Ciberataque à Allianz Life compromete dados de mais de um milhão de clientes

Dados pessoais de 1,1 milhões de clientes da gigante de seguros Allianz Life foram comprometidos em julho, num ciberataque que explorou uma vulnerabilidade na plataforma Salesforce. O ataque é atribuído ao grupo ShinyHunters e faz parte de uma campanha que já atingiu dezenas de empresas de alto perfil.

A Allianz Life, que tem quase dois mil colaboradores nos EUA e é uma subsidiária da Allianz SE, com mais de 128 milhões de clientes em todo o mundo, revelou que a violação ocorreu a 16 de julho, quando os atacantes obtiveram acesso a um sistema de CRM na cloud de um fornecedor externo.

Embora a empresa não tenha nomeado o fornecedor, a BleepingComputer encontra ligações entre o incidente e a vaga de ataques direcionados à Salesforce e orquestrados pelo ShinyHunters. Desde então, o grupo já divulgou as bases de dados roubadas, que contêm cerca de 2,8 milhões de registos de clientes e parceiros da Allianz Life.

Acredita-se que os ataques tenham começado no início do ano, com os atacantes a enganarem funcionários para que ligassem uma aplicação OAuth maliciosa à instância Salesforce da sua empresa. Uma vez ligada, a aplicação permitiu aos cibercriminosos roubar as bases de dados, utilizando posteriormente os dados para extorquir as vítimas por email.

O serviço de notificação de violações de dados Have I Been Pwned confirmou a extensão do incidente, revelando que foram roubados endereços de email, nomes, géneros, datas de nascimento, números de telefone e endereços físicos de 1,1 milhões de clientes da subsidiária.

A Allianz Life não foi a única vítima: a campanha do ShinyHunters já atingiu outras empresas de alto perfil em todo o mundo, como a Google, Adidas, Louis Vuitton, Chanel, Tiffany & Co. e, mais recentemente, a gigante de recursos humanos norte-americana Workday.

As exigências de extorsão foram assinadas pelo ShinyHunters, um conhecido grupo ligado a uma série de violações de dados de alto perfil, incluindo os ataques à Snowflake, à AT&T e à PowerSchool.