Incident de sécurité chez NAIC en 2026
L’incident de sécurité de 2026 chez NAIC a été révélé lorsque la National Association of Insurance Commissioners a détecté, le 11 juin 2026, un accès non autorisé à une partie de son environnement via une vulnérabilité d’Oracle PeopleSoft alors inconnue du développeur et des utilisateurs.
Ce type de fiche ne comporte pas de nombre total d’éléments concernés et n’est donc pas situé sur cette échelle.
Types de données exposées
5- Public statutory financial reporting information
- Notations de crédit publiques et privées pour les investissements
- Identifiants de titres dans les flux de notation de crédit
- Journaux obsolètes
- Configuration information
À propos de cette fuite de données
NAIC a indiqué que les informations obtenues dans PeopleSoft avaient permis un accès temporaire à certaines zones de stockage de données.
L’enquête a établi que les éléments consultés ou copiés comprenaient des états financiers réglementaires annuels et trimestriels accessibles au public, des évaluations de crédit publiques et privées concernant des investissements, les identifiants de titres figurant dans ces flux, ainsi que certains journaux et informations de configuration obsolètes. Certaines notations privées étaient confidentielles; les rapports des agences de notation justifiant leurs évaluations et les données relatives au capital fondé sur les risques n’ont pas été touchés.
NAIC a rapidement mis fin à cet accès, bloqué et sécurisé la voie d’accès utilisée, fait appel à des conseillers juridiques externes et à des spécialistes de la cybersécurité, et commencé à coordonner ses actions avec le FBI. Les systèmes des services des assurances des États et les systèmes de dépôt réglementaire identifiés n’ont pas été touchés. Après la mise en pause de certains flux par des fournisseurs de notations, certains processus de NAIC Designation ont été suspendus le 18 juin. Les flux nécessaires avaient repris au plus tard le 10 août, et la publication a repris le 17 août.
NAIC a déclaré ne disposer d’aucun élément indiquant que des données permettant d’identifier des personnes, des données bancaires ou de paiement, ou des informations concernant les titulaires de contrats d’assurance, les intermédiaires d’assurance ou les employés avaient été consultées ou divulguées. Il n’y a donc pas lieu d’indiquer un nombre de personnes touchées. L’organisation n’a pas précisé quand l’accès avait commencé, combien de temps il avait duré, ni fourni d’autres détails techniques; cette fiche retient la date de détection du 11 juin.
Vérification et méthode éditoriale
LeakData compare le nom de l’incident, sa date, le nombre d’enregistrements concernés et les types de données exposées avec les sources accessibles. Les informations non vérifiées ne sont pas présentées comme des faits, et les fiches sont mises à jour lorsque de nouveaux éléments probants sont disponibles.
Signaler des informations manquantes ou incorrectes
