【量子位 2025年12月24日讯】全球保险业再遭大规模网络攻击。12月23日，美国保险巨头Aflac（美国友邦保险）正式确认，今年6月发生的网络攻击已导致约2265万用户的个人与健康数据被盗，这一数字接近其总客户量（5000万）的一半。根据该公司向美国得克萨斯州和艾奥瓦州总检察长办公室提交的文件，被盗数据涵盖姓名、出生日期、社保号、驾照/护照等身份信息，以及病历、医保参保记录等敏感健康数据，目前联邦执法机构正联合第三方网络安全专家追查黑客身份，初步指向一个“专门针对保险业的已知犯罪组织”。
此次泄露是2025年全球保险业规模最大的数据安全事件，也暴露了保险行业在存储海量敏感数据时的安全漏洞——就在Aflac披露消息前后，Erie Insurance、Philadelphia Insurance Companies等多家美国保险公司也相继确认遭遇类似数据攻击，行业安全危机已悄然蔓延。
泄露细节：2265万用户信息遭殃，数据覆盖身份与健康全维度
Aflac在文件中详细披露了此次数据泄露的核心信息，其影响范围与数据敏感度远超此前预期：
-
泄露数据类型“全且敏感”被盗数据分为两大核心类别：一是身份识别信息，包括用户全名、出生日期、家庭住址、政府签发的身份证件编号（护照、州内身份证、驾照）及社保号码，这些信息足以支撑身份盗用、虚假开户等诈骗行为；二是健康相关信息，涵盖个人病历、疾病诊断结果、医保参保状态、理赔记录等受《健康保险流通与责任法案》（HIPAA）严格保护的隐私数据，一旦流入黑市，可能被用于精准诈骗（如伪装医疗机构骗保）或恶意利用健康隐私施压。
-
泄露时间线“滞后半年”事实上，Aflac早在今年6月就发现网络异常并披露“存在数据泄露风险”，但未公布受影响人数。经过半年调查后，该公司才在12月23日确认具体规模并启动用户通知——目前已通过邮件、信件等方式向2265万受影响者发送提醒，同时提供免费信用监控服务，帮助用户监测身份盗用迹象。这种“延迟披露”引发部分用户不满，得克萨斯州居民Jessica Batiste已代表受害者提起集体诉讼，指控Aflac“未及时采取补救措施，加剧数据滥用风险”。
-
黑客目标“瞄准全行业”Aflac在向艾奥瓦州总检察长提交的文件中提到，实施攻击的黑客“可能隶属于某个已知网络犯罪组织”，且该组织“正大规模针对保险业发起攻击”。结合同期其他保险公司的泄露事件，安全专家推测，这一组织极有可能是此前活跃的Scattered Spider——该黑客团伙以年轻英语使用者为主，擅长利用社会工程学突破企业网络，且在今年6月前后多次针对金融、保险行业发动攻击，曾导致多家企业的客户数据泄露。
行业背景：保险业成黑客“重点猎场”，数据价值与安全短板双诱因
此次Aflac及多家保险公司集中遭遇攻击，并非偶然。网络安全行业分析显示，保险业已成为黑客攻击的“高价值目标”，背后有两大核心原因：
-
数据“高黑市价值”驱动攻击保险公司存储的用户数据兼具“身份标识+财务能力+健康状况”三重属性，在地下市场中单次交易价格可达数十至数百美元。例如，一条包含“社保号+医保参保记录”的完整数据，可被用于伪造医疗账单骗保、申请高额消费贷款，甚至通过分析健康数据设计精准诈骗话术（如针对慢性病患者推销虚假药品）。相比电商、社交平台的单一数据，保险业数据的“综合利用价值”更高，自然成为黑客优先攻击的对象。
-
行业“安全防护短板”易被突破多数保险公司尤其是中小型企业，仍依赖传统安全防护手段（如防火墙、定期密码更新），难以抵御新型攻击。以Aflac为例，尽管其未披露此次被攻破的具体漏洞，但参考同期其他保险公司的遭遇，黑客大概率通过“钓鱼邮件获取员工账号”“利用未修复的系统漏洞入侵数据库”等方式得手。更值得警惕的是，保险业常与第三方机构（如医疗数据服务商、销售代理）共享数据，这些合作环节的安全防护往往更薄弱，成为黑客突破的“薄弱环节”。
用户应对：四步防范数据滥用，法律维权通道已开启
针对此次泄露，网络安全专家及Aflac官方均给出应对建议，受影响用户可从“监测-防护-维权”三方面降低风险：
-
立即核查是否受影响Aflac已开通专属查询通道（电话：1-855-509-0822，工作日8:00-20:00美东时间），用户可提供姓名、社保号后四位查询自身信息是否被盗；同时可登录Aflac官网“数据安全事件专区”，查看官方通知及防护指南。
-
启动多维度安全监测建议受影响用户免费领取Aflac提供的Experian信用监控服务，实时跟踪三大信用机构（Experian、Equifax、TransUnion）的信用报告变动；此外，需定期检查银行账户、信用卡账单及医保理赔记录，警惕不明消费或虚假理赔申请，一旦发现异常立即冻结账户并报警。
-
强化个人信息保护措施及时修改Aflac账户及关联平台（如医保APP、银行账户）的密码，建议采用“大小写字母+数字+特殊符号”的复杂组合；避免点击陌生邮件中的链接或附件，尤其是伪装成“医保通知”“理赔确认”的钓鱼内容；对于要求提供社保号、银行卡信息的来电，务必通过官方渠道二次核实身份。
-
通过法律途径维权目前已有受害者提起集体诉讼，指控Aflac“未履行数据安全保护义务”。若用户发现个人信息被滥用（如遭遇诈骗、身份盗用），可保留相关证据（如诈骗短信、异常账单），联系律师参与集体诉讼，或向美国联邦贸易委员会（FTC）、州总检察长办公室提交投诉，要求Aflac承担赔偿责任。
此次Aflac数据泄露事件，再次为全球保险业敲响警钟——在数字化转型过程中，“数据安全”应与“业务创新”同步推进。对保险公司而言，需加快升级网络安全架构（如引入AI入侵检测系统、建立数据加密存储机制），同时加强员工安全培训与第三方合作监管；对用户而言，也需提升个人信息保护意识，避免因疏忽扩大泄露风险。随着联邦执法机构调查的深入，黑客组织的具体身份及攻击手段或将进一步曝光，量子位也将持续关注事件进展。
