes touchées par l’accès non autorisé chez Aflac grimpe à environ 4,4 millions, rapport attendu fin juillet

2026-07-13

La fuite de données personnelles liée à l’accès non autorisé survenu chez Aflac Life Insurance devrait s’étendre à environ 4,4 millions de personnes, soit quelque 20 000 de plus qu’au moment de l’annonce de fin juin. La notification aux clients sera envoyée progressivement, et un rapport présentant l’analyse des causes et les mesures de prévention d’une récidive sera soumis à l’Agence des services financiers vers la fin juillet.

Révision de l’ampleur de la fuite

Le 30 juin, Aflac a annoncé qu’un tiers avait accédé de manière non autorisée au site réservé aux assurés, entraînant une fuite d’informations sur les clients. Les données concernées incluaient les noms, adresses, numéros de téléphone, numéros de police et détails des garanties, ainsi que, dans certains cas, des informations de comptes bancaires destinés au prélèvement des primes.

L’enquête interne a établi que l’accès non autorisé avait commencé le 10 juin, soit cinq jours plus tôt que la date initialement estimée du 15 juin. Les données sont restées consultables de l’extérieur jusqu’au 25 juin, date à laquelle le responsable a constaté l’anomalie et arrêté le système.

Notifications et réponse des banques

Le nombre de clients touchés a été révisé, passant d’environ 4,38 millions à environ 4,4 millions, tandis que le nombre de clients dont les informations de compte ont fuité a été ramené d’environ 230 000 à environ 220 000. Depuis le 10, l’entreprise a commencé à envoyer des notifications aux clients dont la fuite a été confirmée, en donnant la priorité aux quelque 220 000 personnes dont les informations de compte ont été divulguées. Aflac vise à achever les notifications à l’ensemble des 4,4 millions de clients vers la fin juillet.

À la suite de cette fuite d’informations bancaires, les banques accélèrent également leurs vérifications. Une grande banque a demandé à Aflac de préciser le nombre de cas de préjudice concernant ses propres clients parmi ceux dont les informations de compte ont été divulguées. Elle entend poursuivre la vérification de la situation, y compris l’identification des titulaires de comptes. Une autre grande banque continue elle aussi de surveiller les transactions afin de détecter d’éventuels usages frauduleux.

Un simple numéro de compte bancaire ne permet pas à lui seul d’effectuer immédiatement un retrait frauduleux, mais le risque de préjudice secondaire augmente si une tentative de deviner le code confidentiel ou une fuite de mot de passe de banque en ligne s’y ajoute.

Enquête sur les causes et réponse à l’Agence des services financiers

Aflac a mis en place une cellule de crise directement rattachée au président et poursuit l’enquête sur les causes avec l’aide d’experts externes en cybersécurité. Selon des personnes au fait du dossier, l’auteur aurait obtenu, par un moyen ou un autre, les identifiants et mots de passe de plusieurs clients, puis se serait fait passer pour un assuré afin d’accéder au site dédié. Toutefois, l’identification de l’auteur n’a pas encore abouti, y compris pour déterminer s’il s’agit d’un individu ou d’un groupe.

Avec la diffusion de systèmes d’IA avancés comme ‘Mythos’ d’Anthropic, les experts pointent aussi le risque que des organisations criminelles exploitent des vulnérabilités non divulguées. Cela dit, les personnes concernées estiment que, pour cette intrusion, ‘l’usage de l’IA est peu probable et qu’il s’agissait d’une méthode classique’.

Le 30 juin, l’Agence des services financiers a émis un ordre de demande de rapport en vertu de la loi sur les assurances. Aflac prévoit de soumettre vers la fin juillet un rapport rassemblant l’analyse des causes et les mesures de prévention d’une récidive.

Cyberattaques contre les institutions financières

Les cyberattaques visant les institutions financières au Japon se multiplient récemment. À partir de mars 2025 environ, plusieurs sociétés de courtage ont subi une série de transactions boursières frauduleuses liées à la prise de contrôle de comptes. Des organisations criminelles ont volé des identifiants et mots de passe par hameçonnage, entre autres, puis se sont fait passer pour les clients afin de tirer profit de manipulations de marché. Les entreprises renforcent leurs contre-mesures, notamment en rendant obligatoire l’authentification par clé d’accès, qui génère une clé cryptographique sur l’appareil.

En juin 2025, Sompo Japan Insurance a annoncé avoir subi un accès non autorisé depuis l’extérieur et qu’environ 17,5 millions de données concernant des assurés et d’autres personnes avaient pu être consultées. Le système visé servait à échanger des informations avec les agents commerciaux. Sompo Japan a reçu de l’Agence des services financiers un ordre de demande de rapport, a élaboré des mesures de prévention des récidives et renforcé ses investissements supplémentaires, notamment par l’introduction d’une défense en profondeur. Le système touché par l’accès non autorisé est toujours à l’arrêt.

Si cet article vous a été utile, n’hésitez pas à le partager.