Naruszenie bezpieczeństwa w firmie Conduent po cichu stało się jednym z największych incydentów związanych z danymi stron trzecich w historii Stanów Zjednoczonych, a prawdziwą historią jest teraz to, ile różnych programów i pracodawców zostało nim dotkniętych, nawet w przypadku osób, które nigdy nie słyszały o firmie Conduent.
Kiedy po raz pierwszy opisaliśmy ten incydent, publiczne dane sugerowały, że dotyczyło to około 10,5 miliona osób, głównie w stanie Oregon i kilku innych stanach. Według najnowszych informacji stanowych liczba ta wynosi obecnie ponad 25 milionów osób w całych Stanach Zjednoczonych, przy czym w samym Teksasie liczba ta wzrosła z około 4 milionów do 15,4 miliona mieszkańców, a w Oregonie utrzymuje się na poziomie około 10,5 miliona.
To sprawia, że jest to jedno z największych naruszeń bezpieczeństwa w historii związanych z opieką zdrowotną. Według doniesień, osoby atakujące spędziły około trzech miesięcy w środowisku Conduent i wykradły około 8 TB danych.
Jak to możliwe, że problem ten dotyka tak wiele osób, które nigdy nie słyszały o firmie Conduent?
W 2019 roku firma Conduent poinformowała, że jej systemy obsługują ponad 100 milionów osób w całym kraju oraz większość firm z listy Fortune 100 i ponad 500 podmiotów rządowych. Pokazuje to, jak szeroki jest potencjalny zasięg ataku, nawet jeśli nie wszystkie z tych danych zostały naruszone w wyniku tego incydentu.
Conduent działa za kulisami znacznej części amerykańskich usług publicznych i korporacyjnych zadań administracyjnych, co wyjaśnia, dlaczego lista ofiar wydaje się tak niepowiązana. Jego platformy obsługują:
- Programy pomocy państwowej, takie jak Medicaid, SNAP (program pomocy żywnościowej) oraz inne formy pomocy finansowej udzielanej przez rząd w ponad 30 stanach.
- Obsługa poczty, drukowanie i przetwarzanie płatności dla urzędów państwowych zajmujących się świadczeniami socjalnymi oraz programów opieki zdrowotnej, w tym dużych ubezpieczycieli zdrowotnych, takich jak Blue Cross Blue Shield.
- Usługi korporacyjne dla dużych pracodawców, w tym co najmniej jednego dużego producenta samochodów; wśród osób, których dane zostały ujawnione, znajduje się prawie 17 000 pracowników Volvo Group.
Kto co ukradł?
Do cyberataku przyznała się później grupa przestępcza SafePay ransomware.
Skradzione dane wykraczają daleko poza dane kontaktowe. W pismach informacyjnych i dokumentach złożonych do organów regulacyjnych opisano:
- Pełne imiona i nazwiska, adresy pocztowe oraz daty urodzenia.
- Numery ubezpieczenia społecznego i inne identyfikatory rządowe.
- Informacje medyczne, dane dotyczące ubezpieczenia zdrowotnego i powiązane dane dotyczące roszczeń.
Ponieważ firma Conduent przetwarza dane dotyczące świadczeń i kadr w imieniu agencji i pracodawców, większość osób, których dotyczy ta sprawa, nigdy nie miała bezpośredniego kontaktu z Conduent i może nawet nie rozpoznać nazwy na kopercie. Jeśli otrzymywałeś świadczenia SNAP, ubezpieczenie Medicaid, inne świadczenia zdrowotne administrowane przez stan lub pracowałeś dla organizacji, która zleca obsługę kadrową lub rozpatrywanie wniosków firmie Conduent (lub jednemu z jej klientów), Twoje dane mogły przepływać przez jej systemy, nawet jeśli Twoja „relacja z klientem” dotyczyła agencji stanowej, ubezpieczyciela lub pracodawcy.
Dlaczego jest to gorsze, niż się początkowo wydawało
Istnieją trzy powody, dla których ta kontynuacja jest poważniejsza niż oryginał:
- Więcej osób jest zaangażowanych: surowe dane liczbowe wzrosły z 10 milionów do 25 milionów, ponieważ więcej stanów i klientów korporacyjnych ujawniło swoje zaangażowanie, pokazując, jak nieprzejrzyste mogą być na początku naruszenia bezpieczeństwa przez osoby trzecie.
- Identyfikatory na zawsze: numery SSN wraz z danymi medycznymi i ubezpieczeniowymi umożliwiają długotrwałe kradzieże tożsamości, oszustwa medyczne i wysoce ukierunkowane ataki phishingowe, które mogą prześladować ofiary przez lata.
- Ślepa plamka stron trzecich: W przypadku wielu podmiotów objętych przepisami „naruszenie” nigdy nie pojawi się w ich własnych logach, ponieważ doszło do niego w środowisku dostawcy, z którego usług korzystają, ale nad którym nie mają kontroli.
Kiedy więc otrzymujesz nieoczekiwaną wiadomość od firmy Conduent, nie jest to pomyłka. Jest to przypomnienie, że Twoje dane mogą być narażone na ryzyko daleko od organizacji, z którymi, jak sądziłeś, masz do czynienia — i że rzeczywiste zagrożenie wynikające z tego naruszenia znacznie wykracza poza liczby zawarte w dokumentach złożonych w jednym stanie.
W zależności od tego, które dane zostały naruszone, możesz otrzymać nieco inny list. Jeśli go otrzymasz, zapoznaj się z naszym przewodnikiem dotyczącym postępowania po naruszeniu bezpieczeństwa danych, aby dowiedzieć się, jakie kroki należy podjąć.
Nie tylko informujemy o zagrożeniach — pomagamy chronić całą Twoją tożsamość cyfrową.
Ryzyko związane z cyberbezpieczeństwem nie powinno nigdy wykraczać poza nagłówki gazet. Chroń swoje dane osobowe i dane swojej rodziny, korzystając z ochrony tożsamości.
