Incidente de seguridad de NAIC de 2026
El incidente de seguridad de NAIC de 2026 salió a la luz cuando la National Association of Insurance Commissioners detectó un acceso no autorizado a parte de su entorno el 11 de junio de 2026 a través de una vulnerabilidad de Oracle PeopleSoft que en aquel momento desconocían tanto el desarrollador como los usuarios.
Este tipo de registro no tiene un total de afectados, por lo que no se ubica en esta escala.
Tipos de datos expuestos
5- Public statutory financial reporting information
- Determinaciones públicas y privadas de calificación crediticia para inversiones
- Identificadores de valores en flujos de datos de calificación crediticia
- Registros obsoletos
- Configuration information
Acerca de esta brecha de datos
NAIC indicó que la información obtenida de PeopleSoft permitió acceder temporalmente a determinadas áreas de almacenamiento de datos.
La investigación determinó que el material al que se accedió o que se copió incluía estados financieros anuales y trimestrales exigidos por la normativa y disponibles públicamente, dictámenes públicos y privados de calificación crediticia de inversiones, identificadores de valores incluidos en esos flujos de datos y algunos registros e información de configuración desactualizados. Algunas calificaciones privadas eran confidenciales; los informes de las agencias de calificación que justificaban sus evaluaciones y los datos de capital basado en el riesgo no se vieron afectados.
NAIC contuvo de inmediato el acceso, bloqueó y corrigió la vía de acceso, contrató a asesores jurídicos externos y especialistas en ciberseguridad y comenzó a coordinarse con el FBI. Los sistemas de los departamentos estatales de seguros y los sistemas identificados de presentación de documentación regulatoria no se vieron afectados. Después de que algunos proveedores de calificaciones interrumpieran sus flujos de datos, el 18 de junio se suspendieron ciertos procesos de NAIC Designation. Los flujos de datos necesarios se habían restablecido para el 10 de agosto, y la publicación se reanudó el 17 de agosto.
NAIC informó de que no había pruebas de que se hubiera accedido a información de identificación personal, bancaria, de pagos, de asegurados, de productores de seguros o de empleados, ni de que se hubiera divulgado. Por tanto, no corresponde indicar un número de personas afectadas. La organización no reveló cuándo comenzó el acceso, cuánto duró ni otros detalles técnicos; esta entrada utiliza la fecha de detección del 11 de junio.
Método de verificación y revisión editorial
LeakData compara el nombre del incidente, la fecha, la cantidad de registros afectados y los tipos de datos expuestos con fuentes accesibles. Los campos no verificados no se presentan como hechos, y los registros se actualizan cuando se dispone de nuevas pruebas.
Notificar errores u omisiones en la información
