Cartas de notificación sobre la fuga de datos de Conduent enviadas a millones de personas mientras un grupo de ransomware afirma haber robado 8 terabytes en uno de los mayores incidentes en EE.UU. Las cartas comenzaron a llegar este mes a los afectados, detallando una importante filtración de datos en Conduent Business Services, LLC, un contratista tecnológico gubernamental que procesa pagos, reclamaciones de salud y servicios administrativos para clientes en todo el país. 

Cartas de notificación sobre la filtración de datos de Conduent enviadas a millones mientras un grupo de ransomware afirma haber robado 8 terabytes en uno de los mayores incidentes en EE.UU.

Las cartas comenzaron a llegar este mes a las personas afectadas, detallando una importante filtración de datos en Conduent Business Services, LLC, un contratista tecnológico gubernamental que procesa pagos, reclamaciones de salud y servicios administrativos para clientes en todo el país.

La empresa confirmó que un tercero no autorizado accedió a sus sistemas durante casi tres meses a finales de 2024 y principios de 2025, exfiltrando archivos que contenían información personal de decenas de millones de estadounidenses. La filtración, revelada públicamente por Conduent en una presentación ante la SEC en abril de 2025, ha aumentado considerablemente su alcance.

Informes regulatorios estatales recientes muestran que al menos 15.4 millones de personas se vieron afectadas solo en Texas (frente a una estimación inicial de 4 millones), con presentaciones anteriores que indicaban que 10.5 millones resultaron impactados en Oregón y cientos de miles más en otros estados.

Varios medios estiman ahora que el total supera los 25 millones de individuos, lo que la convierte en una de las mayores filtraciones de datos reveladas en 2025 y entre los incidentes más grandes relacionados con la salud y el gobierno en la historia de EE.UU., aunque aún menor que la filtración de Change Healthcare en 2024, que afectó a casi 193 millones de personas.

El grupo de ransomware reclama responsabilidad

El grupo de Safepay (también conocido como SafePay o Safeway en algunos informes) de ransomware reclamó responsabilidad poco después del incidente.

El grupo publicó en su sitio de filtraciones en la dark web a principios de 2025, afirmando que robó más de 8 terabytes (algunas afirmaciones especifican 8.5 TB) de datos, incluyendo nombres, números de Seguro Social, direcciones, historiales médicos, detalles de seguros de salud y otros registros sensibles.

Conduent no ha confirmado la afirmación del ransomware ni el volumen exacto de datos sustraídos, pero ha reconocido la exfiltración de archivos relacionados con clientes.

Cronología del incidente

• 21 de octubre de 2024 – 13 de enero de 2025: Acceso no autorizado a una parte limitada de la red de Conduent.
• 13 de enero de 2025: Conduent descubrió el incidente cibernético, que causó interrupciones operativas temporales en servicios gubernamentales (incluyendo correspondencia, procesamiento de pagos y administración de beneficios). La empresa contuvo rápidamente la filtración con expertos forenses externos, restauró los sistemas en cuestión de días y notificó a las autoridades.
• Presentación 8-K ante la SEC el 9 de abril de 2025 (la "antigua presentación ante la SEC sobre la filtración" ahora referenciada a la luz de las notificaciones en curso): Conduent declaró que un "actor de amenazas" exfiltró archivos vinculados a un número limitado de clientes. Debido a la complejidad de los archivos, la empresa contrató expertos en minería de datos. Confirmó que los conjuntos de datos contenían "información personal de un número significativo de individuos asociados con los usuarios finales de nuestros clientes". La presentación señaló que no hubo impacto operativo material ni publicación de datos en la dark web en ese momento, pero la empresa acumuló "gastos no recurrentes materiales" para posibles notificaciones y mantuvo cobertura de seguro cibernético.
• Finales de 2025 – febrero de 2026: Las notificaciones a las personas afectadas comenzaron a enviarse en nombre de los clientes de Conduent (agencias gubernamentales y entidades privadas). La empresa espera completar las notificaciones a los consumidores para mediados de abril de 2026.

La carta de notificación de muestra proporcionada a las personas afectadas dice en parte:

"El 13 de enero de 2025, descubrimos que fuimos víctimas de un incidente cibernético que afectó a una parte limitada de nuestra red. … Un tercero no autorizado tuvo acceso a nuestro entorno desde el 21 de octubre de 2024 hasta el 13 de enero de 2025 y obtuvo algunos archivos asociados con <<Nombre del Cliente>>. … Los archivos afectados contenían tu nombre y lo siguiente: <<Elementos de Datos>>. Actualmente, no tenemos evidencia ni indicación de uso indebido real o intento de uso indebido de tu información personal."

Conduent enfatizó que desconoce cualquier uso indebido y ha restaurado los sistemas y notificado a las autoridades. La carta dirige a los destinatarios a monitorear sus informes de crédito, revisar los "Pasos que puedes tomar para ayudar a proteger tu información" adjuntos y contactar a una línea de asistencia dedicada al 855-291-2608.

Respuesta de la empresa y costos

En su divulgación inicial ante la SEC, Conduent informó que no hubo impacto material en las operaciones, pero presentaciones posteriores mencionaron aproximadamente 25 millones de dólares en costos no recurrentes relacionados con la respuesta y las notificaciones (según estimaciones del primer trimestre de 2025).

La empresa sigue trabajando con los clientes en el cumplimiento normativo y las notificaciones individuales. El fiscal general de Texas, Ken Paxton, inició una investigación en febrero de 2026, describiendo el incidente como potencialmente una de las mayores filtraciones de datos de salud en la historia de EE.UU. Conduent no ha comentado públicamente sobre las afirmaciones del grupo de ransomware más allá de sus presentaciones regulatorias.

Qué deben hacer las personas afectadas

La empresa recomienda mantenerse alerta contra el robo de identidad y el fraude. Los pasos recomendados incluyen:

• Monitorear informes de crédito y cuentas en busca de actividad sospechosa.
• Colocar una alerta de fraude o un congelamiento de crédito en las principales agencias.
• Usar contraseñas fuertes y únicas y habilitar la autenticación multifactor.
• Estar atentos a intentos de phishing que hagan referencia a la filtración.

Conduent declaró que lamenta sinceramente cualquier inconveniente y ha establecido un centro de llamadas para preguntas. Esta historia en desarrollo resalta los riesgos que los proveedores de servicios externos representan para los datos sensibles del gobierno y la salud.

A medida que continúan las notificaciones y se profundizan las investigaciones, el alcance total y cualquier posible filtración de datos podrían aclararse en las próximas semanas. Para obtener las últimas actualizaciones, las personas afectadas deben consultar los portales oficiales de filtraciones de datos de los fiscales generales estatales o contactar a Conduent directamente utilizando la información en su carta de notificación.