Violation de données de Conduent en 2024

Dans son formulaire 10-K pour l’exercice 2025, Conduent indique avoir subi une perturbation de ses activités le 13 janvier 2025 et avoir appris qu’un attaquant avait obtenu un accès non autorisé à une partie limitée de son environnement informatique. L’enquête menée avec des spécialistes externes de la cybersécurité a établi que l’attaquant avait exfiltré des fichiers concernant une partie de ses clients. Cette déclaration établit donc que l’incident ne se limite pas à une simple possibilité d’accès.

L’entreprise a déclaré qu’une analyse détaillée avait confirmé la présence, dans ces fichiers, d’un volume important de données personnelles appartenant aux utilisateurs finaux de ses clients. HHS classe l’événement dans la catégorie « Piratage/incident informatique », indique « Serveur réseau » comme emplacement et attribue à Conduent le statut de « Partenaire commercial ». HIPAA Journal a compilé de manière indépendante le décompte réglementaire et la chronologie, en rapportant que les informations de santé protégées de plus de 62,2 millions de personnes avaient été compromises.

L’investigation technique a établi que l’attaquant était présent dans le réseau de Conduent du 21 octobre 2024 au 13 janvier 2025. La date de l’incident correspond à la première activité technique vérifiable à partir de sources publiques. L’entreprise a découvert l’incident le dernier jour de cet accès, a activé son plan de réponse et a rétabli le fonctionnement normal des systèmes touchés en quelques heures dans certains cas et en quelques jours dans d’autres.

En raison de la complexité des fichiers, Conduent a fait appel à des spécialistes de l’examen des données pour identifier les informations personnelles qu’ils contenaient. Les notifications aux clients et aux utilisateurs finaux concernés ont commencé en octobre 2025, et l’entreprise a indiqué à la SEC qu’elle prévoyait de les achever début 2026. L’entrée du HHS conserve la date de déclaration initiale du 8 octobre 2025, tandis que le nombre de personnes actuellement indiqué tient compte de mises à jour ultérieures du périmètre de l’incident.

Les champs de données rendus publics comprennent les noms, les dates de naissance, les adresses postales et les numéros de sécurité sociale. Des informations médicales et des informations d’assurance santé figuraient également parmi les types de données touchés. Conduent fournit des services administratifs, de traitement de documents, d’envoi de courrier et d’intégrité des paiements à de nombreux organismes d’assurance santé, prestataires de soins et programmes publics. La combinaison exacte des données variait donc selon le client et la personne.

Les sources n’indiquent pas que chaque personne touchée était concernée par toutes les catégories. Elles n’établissent pas non plus que des mots de passe, des données de cartes de paiement, des comptes bancaires, le contenu d’e-mails ou des données détaillées sur les prescriptions étaient présents pour l’ensemble des 62 224 658 personnes. Les catégories de données décrivent le périmètre potentiel rendu public; les décomptes par client et les cartographies des champs de données ne sont pas inventés lorsqu’ils ne sont pas publics.

La liste des enquêtes en cours du HHS OCR comporte une seule entrée pour Conduent Business Services LLC, avec 62 224 658 personnes. Ce total fédéral est plus récent que les chiffres provisoires de 10,5 millions, de 25 millions et les autres décomptes précédemment publiés dans les avis de notification des États.

Conduent ayant le statut de partenaire commercial, certains organismes de santé touchés peuvent également avoir rempli leurs obligations de notification séparément. Le nombre de personnes ou d’enregistrements concernés publié par la source officielle correspond à l’ampleur déclarée de l’incident. Cela ne signifie pas que toutes les catégories de données mentionnées concernaient chaque personne.

Certains articles ont associé l’incident au groupe de cybercriminels SafePay, qui utilise des rançongiciels, mais Conduent n’a confirmé ni le nom d’un groupe ni le paiement d’une rançon dans sa déclaration à la SEC. L’entreprise a indiqué qu’à la fin de 2025, sa surveillance du dark web n’avait révélé aucun élément attestant la publication de données personnelles liées à cet incident. Cette déclaration ne remet pas en cause l’exfiltration, que Conduent a confirmée séparément et explicitement.

LeakData n’attribue donc pas l’incident à un groupe dont l’implication n’est pas vérifiée et n’indique ni volume de données volées ni montant de rançon. Les faits établis sont un accès non autorisé au réseau pendant environ trois mois, l’exfiltration de fichiers de clients et la présence de données personnelles dans ces fichiers. L’absence de publication détectée sur le dark web n’élimine pas les risques de fraude à l’identité ou d’utilisation abusive des informations de santé.

Conduent a proposé aux personnes touchées douze mois de surveillance gratuite de leur dossier de crédit. Si vous avez reçu une notification, vérifiez le lien avec l’organisme d’assurance santé ou l’établissement nommé dans le courrier, examinez vos rapports de crédit et envisagez de demander le gel de votre dossier de crédit si un numéro de sécurité sociale est concerné. Signalez, par le canal officiel de l’organisme d’assurance, tout service, toute demande de remboursement ou tout prestataire que vous ne reconnaissez pas dans vos relevés médicaux et d’assurance.

Avant d’utiliser les liens de messages prétendant provenir de Conduent, d’un organisme d’assurance santé ou d’une administration publique, recherchez vous-même les coordonnées auprès d’une source officielle. Vous pouvez également surveiller vos comptes fiscaux et vos comptes de prestations publiques pour repérer d’éventuels changements inexpliqués.