Brecha de datos de Conduent de 2024

El formulario 10-K de Conduent correspondiente al ejercicio fiscal 2025 indica que la empresa sufrió una interrupción operativa el 13 de enero de 2025 y supo que un atacante había obtenido acceso no autorizado a una parte limitada de su entorno. La investigación realizada junto con especialistas externos en ciberseguridad determinó que el atacante había exfiltrado archivos relacionados con algunos clientes. Esta comunicación confirma que no se trató solo de una posibilidad de acceso.

La empresa señaló que un análisis detallado confirmó que los archivos contenían un volumen considerable de información personal de los usuarios finales de sus clientes. HHS clasifica el suceso como un incidente de piratería informática/TI, identifica la ubicación como un servidor de red y clasifica a Conduent como socio comercial. HIPAA Journal recopiló de forma independiente el recuento de las autoridades reguladoras y la cronología, e informó de que se había comprometido información sanitaria protegida de más de 62,2 millones de personas.

La investigación forense determinó que el atacante estuvo en la red de Conduent desde el 21 de octubre de 2024 hasta el 13 de enero de 2025. La fecha del incidente se basa en la primera actividad técnica que puede verificarse a partir de fuentes públicas. La empresa descubrió el incidente el último día de acceso, activó su plan de respuesta y restableció el funcionamiento normal de los sistemas afectados en cuestión de horas en algunos casos y de días en otros.

Debido a la complejidad de los archivos, Conduent contrató a especialistas en revisión de datos para identificar la información personal que contenían. Las notificaciones a los clientes y usuarios finales afectados comenzaron en octubre de 2025, y la empresa comunicó a la SEC que esperaba completarlas a principios de 2026. La entrada de HHS conserva el 8 de octubre de 2025 como fecha de presentación original, mientras que su recuento actual de personas afectadas refleja actualizaciones posteriores del alcance.

Los campos divulgados públicamente incluyen nombres, fechas de nacimiento, direcciones postales y números de la Seguridad Social. La información médica y la relativa a seguros de salud también figuraban entre los tipos de datos afectados. Conduent presta servicios administrativos, de procesamiento de documentos, de envío postal y de integridad de los pagos a numerosos planes de salud, proveedores de atención sanitaria y programas públicos, por lo que la combinación exacta variaba según el cliente y la persona.

Las fuentes no afirman que cada persona afectada tuviera datos en todas las categorías. Tampoco establecen que hubiera contraseñas, tarjetas de pago, cuentas bancarias, contenido de correos electrónicos o datos detallados de recetas médicas para las 62 224 658 personas. Las categorías de datos indican el posible alcance divulgado; cuando no son públicos, no se inventan recuentos de personas afectadas por cliente ni correspondencias entre campos.

La lista de investigaciones abiertas de HHS OCR muestra una entrada de Conduent Business Services LLC con 62 224 658 personas. Se trata de un total federal más reciente que las cifras provisionales de 10,5 millones, 25 millones y otros recuentos publicados anteriormente en notificaciones estatales.

Como Conduent es un socio comercial, es posible que algunas organizaciones sanitarias afectadas también hayan cumplido sus obligaciones de notificación por separado. El número de personas o registros afectados que publica la fuente oficial representa el alcance notificado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a cada persona.

Algunas publicaciones vincularon el incidente con el grupo de ransomware SafePay, pero Conduent no confirmó el nombre de ningún grupo ni el pago de un rescate en la información presentada ante la SEC. La empresa señaló que, hasta finales de 2025, su vigilancia de la web oscura no había encontrado pruebas de que se hubiera difundido información personal relacionada con el incidente. Esa declaración no niega la exfiltración, que Conduent confirmó de forma separada y explícita.

Por ello, LeakData no atribuye el incidente a un grupo sin verificar ni indica un volumen de datos robados o un importe de rescate. Los hechos establecidos son aproximadamente tres meses de acceso no autorizado a la red, la exfiltración de archivos de clientes y la presencia de información personal en esos archivos. Que no se haya detectado su publicación en la web oscura no elimina los riesgos de fraude de identidad o de uso indebido de información sanitaria.

Conduent ofreció doce meses de vigilancia crediticia gratuita a las personas afectadas. Si ha recibido una notificación, debería verificar la relación con el plan de salud o la institución mencionados en la carta, revisar sus informes crediticios y considerar un bloqueo de su historial crediticio si se vio afectado su número de la Seguridad Social. Si encuentra servicios, reclamaciones o proveedores que no reconoce en sus estados de cuenta médicos o de seguros, debería comunicarlo a través del canal oficial del plan.

Antes de utilizar enlaces incluidos en mensajes que afirmen proceder de Conduent, de un plan de salud o de un organismo público, obtenga los datos de contacto de forma independiente a través de una fuente oficial. También puede revisar sus cuentas tributarias y de prestaciones públicas para detectar cambios sin explicación.