El seguro de agricultores, una de las aseguradoras más grandes del país de hogares, vehículos y pequeñas empresas, reveló a fines de la semana pasada que ha sido presa de un atacar atribuente de terceros que podría haber expuesto los datos confidenciales de 1.1 millones de clientes.
“Recientemente descubrimos que un tercero no autorizado accedió brevemente a un sistema de proveedores que contenía la información de los clientes de algunos agricultores”, dijo la compañía en un comunicado compartido con Newsweek. “El incidente involucró solo información limitada de ciertos clientes”.
Si bien las consecuencias para los clientes afectados aún no están claras, la violación de los datos expone la vulnerabilidad de las compañías de seguros y sus clientes a tales ataques. Los agricultores atienden a unos 10 millones de hogares en todo el país y cuenta 19 millones de pólizas de seguro en todo el país, Según Insurance Business Magcubriendo vehículos, casas, vida y actividades comerciales.
¿Qué sabemos sobre el ataque cibernético?
La violación de datos fue notificada por los agricultores New World Life Insurance and Farmers Group, su empresa matriz, con presentaciones a los reguladores estatales. Una presentación de Farmers New World Life Insurance a la Oficina del Fiscal General de Maine dijo que 40,000 personas fueron afectadas por la violación de datos; Otra presentación del Grupo de Agricultores dijo que hasta 1.071,172 asegurados se vieron afectados.
De manera crucial, la violación de los datos ocurrió hace unos tres meses, mucho antes de que los agricultores revelara el ciberataque con un aviso en su sitio web. Los agricultores dijeron que no estaba directamente dirigido, sino que un proveedor de terceros lo informó el 30 de mayo que una base de datos que contenía la información de los aseguradores de los agricultores se había accedido ilegalmente el día anterior.
Un edificio de seguros de agricultores en el histórico casco antiguo de Tacoma, Washington, en agosto de 2021. Un edificio de seguros de agricultores en el histórico casco antiguo de Tacoma, Washington, en agosto de 2021. Getty Images
“Todavía hay mucho desconocido”, dijo la experta cibernética de West Monroe, Christina Powers, a Newsweek. “A pesar de que esta violación ocurrió hace tres meses, los agricultores acaban de hacer público y comenzaron a notificar a las personas en los últimos días o un par de semanas”, dijo.
“Lo que hemos escuchado de ellos es que los atacantes pudieron acceder a una base de datos con su información que estaba bajo control o gestión de un tercero. No sabemos quién era”, agregó Powers.
“Hay especulaciones por ahí, pero eso es todo lo que sabemos. Creo que mantienen muchos de los detalles estrechamente vigilados. Podría haber sido algo así como lo que hemos visto con otras compañías de seguros, donde alguien pudo pescar con éxito las credenciales y luego usar esas credenciales para obtener acceso legítimamente (a la base de datos de la compañía), pero hay mucho que hay mucho desconocido”.
¿Qué datos se vieron comprometidos?
Según los agricultores, entre la información comprometida en la violación, hay los nombres de los clientes, las direcciones, las fechas de nacimiento, los números de licencia de conducir y los últimos cuatro dígitos de sus números de seguro social.
“Eso puede usarse para cometer cosas como fraude de identidad”, dijo Powers. “Se puede usar para cometer ataques más específicos contra individuos o entidades, con información que se conoce sobre ellos. Por lo tanto, el objetivo aquí es algún tipo de ganancia financiera o monetaria para los atacantes”.
La compañía dijo que si bien no es consciente de que ninguna información personal involucrada en el incidente se utilice mal, alienta a las personas “a permanecer atentos a los casos de robo de identidad y fraude mediante la revisión de los estados de cuenta financieros y los informes de crédito para cualquier anomalías, y a notificar a su institución financiera de cualquier transacción no autorizada o un robo de identidad sospechada”.
¿Por qué atacar a las compañías de seguros?
Los agricultores no son la primera compañía de seguros estadounidense en ser víctima de una violación de datos en los últimos meses. Allianz Life Insurance Company de North America informó una violación importante en julio, lo que provocó una demanda colectiva contra la compañía por no proteger los datos de los clientes.
“Estamos viendo la industria dirigida por los atacantes, solo dada la información confidencial que hay”, dijo Powers. “Tienen PII (información de identificación personal), cosas como cumpleaños, direcciones, licencia de conducir, números de seguro social, etc.”, agregó.
“Todo eso puede ser muy valioso para los atacantes para obtener ganancias financieras directas (fraude de identidad, suplantación) o luego ser utilizado para realizar más ataques cibernéticos con los datos a los que pueden acceder a individuos o entidades comerciales que estas compañías pueden estar aseguradas por estas compañías”.
Los poderes no se sorprenderían, dijo, si hubiera más aseguradoras que aún no han revelado ser víctimas de los ataques o que los atacantes todavía persigan.
En términos de lo que están haciendo las compañías de seguros o qué tan bien preparados están para enfrentar estos nuevos desafíos, Powers cree que es difícil para las compañías “permanecer en la cima” de estos ataques cibernéticos “, especialmente con la interconexión de cuántos terceros están involucrados, cuántas plataformas diferentes están usando para realizar negocios, cómo fluyen los datos”, dijo.
“La superficie de ataque para la industria de seguros es muy amplia. Creo que hay algunas cosas básicas que las compañías de seguros pueden estar haciendo, asegurándose de que comprendan dónde están todos sus datos y cómo se están protegiendo”, dijo Powers.
“Y luego la combinación de tener controles cibernéticos para limitar quién tiene acceso a qué, además de tener el monitoreo que puede marcar cosas que parecen anómalas o sospechosas, como en este caso”.
¿Qué están haciendo los agricultores al respecto?
Un portavoz de los agricultores le dijo a Newsweek que una investigación sobre la violación de datos está en curso.
“Una investigación, conducida con expertos en seguridad internos y externos, no encontró evidencia de que los datos expuestos se hayan utilizado mal, ni ninguna indicación de que los sistemas de los agricultores se vieran comprometidos”, dijo la compañía en un comunicado. “Estamos contactando directamente a las personas afectadas y estamos proporcionando recursos de apoyo, incluido el monitoreo de crédito gratuito”.
Los agricultores también ofrecen servicios gratuitos de monitoreo de crédito a los clientes afectados durante 24 meses.
Pero la violación de los datos también cambió la atención hacia los agricultores. Schubert Jonckheer & Kolbe, un bufete de abogados que representa a los accionistas, empleados y consumidores en demandas colectivas, dijo que está investigando la violación y si los agricultores violaron las leyes estatales y federales al esperar tanto tiempo para informar a los clientes afectados.
Cuando se produce un ataque cibernético, existe un riesgo de reputación para las empresas afectadas, dijo a Newsweek, el líder de la industria de seguros de West Monroe, Peter McMurtrie.
“Una cosa es simplemente tener tu nombre por ahí por haber sido violado”, dijo. “Pero entonces creo que un segundo componente es solo ese riesgo de reputación de lo rápido que está actuando en defensa de sus asegurados y protegiéndolos. Veremos cómo esto se desarrolla con los agricultores y cuál es el impacto duradero de ese riesgo de reputación”.
