Resumen ejecutivo (CEO)

Una actualización publicada hoy indica que el breach de Conduent (derivado de un ataque de ransomware en enero 2025) ya afecta al menos a 25 millones de personas. Conduent procesa operaciones sensibles para gobiernos estatales (beneficios, pagos, documentos), por lo que maneja PII a escala. Entre los datos comprometidos se incluyen nombre, fecha de nacimiento, dirección, SSN, información de seguro de salud y datos médicos.

Qué pasó

• TechCrunch reporta que el conteo llega a 25M por actualización en la página de notificación del estado de Wisconsin y por cartas de notificación en varios estados (ej: Oregon y Texas concentran gran parte del total).
• Conduent ofrece soporte/tecnología para servicios que alcanzan a más de 100 millones de personas (según la propia empresa).
• La compañía, según el reporte, dio pocos detalles públicos sobre causa raíz y alcance total durante el último año.

Por qué esto importa

Este tipo de incidentes no es “una empresa más”: es tercerización masiva de procesos críticos (beneficios, pagos, documentación). Cuando cae un proveedor así, el impacto se multiplica por cadena.

Acciones recomendadas

Para personas afectadas (práctico):

• Activar alertas bancarias y monitoreo de movimientos.
• Considerar freeze de crédito (si aplica por jurisdicción) y vigilancia de apertura de cuentas/servicios.
• Extremar cuidado con phishing/vishing: con SSN + DOB + dirección, el fraude “suena real”.

Para organizaciones (vendor risk):

• Revisar dependencias de terceros con datos sensibles (SaaS/BPO/contratistas).
• Pedir y validar: timeline, alcance, tipos de datos, y controles compensatorios post-incidente.
• Preparar comms y playbook legal: incidentes de terceros suelen salir por goteo (como acá).

Lo que NO sabemos (sin inventos)

• Conduent no publicó en este update un detalle técnico completo de vector inicial, alcance por cliente y evidencia de abuso; el reporte remarca la falta de información pública consistente.

Proyección

• Proyección: más notificaciones estatales y “reconteos” durante 2026; subida de estafas dirigidas.
• Probabilidad: alta.
• Base: escala del proveedor y el tipo de datos expuestos (PII + salud).

Hashtags:
#DrPlaga.sh #DataBreach #Ransomware #ThirdPartyRisk #Privacy #HealthcareData #Fraude #IncidentResponse