Vụ rò rỉ dữ liệu của Conduent lan rộng, ảnh hưởng đến ít nhất 25 triệu người.

Một lỗi bảo mật lớn liên quan tới công ty dịch vụ dữ liệu Conduent — nhà thầu lớn xử lý thông tin cho các chương trình trợ cấp chính phủ và dịch vụ doanh nghiệp — đã mở rộng phạm vi nghiêm trọng, với ít nhất 25 triệu người Mỹ được xác nhận có dữ liệu cá nhân bị đánh cắp sau một cuộc tấn công ransomware bắt đầu từ tháng 1/2025. Số lượng bị ảnh hưởng dự kiến còn tiếp tục tăng khi các thông báo vi phạm tiếp tục được gửi tới người dùng trên khắp nước Mỹ.

Conduent là ai và dữ liệu bị xâm phạm

Conduent cung cấp dịch vụ in ấn, xử lý tài liệu và thanh toán cho các cơ quan chính phủ (chẳng hạn trợ cấp thực phẩm, trợ cấp thất nghiệp) cùng các chương trình lợi ích nhân viên của các tổ chức lớn. Vì vậy, công ty này xử lý lượng thông tin cực kỳ nhạy cảm và rộng lớn của người dân.

Các thông báo vi phạm dữ liệu mới nhất từ các cơ quan của bang như Wisconsin cho thấy dữ liệu bị xâm phạm bao gồm:

• tên, ngày sinh, địa chỉ,

• số An sinh Xã hội (Social Security number),

• thông tin bảo hiểm y tế và dữ liệu y tế cá nhân.

Quy mô và phạm vi mở rộng

Ban đầu, Conduent chỉ báo cáo vi phạm này với số lượng nhỏ, nhưng những cập nhật mới từ các bang như Texas (khoảng 15,4 triệu) và Oregon (khoảng 10,5 triệu) cùng với các bang khác như Massachusetts, New Hampshire và Washington đã cho thấy tổng số người bị ảnh hưởng đã vượt ngưỡng 25 triệu.

Các thông báo về vụ việc vẫn đang được gửi tới người dùng trong nhiều bang — điều này có nghĩa con số cuối cùng có thể tiếp tục tăng khi các bang khác hoàn tất quy trình xác minh và gửi thư thông báo.

Vụ tấn công, phản hồi và minh bạch

Cuộc tấn công ban đầu được phát hiện vào tháng 1/2025, nhưng Conduent tại thời điểm đó chỉ thông báo một cách hạn chế về vụ việc và số người ảnh hưởng. Trang thông báo chính thức trên website của Conduent còn chứa tag “noindex” khiến nó khó xuất hiện trên các công cụ tìm kiếm, làm giảm khả năng người dùng biết tới thông tin. Người phát ngôn của công ty từ chối chi tiết số lượng thông báo đã gửi và lý do ẩn trang thông báo.

Conduent nói rằng họ không có bằng chứng về việc dữ liệu bị lạm dụng, nhưng không cung cấp giải thích rõ ràng về cách kẻ xấu xâm nhập mạng hay chi tiết về các biện pháp bảo mật cụ thể đã bị vượt qua.

So sánh với các vụ vi phạm khác

Dù vụ việc đã được coi là một trong những vi phạm dữ liệu lớn nhất liên quan đến nhà thầu chính phủ, nó vẫn nhỏ hơn rất nhiều so với một số sự cố trước đây — ví dụ như vụ Change Healthcare năm 2024, ảnh hưởng tới gần 190 triệu người.