Allianz Life sufre un robo de datos a través de un CRM cloud de terceros

Qué ocurrió

Allianz Life comunicó el 26 de julio de 2025 que un actor había accedido, mediante ingeniería social, a un CRM cloud de terceros y obtenido información personal de la mayoría de sus clientes, profesionales financieros y algunos empleados en Estados Unidos, según Reuters.

El acceso no se produjo explotando una vulnerabilidad técnica del CRM, sino engañando a alguien con capacidad para obtener acceso al sistema, una técnica habitual en este tipo de incidentes.

Qué significa para una empresa mediana

El caso deja claro que un CRM externo puede ser tan crítico como un servidor interno de la empresa. Sus accesos, registros, permisos y procedimientos de soporte deben entrar en el mismo modelo de seguridad que el resto de sistemas, no tratarse como una herramienta secundaria.

Muchas pymes concentran datos de clientes en plataformas SaaS de CRM o marketing sin aplicar los mismos controles que a sus sistemas internos, lo que las expone al mismo tipo de riesgo que sufrió Allianz Life.

Qué conviene revisar

Controles a aplicar sobre plataformas CRM y SaaS de terceros:

• Qué procedimiento de verificación de identidad exige el proveedor del CRM antes de conceder o restablecer accesos.
• Si el acceso al CRM requiere autenticación multifactor resistente al phishing.
• Qué datos de clientes se almacenan en el CRM y si esa cantidad de información está justificada.
• Si existe un registro de accesos y cambios de permisos en la plataforma que se pueda auditar.

Preguntas frecuentes

¿Cómo obtuvieron acceso los atacantes?

Según la empresa, mediante ingeniería social dirigida para obtener acceso a un CRM cloud de terceros.

¿Qué información se vio afectada?

Información personal de la mayoría de los clientes de la compañía, profesionales financieros y algunos empleados en Estados Unidos.

¿Qué medida reduce mejor este riesgo?

Exigir verificación de identidad estricta y doble factor resistente al phishing en cualquier plataforma SaaS que gestione datos de clientes.