La filiale japonaise d'Aflac victime d'une fuite touchant 4,38 millions de clients et agents

Le 30 juin 2026, Aflac — le géant américain de l'assurance complémentaire — a révélé que des attaquants avaient compromis les systèmes de sa filiale japonaise, Aflac Life Insurance Japan, et dérobé les données personnelles d'environ 4,38 millions de clients et d'agents d'assurance. L'entreprise a précisé que l'intrusion était limitée à ses activités au Japon et que les systèmes soutenant ses opérations américaines n'avaient pas été touchés.

Selon Aflac, un tiers non autorisé a accédé à plusieurs reprises au portail des assurés de la filiale entre le 15 et le 25 juin 2026, date à laquelle l'activité a été détectée. Les données exposées comprennent les noms, adresses, numéros de téléphone, dates de naissance, sexe, informations de sécurité et détails des comptes d'assurance. Un sous-ensemble d'environ 230 000 personnes a également vu ses informations de compte de prélèvement des primes exfiltrées, l'entreprise indiquant toutefois qu'aucune donnée de carte bancaire n'avait été consultée.

Réponse

Après avoir découvert l'intrusion le 25 juin 2026, Aflac Japan a suspendu les systèmes affectés pour contenir l'incident et a fait appel à des spécialistes tiers pour appuyer l'enquête. L'entreprise a averti que cette mise hors service avait perturbé plusieurs de ses services le temps de sécuriser son environnement, et a indiqué qu'elle informerait les personnes concernées et coopérerait avec les régulateurs à mesure que son analyse informatique se poursuivrait.

Pourquoi c'est important

Cette fuite figure parmi les plus importantes d'une vague d'intrusions ayant visé de grandes entreprises japonaises en juin 2026. Aflac n'a attribué l'attaque à aucun acteur malveillant précis et n'a pas détaillé la manière dont les attaquants ont obtenu l'accès initial ; certains chercheurs en sécurité ont émis l'hypothèse que l'incident pourrait correspondre au mode opératoire du collectif Scattered Spider, qui a visé à plusieurs reprises de grands assureurs, sans qu'un tel lien n'ait été confirmé. Pour les assurés, l'exposition des noms, coordonnées, dates de naissance et informations de compte d'assurance crée un risque durable de fraude ciblée et d'ingénierie sociale, bien après le rétablissement des systèmes.