Wyciek Conduent: dane 62 mln osób i ryzyko dostawcy

Jeden z największych wycieków danych 2026 roku nie dotknął banku ani sieci handlowej, o których słyszał każdy — dotknął firmy, o której większość poszkodowanych nigdy nie słyszała. Conduent to amerykański dostawca usług biznesowych (BPO), który przetwarza dane w imieniu instytucji publicznych, ubezpieczycieli i ochrony zdrowia. Po ataku ransomware liczba osób z ujawnionymi danymi rosła miesiącami — od pierwszych szacunków w okolicach 10 mln aż do ponad 62 milionów. To modelowa lekcja o ryzyku, którego nie widać na własnym firewallu: ryzyku dostawcy.

Co się stało

Conduent potwierdził incydent bezpieczeństwa, który zakłócił część jego usług, a następnie ustalił, że napastnicy wykradli dane. Odpowiedzialność za atak przypisała sobie grupa ransomware SafePay, twierdząc, że wyprowadziła wiele terabajtów danych. Zakres wykradzionych informacji był poważny: według komunikatów obejmował imiona i nazwiska, daty urodzenia, adresy, numery ubezpieczenia społecznego (SSN) oraz dane o ubezpieczeniu zdrowotnym i informacje medyczne.

Najbardziej pouczający jest sposób, w jaki rosła skala. Wczesne szacunki mówiły o niskich kilkunastu milionach; w lutym 2026 Conduent zrewidował liczbę do ok. 25,5 mln, a w aktualizacji zgłoszonej do amerykańskiego regulatora (biuro HHS OCR) na początku czerwca 2026 padła liczba końcowa: 62 224 658 osób. To nie jest przypadek — przy dużych wyciekach liczba poszkodowanych niemal zawsze rośnie w czasie, bo ustalenie, czyje dokładnie dane były w skradzionych zbiorach, to żmudna analiza, która trwa długo po samym włamaniu.

Warto odnotować też, czego nie potwierdzono: na początku 2026 firma i jej partnerzy raportowali brak dowodów na sprzedaż czy publikację wykradzionych danych w sieci. To ważne dla oceny ryzyka, ale nie znosi zagrożenia — dane, które raz opuściły organizację, pozostają poza kontrolą.

Dlaczego to problem także dla firm w Europie

„To amerykańska sprawa” — łatwo tak pomyśleć, ale mechanizm jest uniwersalny. Twoja organizacja niemal na pewno powierza dane podmiotom przetwarzającym: dostawcy kadrowo-płacowemu, firmie hostingowej, operatorowi newslettera, zewnętrznemu call center. W języku RODO to podmioty przetwarzające, a Ty jako administrator odpowiadasz za dobór takiego dostawcy i za to, co się z danymi dzieje. Włamanie do dostawcy jest Twoim wyciekiem — z obowiązkami zgłoszeniowymi i reputacyjnymi włącznie.

To ta sama logika, którą opisujemy przy zarządzaniu ryzykiem dostawców (TPRM): nie kontrolujesz cudzej infrastruktury, ale kontrolujesz, komu ufasz, co zapisujesz w umowie powierzenia i jak szybko dowiadujesz się o incydencie. Conduent pokazuje, dlaczego to nie formalność.

Co zrobić, jeśli Twoje dane mogły wyciekać u dostawcy

Jako osoba fizyczna nie zabezpieczysz cudzego serwera, ale możesz ograniczyć skutki:

Załóż, że dane są w obiegu. Przy wyciekach z SSN, danymi kontaktowymi i medycznymi realne ryzyko to kradzież tożsamości i ukierunkowany phishing — także telefoniczny, podszywający się pod ubezpieczyciela czy urząd. Zwiększona czujność jest ważniejsza niż pojedyncze hasło. Sprawdź, czy Twój adres nie figuruje w znanych wyciekach — pisaliśmy jak to zrobić.

Uważaj na „obsługę incydentu”. Po głośnych wyciekach pojawiają się oszuści podszywający się pod firmę, która straciła dane, i oferujący „ochronę” lub „weryfikację”. To wektor wtórnego ataku — nie klikaj w linki z takich wiadomości, wchodź na strony bezpośrednio.

Pilnuj obszaru medycznego i ubezpieczeniowego. Dane zdrowotne i ubezpieczeniowe bywają wykorzystywane do oszustw trudniejszych do wykrycia niż zwykłe wyłudzenie kredytu. Reaguj na niespójności w korespondencji od świadczeniodawców.

Co powinna zrobić Twoja organizacja

Zmapuj przetwarzających. Sporządź listę wszystkich dostawców, którzy dotykają Twoich danych, i tego, jakie dane im powierzasz. Nie da się zarządzać ryzykiem, którego się nie widzi.

Uszczelnij umowy. Umowy powierzenia powinny zawierać wymogi bezpieczeństwa, prawo do audytu i — kluczowe — krótki, twardy termin powiadomienia o incydencie. Historia Conduent pokazuje, jak długo potrafi trwać ustalanie zakresu; im wcześniej dostaniesz sygnał, tym lepiej.

Ćwicz reakcję na cudzy incydent. Twój plan reagowania musi obejmować scenariusz „to wyciekło u dostawcy”: kto ocenia wpływ na Twoich klientów, kto liczy obowiązek zgłoszenia do organu, kto komunikuje. Warto przejść to na sucho, zanim będzie naprawdę — dokładnie tak, jak w naszym poradniku o pierwszych godzinach po wycieku.

Najczęstsze pytania (FAQ)

Dlaczego liczba poszkodowanych rosła od 10 do 62 mln? Bo ustalenie, czyje dokładnie dane znalazły się w skradzionych zbiorach, to długa analiza. Pierwsze komunikaty podają ostrożne szacunki, a końcowe liczby — zgłaszane regulatorowi — bywają wielokrotnie wyższe. To normalny, choć niepokojący, przebieg dużych wycieków.

Nie jesteśmy klientem Conduent — czy to nas dotyczy? Być może pośrednio: firmy takie jak Conduent działają w imieniu wielu instytucji, więc dane trafiają do nich „przez” ubezpieczyciela czy urząd, z którym masz relację. Dokładny krąg poszkodowanych zależy od kontraktów, których jako osoba z zewnątrz nie widzisz.

Co to znaczy dla nas jako administratora danych w UE? Że odpowiadasz za dobór i nadzór nad przetwarzającymi. Włamanie u dostawcy może uruchomić Twoje obowiązki z RODO, w tym ocenę zgłoszenia do organu nadzorczego i poinformowania osób. Dlatego umowa powierzenia i szybka informacja o incydencie są tak istotne.

Jak sprawdzić własnych dostawców, zanim będzie za późno? Zacznij od inwentaryzacji i klasyfikacji danych, które im powierzasz, a następnie oceń ich bezpieczeństwo proporcjonalnie do ryzyka. Odezwij się, jeśli chcesz uporządkować proces oceny dostawców i wymogi umowne.

Podsumowanie

Wyciek Conduent to przypomnienie, że Twoja powierzchnia ataku nie kończy się na Twoim brzegu sieci — obejmuje każdego dostawcę, któremu powierzasz dane. Ponad 62 miliony poszkodowanych i miesiące rosnących szacunków pokazują, jak trudno oszacować skutki i jak długo trwa sprzątanie po cudzym incydencie. Jeśli chcesz wiedzieć, którzy z Twoich dostawców są słabym ogniwem i jak ograniczyć to ryzyko — zacznijmy od mapy ryzyka dostawców.

---

Źródła i dalsza lektura: U.S. HHS Office for Civil Rights — Breach Portal, Malwarebytes Labs, BleepingComputer.