Conduent paga US$ 80 mi por 62 milhões, sem admitir culpa
Conduent
alegado el · verificado el
O incidente na Conduent é real e confirmado pela própria empresa (8-K na SEC e acordo judicial) e pelo reporte ao regulador de saúde dos EUA, com cerca de 62 milhões de pessoas. O acordo de US$ 80 milhões, ainda sem aprovação judicial, não prova uso indevido dos dados e deixa em aberto o vetor de entrada e a atribuição ao SafePay.
Juicios analíticos
Cada evaluación viene con su nivel de confianza declarado, según la práctica de inteligencia (ICD 203 / FIRST). Confianza alta no es certeza; confianza baja no es una suposición — es el peso que sostiene la evidencia disponible.
O incidente é real e de grande escala. A Conduent assinou um acordo que descreve acesso não autorizado entre 21/10/2024 e 13/01/2025, exfiltração de arquivos e cerca de 62 milhões de pessoas com dados nesses arquivos. O número de 62.224.658 reportado ao HHS/OCR (via HIPAA Journal) converge com ele. Isso derruba nosso selo anterior 'claimed/unverified'.
O acordo de US$ 80 milhões equivale a cerca de US$ 1,29 por pessoa afetada (cálculo nosso), antes dos honorários. Os advogados dos autores pedem até 34% do fundo. Sobra menos de US$ 1 por pessoa em média, e o pagamento em dinheiro proporcional é restrito à Subclasse B, de cerca de 22 milhões. Isso indica que o valor responde a risco processual, não à dimensão do dano.
A atribuição ao SafePay repousa na alegação do próprio grupo (8,5 TB, fevereiro de 2025), repetida pela imprensa. Não encontramos confirmação pública da Conduent nem de regulador. Os fatos do incidente não dependem dessa atribuição, mas ela deve ser tratada como alegação.
O contador de vítimas cresceu de 10,5 milhões (Oregon, outubro de 2025) para 25 milhões (fevereiro de 2026) e depois para 62,2 milhões (meados de 2026). Isso é revisão de escopo feita por varredura tardia dos arquivos, não novo ataque. Também mostra que, nove meses após a descoberta, a empresa ainda não sabia quem estava nos arquivos roubados.
A divisão do acordo em subclasses mede a facilidade de acesso aos dados, não o uso indevido. Cerca de 40 milhões estariam em arquivos de backup 'complexos' e cerca de 22 milhões em formato de fácil acesso. Não há evidência pública de publicação ou venda dos dados. Também não há evidência pública de que a distinção reflita análise forense independente. Ela foi negociada entre as partes.
A alegação de que seria a 'maior violação da história dos EUA', feita pelo procurador-geral do Texas, não se sustenta. O próprio ranking do setor coloca o caso como terceiro maior de saúde, atrás de Change Healthcare (cerca de 190 milhões) e acima de Anthem (cerca de 80 milhões).
Análisis
Correção ao nosso registro. O item tratava a Conduent como 'alegadamente afetada', com selo 'claimed' e veredito 'unverified', e usava uma manchete como nome da vítima. Nada disso se sustenta. A 'data da alegação' de 27/10/2026 é a data de publicação da notícia. O acordo foi assinado em 16/10/2026, o ataque ocorreu entre 21/10/2024 e 13/01/2025 e a primeira notificação em massa é de outubro de
2025. O caso passa a 'confirmed/real'.
O que a vítima admite. No 8-K de 16/10/2026, a Conduent confirma o acordo, o fundo não reversível de US$ 80 milhões como obrigação monetária total e a liberação dos seus clientes afetados e dos clientes deles. Diz que o acordo não é admissão de culpa, que ela nega, e que ainda precisa de aprovação do tribunal. O texto do acordo, anexado ao 8-K, registra que um terceiro não autorizado acessou a rede e exfiltrou arquivos com dados de cerca de 62 milhões de pessoas. É a confirmação mais forte disponível, porque vem da própria vítima em documento sujeito a responsabilização legal.
O que o ator alega. O SafePay reivindicou o ataque em fevereiro de 2025 e alegou 8,5 TB. Não achamos número de registros alegado pelo grupo, então a distância usual 'alegado versus confirmado' não pode ser calculada. A alegação em TB não se converte em pessoas. Relatos de que a Conduent saiu do site de vazamentos do grupo no início de 2026 vêm de agregador (IDStrong). Não conseguimos confirmar nem dizer o que significa: pode ser pagamento, remoção por outro motivo ou erro de monitoramento. Nenhuma fonte que lemos mostra publicação dos dados.
O que reguladores afirmam. O total de 62.224.658 consta como reportado ao OCR/HHS, conforme HIPAA Journal e o painel healthcarebreaches.com. Não abrimos o portal do OCR diretamente. A primeira entrada no OCR, de outubro de 2025, trazia só 42.616 pessoas, segundo o HIPAA Journal, e foi depois atualizada. O Texas (procurador-geral) emitiu demandas de informação à Conduent e à BCBS do Texas. Montana investiga o lado da BCBS local. O Missouri afirmou em maio de 2026 que a Conduent não entregava as informações pedidas. Não encontramos, nesta pesquisa, multa ou conclusão de nenhum regulador.
Onde as versões divergem. O Texas chamou o caso de provável maior violação da história dos EUA. O próprio ranking de violações de saúde o põe em terceiro, e o GovInfoSecurity já tinha apontado o exagero. O número de vítimas passou de 10,5 milhões para 62,2 milhões em oito meses. Isso é típico de quem só sabe quem foi afetado depois de analisar manualmente arquivos não estruturados. Também é um problema de governança: a empresa notificou em outubro de 2025 sem oferecer proteção de identidade gratuita, segundo o SecurityWeek, e só agora oferece monitoramento via acordo.
O que o acordo realmente compra. Cerca de 40 milhões de pessoas (Subclasse A) têm direito a um ano de monitoramento de crédito e a reembolso documentado de perdas até US$ 3.500. Cerca de 22 milhões (Subclasse B) recebem monitoramento médico, o mesmo teto de reembolso e pagamento em dinheiro proporcional ao que sobrar do fundo depois de honorários. Os advogados dos autores pedem até 34% (cerca de US$ 27 milhões), o que reduz o fundo líquido. A liberação cobre também os clientes da Conduent, entre eles seguradoras de saúde e agências estaduais. É um acordo que protege toda a cadeia contratual e fecha a via civil. Os cálculos por pessoa são nossos, não de fonte.
O que a evidência não sustenta. A divisão em subclasses sugere que parte dos dados seria menos acessível a terceiros. Isso foi negociado entre as partes e não equivale a laudo forense público. Também não há evidência pública de fraude em massa atribuída ao incidente. A existência de ações coletivas e de um acordo mostra risco jurídico, não dano comprovado. Tampouco há evidência de como o invasor entrou ou de como permaneceu 84 dias sem ser detectado, e não identificamos CVE nem técnica documentada em fonte primária.
Estimativa de custo. A Conduent informou ter gasto US$ 9 milhões em notificações até setembro de 2025 e esperava mais US$ 16 milhões, segundo o HIPAA Journal. A empresa diz ter seguro cibernético e não espera impacto material com o acordo. Não encontramos o valor da apólice nem quanto dos US$ 80 milhões será coberto.
Cronología
- 21 oct 2024Início do acesso não autorizado à rede da Conduent, segundo a empresa e o acordo judicial.
- 13 ene 2025A Conduent descobre a intrusão e encerra o acesso do invasor, 84 dias depois do início.
- 01 feb 2025(Mês apurado: fevereiro de 2025; dia não identificado.) O SafePay reivindica o ataque e alega ter roubado 8,5 TB.
- 01 abr 2025(Mês apurado: abril de 2025; dia não identificado.) A Conduent comunica a incidente à SEC, segundo o HIPAA Journal.
- 27 oct 2025Início das mais de 30 ações coletivas, depois consolidadas em Nova Jersey, segundo o acordo.
- 13 feb 2026O procurador-geral do Texas anuncia Civil Investigative Demands à Conduent e à BCBS do Texas. Data conforme linha do tempo do HIPAA Journal.
- 05 may 2026O Departamento de Comércio e Seguros do Missouri diz publicamente que a Conduent não fornece informações suficientes. Data inferida da reportagem de 8/5, que cita 'terça-feira'.
- 04 jun 2026A Conduent atualiza o total para 62.224,658 pessoas no OCR/HHS. Data conforme fonte secundária (Tech-Insider); o HIPAA Journal diz apenas 'meados de 2026'.
- 10 sep 2026Relatório conjunto ao tribunal informa acordo em princípio, fechado em agosto de 2026. A Conduent o divulga em 8-K.
- 16 oct 2026Assinatura do acordo de US$ 80 milhões e 8-K da Conduent. Ainda depende de aprovação do juízo.
- 27 oct 2026O DataBreaches.net republica a reportagem do Becker's. É a data do nosso registro, mas não a data do incidente nem do acordo.
Datos involucrados
Impacto
Cerca de 62 milhões de pessoas nos EUA tiveram dados em arquivos exfiltrados. Os dados incluem nome, endereço, data de nascimento, Social Security Number, informação médica e informação de plano de saúde, segundo a notificação analisada pelo SecurityWeek e o resumo do DataBreaches.net. Entre os afetados estão beneficiários de clientes da Conduent, como BCBS do Texas (cerca de 4 milhões de texanos), BCBS de Montana, Premera, Humana, e participantes de programas estaduais. Na prática, quem está na base pode pedir monitoramento e reembolso de perdas documentadas, se o acordo for aprovado. O risco de fraude com SSN e dados de saúde persiste muito além de um ano de monitoramento. O impacto financeiro para a Conduent, segundo ela, não é material, graças ao seguro.
Recomendaciones
- Quem recebeu notificação de dados da Conduent (via plano de saúde ou programa estadual) deve congelar o crédito nos três bureaus dos EUA. O monitoramento de um ano oferecido pelo acordo não cobre o ciclo de vida de um SSN exposto.
- Organizações clientes de BPO: mapear quais dados cada fornecedor mantém, incluindo backups e arquivos não estruturados. A demora em saber 'quem está nos arquivos' foi o gargalo central deste caso. Exigir em contrato inventário de dados e prazo máximo de identificação de afetados.
- Exigir de fornecedores que processam dados sensíveis segmentação de rede, retenção mínima de dados históricos e detecção de exfiltração. Uma permanência de 84 dias indica que faltou telemetria de saída de dados.
- Equipes de defesa: tratar a alegação em TB do SafePay como indicador de exfiltração em massa. Revisar alertas de transferência volumosa para fora e acessos fora de horário a repositórios de arquivos nos três meses anteriores a qualquer notificação de ransomware.
- Fraude no setor de saúde: monitorar abertura de contas e pedidos de crédito associados a identidades da base, e sinais de fraude em sinistros médicos. Dados de plano de saúde somados a SSN permitem fraude além da financeira.
Lagunas de inteligencia
Lo que aún no sabemos. Un informe que no declara sus huecos está vendiendo, no analizando.
Vetor inicial de acesso e causa da permanência de 84 dias sem detecção: só um relatório forense, ação regulatória ou o texto das medidas de segurança do acordo resolveria.
Atribuição ao SafePay: depende de confirmação da Conduent, de autoridade policial ou de análise técnica independente do que foi exfiltrado.
Se os dados foram publicados, vendidos ou o resgate foi pago: monitoramento do site do grupo e declaração da empresa esclareceriam. Fontes que lemos só mencionam a remoção da Conduent do site.
Como os 62,2 milhões foram contados (pessoas únicas ou registros) e se são todos pessoas nos EUA: o registro direto no OCR e o texto completo do acordo ajudariam.
Critério técnico da divisão em Subclasses A e B: o anexo completo do acordo, a ser lido por inteiro, ou depoimento pericial.
Data da audiência de aprovação, prazos de reclamação e valor líquido por pessoa: a ordem de aprovação preliminar do tribunal definiria. Não encontramos esses dados.
Desfecho das investigações dos estados (Texas, Montana, Missouri): só decisões ou acordos desses reguladores resolveriam.
Valor coberto pelo seguro cibernético: demonstrações financeiras da Conduent.
Fuentes y evaluación
Notación Admiralty (estándar NATO, usado por CERT-EU y OpenCTI): la letra evalúa la confiabilidad de la FUENTE (A completamente confiable a F no evaluada); el número evalúa la credibilidad de la INFORMACIÓN (1 confirmada a 6 no juzgable). Ambas dimensiones se evalúan de forma independiente.