Allianz Life subit un vol de données via un CRM cloud tiers

Ce qui s’est passé

Allianz Life a annoncé le 26 juillet 2025 qu’un acteur malveillant avait accédé, par ingénierie sociale, à un CRM cloud tiers et obtenu des informations personnelles concernant la majorité de ses clients, des professionnels de la finance et certains employés aux États-Unis, selon Reuters.

L’accès n’a pas été obtenu en exploitant une vulnérabilité technique du CRM, mais en trompant une personne en mesure d’accéder au système, une technique courante dans ce type d’incidents.

Ce que cela signifie pour une entreprise de taille moyenne

Ce cas montre clairement qu’un CRM externe peut être aussi critique qu’un serveur interne de l’entreprise. Ses accès, journaux, autorisations et procédures d’assistance doivent relever du même cadre de sécurité que les autres systèmes, et non être traités comme ceux d’un outil secondaire.

De nombreuses PME centralisent les données de leurs clients dans des plateformes SaaS de CRM ou de marketing sans appliquer les mêmes contrôles qu’à leurs systèmes internes, ce qui les expose au même type de risque que celui auquel Allianz Life a été confrontée.

Les points à vérifier

Contrôles à appliquer aux plateformes CRM et SaaS tierces:

• Quelle procédure de vérification d’identité le fournisseur du CRM impose avant d’accorder ou de rétablir des accès.
• Si l’accès au CRM exige une authentification multifacteur résistante au phishing.
• Quelles données clients sont stockées dans le CRM et si ce volume d’informations est justifié.
• S’il existe un journal des accès et des modifications d’autorisations sur la plateforme pouvant faire l’objet d’un audit.

Questions fréquentes

¿Comment les attaquants ont-ils obtenu l’accès?

Selon l’entreprise, par une opération d’ingénierie sociale ciblée visant à accéder à un CRM cloud tiers.

¿Quelles informations ont été touchées?

Des informations personnelles concernant la majorité des clients de la compagnie, des professionnels de la finance et certains employés aux États-Unis.

¿Quelle mesure réduit le plus efficacement ce risque?

Exiger une vérification stricte de l’identité et une authentification à deux facteurs résistante au phishing sur toute plateforme SaaS qui gère des données clients.