Fuite de données chez Aflac Incorporated 2025

Les fichiers pouvaient contenir des noms, des coordonnées, des dates de naissance, des numéros de sécurité sociale ou d’identification fiscale, des données de santé et de demandes d’indemnisation, des numéros de dossier médical, des dates de prestation et des informations d’assurance maladie. Tous ces champs n’étaient pas présents pour chaque personne : l’exposition individuelle dépend donc des éléments indiqués dans la notification reçue par chacun. Les numéros d’identification peuvent servir à commettre des fraudes liées au crédit, aux comptes ou à la fiscalité. Les données de santé et de demandes d’indemnisation peuvent, quant à elles, faciliter l’usurpation d’identité médicale, les fausses demandes d’indemnisation auprès des assurances et des approches convaincantes par ingénierie sociale. Les coordonnées n’ayant été mentionnées que comme une catégorie générale de données divulguées, il ne faut pas en déduire que l’exposition d’un moyen de contact précis, comme une adresse e-mail, a été confirmée. Les mots de passe et les identifiants de connexion aux comptes n’ont pas été cités parmi les données exposées. La réinitialisation des mots de passe était une mesure de protection et ne prouve pas qu’ils ont été volés.

Aflac a détecté une activité suspecte sur un nombre limité de systèmes de son réseau aux États-Unis le 12 juin 2025 et a activé sa procédure de réponse aux incidents. L’entreprise a déclaré qu’un acteur non autorisé avait obtenu des informations personnelles ce jour-là après avoir utilisé des techniques d’ingénierie sociale pour accéder aux systèmes. L’accès non autorisé a été bloqué en quelques heures; aucun rançongiciel n’a affecté les systèmes, et la souscription des contrats, l’examen des demandes d’indemnisation et le service client sont restés opérationnels. Les comptes potentiellement touchés ont été verrouillés, les mots de passe ont été réinitialisés et la surveillance des activités suspectes a été renforcée. Un examen détaillé des fichiers, achevé le 4 décembre 2025, a conclu que des informations soumises à une obligation légale de notification étaient probablement concernées. L’envoi des notifications individuelles a commencé le 19 décembre. Aucun usage frauduleux n’était connu au moment de leur envoi, mais une utilisation abusive ultérieure reste possible.

Les personnes touchées comprennent des clients, des bénéficiaires, des employés, des agents et d’autres personnes liées aux activités d’Aflac aux États-Unis. Les demandes d’indemnisation, les dates de prestation et les informations d’assurance maladie peuvent aider des criminels à imiter les procédures liées aux contrats lorsqu’ils demandent un paiement, des documents ou une autorisation de traitement. Les employés et les agents peuvent être visés par des appels ou des messages ciblés, ou par des tentatives d’usurpation du service d’assistance, qui exploitent leur fonction et leurs coordonnées pour paraître légitimes. Les personnes dont les numéros de sécurité sociale ou d’identification fiscale étaient concernés courent un risque à plus long terme de fraude au crédit et d’usurpation d’identité à des fins fiscales. Celles dont les numéros de dossier médical ou les identifiants d’assurance maladie étaient concernés doivent également surveiller l’apparition de traitements, de prestataires de soins ou de demandes d’indemnisation qu’elles ne reconnaissent pas. Cette fiche concerne uniquement l’incident survenu aux États-Unis en 2025. Elle ne couvre ni le domaine aflac.co.jp ni l’incident distinct d’Aflac Japan révélé en 2026.

Si vous avez reçu une notification d’Aflac ou obtenu un résultat correspondant à cette fiche, vérifiez la notification en passant par le site connu de l’entreprise ou un canal de contact officiel, plutôt qu’en suivant un lien dans un message reçu. Examinez vos dossiers de crédit, vos documents financiers et fiscaux, ainsi que vos dossiers d’assurance et médicaux, pour repérer toute demande, tout prestataire, toute adresse, tout paiement ou tout traitement que vous ne reconnaissez pas. Si un numéro de sécurité sociale ou d’identification fiscale était concerné, envisagez un gel de votre dossier de crédit et la mise en place d’une alerte à la fraude. Signalez rapidement toute activité suspecte à l’établissement financier, à l’assureur, au prestataire de soins et à l’autorité compétente concernés. Un simple changement de mot de passe ne suffit pas à écarter les risques liés à l’identité et aux données de santé. Les mots de passe uniques et l’authentification multifacteur restent utiles, car des informations personnelles volées peuvent être exploitées dans les procédures de réinitialisation de mot de passe et de récupération de compte. Les inscriptions au dispositif de protection ont pris fin le 18 avril 2026; renseignez-vous directement auprès de l’entreprise sur l’assistance actuellement disponible.

Les numéros de sécurité sociale, les identifiants fiscaux, les numéros de dossier médical et les antécédents médicaux ne peuvent pas être remplacés aussi facilement que des mots de passe. La surveillance doit donc se poursuivre au-delà des premières semaines. Vérifiez régulièrement vos dossiers de crédit et votre correspondance fiscale. Activez des alertes dans vos comptes d’assurance et de santé pour détecter un nouveau prestataire, une modification de vos coordonnées ou une demande d’indemnisation, un paiement ou une prestation sans explication. Activez l’authentification multifacteur partout où elle est disponible et demandez un second canal de vérification pour les modifications sensibles effectuées par l’intermédiaire d’un centre d’appels ou d’un agent. Les organisations doivent prévoir des formations de sensibilisation aux attaques par ingénierie sociale, limiter les accès privilégiés, mettre en place une authentification forte, surveiller les sessions inhabituelles et conserver des journaux d’accès aux fichiers permettant des audits. Conservez les documents relatifs à l’incident et aux contestations pour pouvoir traiter d’éventuelles anomalies ultérieures concernant votre identité ou votre assurance. Vérifiez par un moyen indépendant toute demande urgente liée à une indemnisation, à des prestations ou à des dossiers médicaux.

Une correspondance avec cette fiche de violation indique que l’identifiant recherché peut être associé à l’incident; elle ne prouve pas, à elle seule, quels champs ont été exposés pour cette personne. Vérifiez le lien du compte avec les activités d’Aflac aux États-Unis et le contenu de toute notification individuelle, puis prenez les mesures adaptées aux champs qui y sont mentionnés. Vous concentrer sur les catégories confirmées (identité, santé, demandes d’indemnisation et assurance) vous évite de supposer qu’un mot de passe a fuité. Toute correspondance impliquant un numéro d’identification mérite néanmoins une attention rapide. Au fil du temps, comparez les nouvelles consultations de votre dossier de crédit, la correspondance fiscale, les factures médicales, les demandes d’indemnisation et les modifications de vos coordonnées. Si un message suspect fait référence à l’incident d’Aflac, vérifiez l’adresse de l’expéditeur, le numéro de téléphone et le caractère urgent de la demande par un autre canal. Ne fournissez aucun numéro d’identification, code d’authentification ou renseignement de paiement en suivant un lien reçu dans un message.