Violação de dados da Conduent em 2024

O Form 10-K da Conduent referente ao exercício fiscal de 2025 informa que a empresa sofreu uma interrupção operacional em 13 de janeiro de 2025 e descobriu que um agente mal-intencionado havia obtido acesso não autorizado a uma parte limitada de seu ambiente. A investigação, conduzida com especialistas externos em segurança cibernética, determinou que o invasor exfiltrou arquivos relacionados a um subconjunto de clientes. Essa divulgação mostra que o incidente foi além da mera possibilidade de acesso.

A empresa afirmou que uma análise detalhada confirmou que os arquivos continham um volume significativo de informações pessoais de usuários finais de seus clientes. O HHS classifica o evento como Invasão/Incidente de TI, o local como Servidor de rede e a Conduent como Parceiro comercial. O HIPAA Journal reuniu de forma independente a contagem informada aos órgãos reguladores e a cronologia, relatando que informações de saúde protegidas de mais de 62,2 milhões de pessoas foram comprometidas.

A investigação forense determinou que o agente mal-intencionado esteve na rede da Conduent de 21 de outubro de 2024 a 13 de janeiro de 2025. A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas. A empresa descobriu o incidente no último dia de acesso, ativou seu plano de resposta e restabeleceu o funcionamento normal dos sistemas afetados em questão de horas em alguns casos e de dias em outros.

Como os arquivos eram complexos, a Conduent contratou especialistas em revisão de dados para identificar as informações pessoais contidas neles. As notificações aos clientes e usuários finais afetados começaram em outubro de 2025, e a empresa informou à SEC que esperava concluí-las no início de 2026. O registro do HHS mantém a data de envio original de 8 de outubro de 2025, enquanto o total atual de pessoas afetadas reflete atualizações posteriores do alcance do incidente.

Os campos divulgados publicamente incluem nomes, datas de nascimento, endereços para correspondência e números de Seguro Social. Informações médicas e de seguros de saúde também estavam entre os tipos de dados afetados. A Conduent presta serviços administrativos, de processamento de documentos, de envio de correspondências e de integridade de pagamentos a diversos planos de saúde, prestadores de serviços de saúde e programas públicos. Por isso, a combinação exata de dados variava conforme o cliente e a pessoa.

As fontes não afirmam que todas as pessoas afetadas tiveram dados de todas as categorias envolvidos. Também não comprovam que senhas, cartões de pagamento, contas bancárias, conteúdo de e-mails ou dados detalhados de prescrições estivessem presentes para todas as 62.224.658 pessoas. As categorias de dados indicam o alcance possível divulgado; não são inventadas contagens de pessoas por cliente nem mapeamentos de campos quando essas informações não são públicas.

A lista de investigações em aberto do HHS OCR apresenta um registro da Conduent Business Services LLC com 62.224.658 pessoas. Esse total federal é mais recente que as cifras provisórias de 10,5 milhões, 25 milhões e outras contagens publicadas anteriormente em notificações estaduais.

Como a Conduent atua como parceira comercial, algumas organizações de saúde afetadas também podem ter cumprido suas obrigações de notificação separadamente. A contagem de pessoas afetadas ou de registros publicada pela fonte oficial representa o alcance informado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas.

Algumas reportagens associaram o incidente ao grupo de ransomware SafePay, mas a Conduent não confirmou o nome de nenhum grupo nem o pagamento de resgate em sua divulgação à SEC. A empresa afirmou que, até o fim de 2025, seu monitoramento da dark web não havia encontrado evidências de que informações pessoais relacionadas ao incidente tivessem sido divulgadas. Essa declaração não nega a exfiltração, que a Conduent confirmou de forma separada e explícita.

Por isso, a LeakData não atribui o incidente a um grupo cuja participação não foi verificada nem informa um volume de dados roubados ou um valor de resgate. Os fatos estabelecidos são cerca de três meses de acesso não autorizado à rede, a exfiltração de arquivos de clientes e a presença de informações pessoais nesses arquivos. A ausência de publicação detectada na dark web não elimina os riscos de fraude de identidade ou de uso indevido de informações de saúde.

A Conduent ofereceu doze meses de monitoramento de crédito gratuito às pessoas afetadas. Se você recebeu uma notificação, deve verificar seu vínculo com o plano de saúde ou a instituição mencionada na carta, revisar seus relatórios de crédito e considerar um congelamento de crédito caso um número de Seguro Social tenha sido envolvido. Serviços, solicitações de cobertura ou prestadores desconhecidos que constem de demonstrativos médicos ou de seguros devem ser comunicados pelo canal oficial do plano.

Antes de usar links em mensagens que aleguem ser da Conduent, de um plano de saúde ou de um órgão governamental, obtenha os dados de contato de forma independente, em uma fonte oficial. Você também pode acompanhar suas contas em serviços tributários e de benefícios públicos para identificar alterações sem explicação.