شاکیان در پرونده شکایت دسته‌جمعی (Class-action litigation) علیه شرکت Conduent، که مربوط به هک سال ۲۰۲۴ این شرکت پشتیبانی خدمات اداری است، به توافق اولیه برای تسویه ۸۰ میلیون دلاری دست یافتند. این پرونده شامل حدود ۶۲.۲ میلیون فرد آسیب‌دیده می‌شود.
این توافق که در دادگاه فدرال نیوجرسی ثبت شده است، شامل جبران خسارت مالی برای افراد آسیب‌دیده، نظارت بر داده‌های پزشکی و اعتباری، و تعهد شرکت Conduent به تقویت امنیت سایبری (Cybersecurity) خود می‌باشد. این توافق به ادعاهای مربوط به عدم محافظت کافی Conduent از اطلاعات حساس شخصی پایان می‌دهد، هرچند این شرکت هرگونه تقصیر یا مسئولیت قانونی را رد می‌کند.
جزئیات حمله و حجم داده‌های سرقت شده
بر اساس گزارش‌ها، گروه باج‌افزار (Ransomware) SafePay موفق شده است حدود ۸.۵ ترابایت داده را از شبکه IT این شرکت استخراج (Exfiltrate) کند. اطلاعات سرقت شده شامل موارد زیر است:
- نام و آدرس افراد
- تاریخ تولد و شماره‌های تأمین اجتماعی (Social Security numbers)
- جزئیات بیمه سلامت و اطلاعات پزشکی حساس
این حمله که از اواخر اکتبر ۲۰۲۴ آغاز شد، تقریباً سه ماه ادامه داشت و تا ژانویه ۲۰۲۵ طول کشید. این حادثه به عنوان بزرگترین نشت داده‌های سلامت (Health Data Breach) گزارش شده در سال ۲۰۲۵ شناخته می‌شود.
مدل حمله Hub-and-Spoke
در اسناد دادگاه به مدل حمله Hub-and-Spoke اشاره شده است. در این سناریو، شرکت Conduent به عنوان “هاب” (Hub) عمل می‌کند که اطلاعات حساس مشتریان مختلف (Spokes) را در اختیار دارد. این نوع نشت داده‌ها بسیار پیچیده‌تر از حملات مستقیم به یک سازمان واحد است، زیرا یک نقطه ضعف در تامین‌کننده خدمات، می‌تواند منجر به آسیب گسترده به صدها مشتری شود.
