خرق بيانات Conduent لعام 2024

يفيد النموذج 10-K الذي قدمته Conduent للسنة المالية 2025 بأن الشركة واجهت اضطرابًا تشغيليًا في 13 يناير 2025، وعلمت بأن جهة مهاجمة حصلت على وصول غير مصرح به إلى جزء محدود من بيئتها التقنية. وخلص تحقيقها، الذي أجرته بمساعدة متخصصين خارجيين في الأمن السيبراني، إلى أن المهاجم سرّب ملفات مرتبطة ببعض العملاء. ويؤكد هذا الإفصاح أن الحادثة لم تقتصر على مجرد احتمال الوصول.

وقالت الشركة إن التحليل التفصيلي أكد احتواء الملفات على كمية كبيرة من المعلومات الشخصية الخاصة بالمستخدمين النهائيين لدى عملائها. وتصنف HHS الحادثة على أنها حادثة اختراق/تقنية معلومات، وتحدد موقعها بأنه خادم شبكة، وتصنف Conduent على أنها شريك أعمال. وجمعت HIPAA Journal بصورة مستقلة العدد الوارد في السجلات التنظيمية والتسلسل الزمني للحادثة، وأفادت بأن المعلومات الصحية المحمية لأكثر من 62.2 مليون شخص تعرضت للاختراق.

حدد التحقيق الجنائي الرقمي فترة وجود الجهة المهاجمة في شبكة Conduent من 21 أكتوبر 2024 حتى 13 يناير 2025. ويستند تاريخ الحادثة إلى أقدم نشاط تقني يمكن التحقق منه عبر المصادر العامة. واكتشفت الشركة الحادثة في آخر يوم من فترة الوصول، وفعّلت خطة الاستجابة، وأعادت الأنظمة المتأثرة إلى العمل بصورة طبيعية خلال ساعات في بعض الحالات وخلال أيام في حالات أخرى.

نظرًا إلى تعقيد الملفات، استعانت Conduent بمتخصصين في مراجعة البيانات لتحديد المعلومات الشخصية التي احتوت عليها. وبدأ إرسال الإشعارات إلى العملاء والمستخدمين النهائيين المتضررين في أكتوبر 2025، وأبلغت الشركة SEC بأنها تتوقع استكمال إرسالها في أوائل 2026. ويحتفظ السجل لدى HHS بتاريخ التقديم الأصلي، وهو 8 أكتوبر 2025، بينما يعكس العدد الحالي للمتضررين تحديثات لاحقة لنطاق الحادثة.

تشمل حقول البيانات المُفصح عنها علنًا الأسماء وتواريخ الميلاد والعناوين البريدية وأرقام الضمان الاجتماعي. وكانت المعلومات الطبية ومعلومات التأمين الصحي أيضًا من بين أنواع البيانات المتأثرة. وتقدم Conduent خدمات العمليات الإدارية ومعالجة المستندات والمراسلات البريدية وضمان سلامة المدفوعات للعديد من خطط التأمين الصحي ومقدمي الرعاية الصحية والبرامج الحكومية، ولذلك اختلفت مجموعة البيانات المتأثرة تحديدًا باختلاف العميل والشخص.

لا تفيد المصادر بأن كل شخص متضرر تأثرت بياناته في جميع الفئات. كما أنها لا تثبت وجود كلمات مرور أو بيانات بطاقات دفع أو حسابات مصرفية أو محتويات رسائل بريد إلكتروني أو بيانات تفصيلية للوصفات الطبية تخص جميع الأشخاص البالغ عددهم 62,224,658. وتوضح فئات البيانات النطاق المحتمل المُفصح عنه؛ ولا تُختلق أعداد المتضررين لدى كل عميل أو تفاصيل ربط حقول البيانات بهم عندما لا تكون هذه المعلومات متاحة علنًا.

تُظهر قائمة التحقيقات المفتوحة لدى مكتب الحقوق المدنية (OCR) التابع لـ HHS سجلًا واحدًا باسم Conduent Business Services LLC يضم 62,224,658 شخصًا. وهذا إجمالي اتحادي أحدث من الأرقام المرحلية البالغة 10.5 مليون و25 مليون، وغيرها من الأعداد التي نُشرت سابقًا في إشعارات الولايات.

نظرًا إلى أن Conduent شريك أعمال، فقد تكون بعض مؤسسات الرعاية الصحية المتضررة قد أوفت أيضًا بالتزامات الإخطار بصورة منفصلة. ويمثل عدد الأشخاص أو السجلات المتضررة الذي ينشره المصدر الرسمي نطاق الحادثة المُبلّغ عنه. ولا يعني ذلك أن كل فئة من فئات البيانات المُفصح عنها تنطبق على كل شخص.

ربطت بعض التقارير الحادثة بمجموعة برمجيات الفدية SafePay، لكن Conduent لم تؤكد اسم أي مجموعة أو دفع أي فدية في إفصاحها المقدم إلى SEC. وقالت الشركة إن مراقبتها للويب المظلم لم تكشف، حتى نهاية 2025، عن أدلة على نشر معلومات شخصية مرتبطة بالحادثة. ولا ينفي هذا التصريح تسريب الملفات، الذي أكدته Conduent بصورة منفصلة وصريحة.

لذلك، لا تنسب LeakData الحادثة إلى مجموعة لم يُتحقق من تورطها، ولا تحدد حجم البيانات المسروقة أو مبلغ الفدية. وتتمثل الوقائع المثبتة في وصول غير مصرح به إلى الشبكة استمر نحو ثلاثة أشهر، وتسريب ملفات العملاء، ووجود معلومات شخصية داخل تلك الملفات. وعدم رصد نشر البيانات على الويب المظلم لا يلغي مخاطر الاحتيال باستخدام الهوية أو إساءة استخدام معلومات الرعاية الصحية.

عرضت Conduent على المتضررين مراقبة ائتمانية مجانية لمدة اثني عشر شهرًا. وينبغي لمتلقي الإشعارات التحقق من صلتهم بخطة التأمين الصحي أو المؤسسة المذكورة في الرسالة، ومراجعة تقاريرهم الائتمانية، والنظر في تجميد ملفاتهم الائتمانية لأغراض الحماية إذا كان رقم الضمان الاجتماعي ضمن البيانات المتأثرة. كما ينبغي الإبلاغ عن أي خدمات أو مطالبات أو مقدمي خدمات غير معروفين يظهرون في الكشوف الطبية والتأمينية، عبر القناة الرسمية لخطة التأمين.

قبل استخدام الروابط الواردة في رسائل تدّعي أنها من Conduent أو من خطة تأمين صحي أو جهة حكومية، ينبغي الحصول على بيانات الاتصال بصورة مستقلة من مصدر رسمي. ويمكن أيضًا مراقبة حسابات الضرائب والإعانات الحكومية بحثًا عن تغييرات غير مفسرة.