Incidente de segurança da NAIC em 2026
O incidente de segurança da NAIC em 2026 veio à tona quando a National Association of Insurance Commissioners detectou acesso não autorizado a parte de seu ambiente em 11 de junho de 2026 por meio de uma vulnerabilidade no Oracle PeopleSoft que, na época, era desconhecida pelo desenvolvedor e pelos usuários.
Este tipo de registro não tem um total de afetados, por isso não é classificado nesta escala.
Tipos de dados expostos
5- Public statutory financial reporting information
- Classificações de risco de crédito públicas e privadas para investimentos
- Identificadores de títulos em feeds de classificação de risco de crédito
- Registros desatualizados
- Configuration information
Sobre este vazamento
A NAIC informou que as informações obtidas do PeopleSoft permitiram acesso temporário a determinadas áreas de armazenamento de dados.
A investigação constatou que o material acessado ou copiado incluía demonstrações financeiras regulatórias anuais e trimestrais disponíveis publicamente, classificações de risco de crédito públicas e privadas de investimentos, identificadores de valores mobiliários presentes nesses fluxos de dados e alguns logs e informações de configuração desatualizados. Algumas classificações privadas eram confidenciais; os relatórios das agências de classificação de risco com as justificativas das avaliações e os dados de capital baseado em risco não foram afetados.
A NAIC conteve prontamente o acesso, bloqueou e corrigiu a via de acesso, recorreu a assessoria jurídica externa e a especialistas em segurança cibernética e passou a coordenar suas ações com o FBI. Os sistemas dos departamentos estaduais de seguros e os sistemas de envio de documentos regulatórios identificados não foram afetados. Após alguns provedores de classificação de risco interromperem seus fluxos de dados, determinados processos de designação da NAIC foram suspensos em 18 de junho. Os fluxos de dados necessários foram restabelecidos até 10 de agosto, e a publicação foi retomada em 17 de agosto.
A NAIC informou que não havia evidências de que informações de identificação pessoal, bancárias, de pagamento, de segurados, de produtores de seguros ou de funcionários tivessem sido acessadas ou divulgadas. Portanto, não se aplica uma contagem de pessoas afetadas. A organização não divulgou quando o acesso começou, quanto tempo durou nem outros detalhes técnicos; este registro utiliza a data de detecção de 11 de junho.
Verificação e método editorial
A LeakData compara o nome do incidente, a data, a quantidade de registros afetados e os tipos de dados expostos com fontes acessíveis. Campos não verificados não são apresentados como fatos, e os registros são atualizados quando novas evidências ficam disponíveis.
Informar dados ausentes ou incorretos
