A Conduent adatvédelmi incidens legalább 25 millió amerikait érint

Egy zsarolóvírusos támadás a Conduent ellen – egy nagy üzleti szolgáltató vállalat ellen, amely egészségügyi szolgáltatók, vállalatok és állami kormányzati szervek nevében dolgoz fel adatokat – legalább 25 millió amerikai érzékeny személyes adatait tette ki az Egyesült Államokban. A Conduent adatvédelmi incidens 2024 októbere és 2025 januárja között zajlott le, és az érintettség mértéke még most is tisztázódik.

A feltört adatok típusa különösen súlyossá teszi ezt az incidenst. Az ellopott rekordok állítólag teljes jogi neveket, lakcímeket, társadalombiztosítási számokat, egészségbiztosítási adatokat és egészségügyi információkat tartalmaznak. Ez a kombináció lényegében minden, amire egy személyazonosság-tolvajnak vagy csalónak szüksége van ahhoz, hogy számlákat nyisson, hamis adóbevallásokat nyújtson be, vagy valaki nevében egészségügyi személyazonosság-lopást kövessen el.

A SafePay zsarolóvírus-csoport vállalta a felelősséget a támadásért.

Miért különösen széles körű ez az adatvédelmi incidens?

A Conduent nem közismert név, de befolyása hatalmas. A vállalat háttérben működő adatfeldolgozóként tevékenykedik az ország legérzékenyebb adatcsatornáinak némelyikében, kórházak, biztosítók, állami juttatási programok és nagy munkáltatók rekordjait kezelve. Pontosan ez teszi az incidenst olyan következményessé a közemberek számára.

A 25 millió érintett személy többségének valószínűleg nem volt közvetlen kapcsolata a Conduent-tel. Orvoshoz fordultak, állami juttatásért folyamodtak, vagy olyan vállalatnál dolgoztak, amely kiszervezte adatfeldolgozását. Az adataik anélkül kerültek a Conduent rendszereibe, hogy feltétlenül tudtak volna róla – ez a modern adatkockázat meghatározó jellemzője: személyes adatai tucat számra átmennek olyan harmadik feles szállítókon, amelyekről soha nem hallott.

Az adatkezelés e centralizált modellje egyszeri meghibásodási pontokat hoz létre. Amikor egy nagy feldolgozót feltörnek, a kár kisugárzik minden szervezetre és egyénre, amelyet kiszolgált. Az incidens nem csupán a Conduent problémája; ez minden olyan szervezet problémája, amely rábízta adatait a Conduent-re, és ebből következően minden olyan személy problémája is, akinek rekordjait ott tárolták.

Mi volt ellopva, és mit tesz lehetővé?

Az incidensben érintett adatkategóriákat érdemes alaposan megvizsgálni, hiszen mindegyik különböző típusú kárt tesz lehetővé.

A társadalombiztosítási számok az Egyesült Államokban a személyazonosság-lopás alapját képezik. Amint nyilvánosságra kerülnek, állandó sebezhetőséget jelentenek, mivel a társadalombiztosítási számot nem lehet könnyen megváltoztatni. A bűnözők ezeket hitelkeretek megnyitására, kölcsönfelvételre vagy szintetikus személyazonosságok létrehozására használják.

Az egészségbiztosítási adatok és az egészségügyi információk lehetővé tesznek egy konkrét bűncselekményt, az egészségügyi személyazonosság-lopást, amelynek során a tolvaj valaki más biztosítóját használja ellátás igénybevételére vagy hamis igények benyújtására. Az áldozatok gyakran csak akkor fedezik fel a csalást, amikor váratlan számlákat kapnak, vagy ellátást tagadnak meg tőlük.

A nevek és lakcímek a fentiekkel kombinálva teljes profilt alkotnak, amely adathalász támadásokban, célzott csalásokban vagy fizikai visszaélési sémákban használható fel.

A 2024 októbere és 2025 januárja közötti időszak azt is jelenti, hogy ezek az adatok potenciálisan hónapokig bűnözők kezében voltak, mielőtt sokan tudomást szereztek volna az incidensről.

Mit jelent ez az Ön számára?

Ha valaha is egészségügyi szolgáltatóhoz fordult, állami juttatásban részesült, vagy nagy munkáltatónál dolgozott az Egyesült Államokban, ésszerű esély van arra, hogy adatai valamikor átmentek a Conduent rendszerein. Előfordulhat, hogy nem kap azonnal hivatalos értesítést, ezért fontos most proaktív lépéseket tenni, függetlenül attól, hogy megkeresték-e Önt.

Íme néhány konkrét teendő:

  • Helyezzen el hitelzárolást mindhárom nagy hitelintézetnél (Equifax, Experian és TransUnion). A zárolás megakadályozza, hogy új számlákat nyissanak az Ön nevében, és ingyenes.
  • Figyelje hiteljelentéseit az Ön által nem ismert számlák vagy lekérdezések tekintetében.
  • Ellenőrizze egészségbiztosítási kimutatásait az Ön által igénybe nem vett igények vagy szolgáltatások szempontjából.
  • Engedélyezze a többtényezős hitelesítést minden pénzügyi, e-mail és kormányzati fiókján. Még ha jelszava ismert is, a többtényezős hitelesítés egy további akadályt képez.
  • Legyen éber az adathalász kísérletekkel szemben. A feltört adatok gyakran célzott átverési e-maileket és telefonhívásokat táplálnak. Kezelje gyanakvással az ellenőrzést kérő váratlan megkereséseket.
  • Használjon erős, egyedi jelszavakat minden fiókjához. Egy jelszókezelő ezt kezelhetővé teszi.

A közvetlen reagáláson túl ez az incidens emlékeztetőül szolgál arra, hogy a személyes adatvédelmet nem lehet teljes egészében az Önnel kapcsolatba lépő vállalatokra hárítani. A saját fiókbiztonsági rétegek kiépítése, a megosztott információkkal kapcsolatos szelektivitás és a szokatlan tevékenységekkel szembeni éberség olyan szokások, amelyek pontosan akkor térülnek meg, amikor nagy szervezetek nem védik meg azt, amivel megbízták őket.

A Conduent adatvédelmi incidens súlyos, és teljes hatása esetleg hónapokig nem lesz ismert. A reagálás azonban nem kell, hogy több információra várjon. A hitel zárolása és a fiókbiztonság megerősítése olyan lépések, amelyeket érdemes ma megtenni – nem egyetlen incidens miatt, hanem mert ezek szilárd alapot nyújtanak személyes adatainak hosszú távú védelméhez.