10 millions de dossiers exposés dans la violation de données de Conduent Health

Une violation de données chez Conduent Business Services a exposé des informations personnelles et de santé sensibles appartenant à plus de 10 millions de personnes, ce qui en fait l'une des plus grandes violations de données de santé de l'histoire des États-Unis. Des dizaines de recours collectifs s'accumulent désormais contre l'entreprise, les plaignants invoquant une négligence et un retard dans la notification. Si vous êtes concerné, il est plus important que jamais de comprendre ce qui s'est passé et les mesures à prendre.

Ce qui s'est passé lors de la violation chez Conduent

Selon des dépôts judiciaires et des informations rapportées par le San Antonio Express-News, la violation s'est produite sur une période d'environ trois mois, entre le 21 octobre 2024 et le 13 janvier 2025. Durant cette période, des pirates informatiques ont accédé aux systèmes de Conduent Business Services, une entreprise de services technologiques et commerciaux qui gère le traitement des données pour des clients gouvernementaux et du secteur de la santé.

Les données volées comprennent des identifiants personnels hautement sensibles : noms complets, adresses personnelles, dates de naissance et numéros de sécurité sociale. Des millions de personnes touchées sont résidentes du Texas, bien que la violation s'étende à plusieurs États. La combinaison de données exposées est particulièrement dangereuse, car elle contient exactement les informations nécessaires pour commettre une usurpation d'identité, ouvrir des comptes frauduleux ou déposer de fausses déclarations fiscales.

La dernière plainte amendée dans le cadre du contentieux consolidé a été déposée le 18 mars 2026, et les avocats représentant les plaignants font valoir que Conduent a non seulement échoué à protéger adéquatement les données, mais aussi à informer les personnes concernées en temps voulu.

Pourquoi les poursuites judiciaires pourraient aboutir à des indemnisations records

Les recours collectifs impliquant des violations de données à grande échelle ont historiquement donné lieu à des règlements significatifs. L'affaire Conduent se distingue pour plusieurs raisons.

Premièrement, l'ampleur est considérable. Avec plus de 10 millions de personnes touchées, même un montant modeste par individu produirait un versement de plusieurs centaines de millions de dollars. Deuxièmement, l'allégation de notification tardive est juridiquement significative. La plupart des États américains disposent de lois sur la notification des violations obligeant les entreprises à informer les personnes concernées dans un délai précis, et le non-respect de ces lois peut augmenter considérablement la responsabilité.

Troisièmement, Conduent agit en tant que prestataire tiers pour des programmes administrés par le gouvernement, ce qui signifie que les données qu'elle détient appartiennent à certaines des populations les plus vulnérables, notamment les bénéficiaires de programmes de santé publique. Les tribunaux et les jurés ont historiquement été moins indulgents lorsque des violations touchent des personnes disposant de ressources limitées pour répondre à une usurpation d'identité.

Le nombre de poursuites continue de croître, et les observateurs juridiques s'attendent à ce que les affaires soient regroupées dans une seule procédure de contentieux multidistrict. Le fait que le résultat établisse un record dépendra des conclusions du tribunal sur la négligence et du calendrier de notification de l'entreprise.

Ce que cela signifie pour vous

Si vous avez reçu une notification de Conduent ou d'un organisme d'État qui administre des prestations via Conduent, vos données font peut-être partie de cette violation. Même si vous n'avez pas reçu de notification, il vaut la peine de prendre des mesures préventives dès maintenant.

Le risque le plus immédiat est l'usurpation d'identité. Les numéros de sécurité sociale combinés aux adresses et aux dates de naissance donnent aux personnes malveillantes tout ce dont elles ont besoin pour se faire passer pour vous auprès d'institutions financières, de l'IRS ou de programmes de prestations gouvernementaux. Voici ce que vous devriez faire :

  • Placez un gel de crédit auprès des trois principaux bureaux de crédit (Equifax, Experian et TransUnion). Un gel est gratuit et empêche l'ouverture de nouvelles lignes de crédit à votre nom sans votre approbation directe.
  • Mettez en place des alertes à la fraude comme couche de protection supplémentaire. Une alerte à la fraude oblige les créanciers à prendre des mesures supplémentaires pour vérifier votre identité avant d'accorder un crédit.
  • Surveillez attentivement vos comptes financiers pour détecter toute transaction inconnue ou tout nouveau compte que vous n'avez pas ouvert.
  • Méfiez-vous des tentatives d'hameçonnage. Les criminels qui achètent des données volées effectuent souvent des suivis par e-mails d'hameçonnage ciblés ou des appels téléphoniques utilisant vos véritables informations personnelles pour paraître légitimes.
  • Vérifiez votre relevé de sécurité sociale sur ssa.gov pour vous assurer que personne n'a demandé de prestations en utilisant vos informations.

Il convient également de noter que cette violation ne s'est pas produite parce que quelqu'un a intercepté des données circulant sur un réseau. Elle s'est produite à l'intérieur d'une base de données d'entreprise. Aucun outil de protection de la vie privée, y compris un VPN, n'aurait pu empêcher cette violation ni protéger les dossiers une fois qu'ils étaient stockés dans les systèmes de Conduent. Cette distinction est importante, car comprendre la menace réelle vous aide à y répondre correctement. Les gels de crédit, la surveillance des fraudes et une attention particulière à l'hameçonnage sont les outils qui s'appliquent ici.

Les secteurs réglementés échouent encore en matière de sécurité des données

L'une des leçons les plus difficiles à tirer de la violation chez Conduent est que le fait d'opérer dans un secteur fortement réglementé ne garantit pas la sécurité de vos données. Les services de santé et les services gouvernementaux sont soumis à des règles strictes de confidentialité fédérales et étatiques, pourtant des violations de cette ampleur continuent de se produire. Les fournisseurs tiers et les prestataires de traitement de données sont des cibles de plus en plus fréquentes, car ils regroupent des dossiers provenant de plusieurs clients, ce qui en fait des cibles de grande valeur pour les pirates.

Ce n'est pas un argument en faveur du fatalisme. C'est un argument en faveur de la vigilance personnelle. Les mesures décrites ci-dessus sont pratiques, efficaces et pour la plupart gratuites. L'affaire Conduent suivra son cours devant les tribunaux pendant des années, et les personnes concernées pourraient finalement recevoir une indemnisation. En attendant, agir maintenant limite les dommages qui peuvent être causés avec vos informations exposées.

Si vous souhaitez en savoir plus sur la manière dont les données personnelles sont collectées, stockées et potentiellement exposées, notre guide sur [la façon dont les courtiers en données collectent et vendent vos informations personnelles] constitue un bon point de départ. Pour ceux qui s'inquiètent de ce qui arrive aux informations sensibles en transit, vous pouvez également en apprendre davantage sur [le fonctionnement du chiffrement et ses domaines d'application].

La violation chez Conduent rappelle que les données que vous confiez à des institutions, même involontairement dans le cadre de programmes de prestations, comportent un risque réel. Rester informé et prendre des mesures concrètes de protection est la réponse la plus fiable dont disposent actuellement les personnes concernées.