Conduent : 62 millions de dossiers médicaux exposés — 3e plus grande fuite santé US

Les faits

Le bureau des droits civils du département américain de la Santé (HHS Office for Civil Rights) a officiellement enregistré la violation de données Conduent Business Services à hauteur de 62 224 658 personnes affectées, faisant de cet incident la troisième plus grande brèche dans l'histoire de la protection des données de santé aux États-Unis, derrière Change Healthcare (192,7 millions en 2024) et Anthem (78,8 millions en 2015).

Conduent Business Services est un prestataire de services externalisés peu connu du grand public mais omniprésent dans le système de santé américain : impression et envoi postal de relevés de soins, traitement des paiements médicaux, vérification de l'intégrité des remboursements, gestion documentaire pour le compte de compagnies d'assurance maladie, d'agences gouvernementales et de grands employeurs. C'est précisément cette position de sous-traitant invisible qui explique que la grande majorité des 62 millions de victimes n'avaient jamais entendu parler de Conduent.

L'accès non autorisé aux systèmes de Conduent a été établi entre le 21 octobre 2024 et le 13 janvier 2025, soit une persistance de 84 jours. Pendant cette période, le groupe ransomware SafePay a exfiltré plusieurs téraoctets de données avant de lancer le chiffrement. SafePay est un groupe cybercriminel actif depuis 2024, opérant en mode RaaS et ciblant préférentiellement les entreprises de services intermédiaires disposant de vastes bases de données personnelles.

Conduent a découvert l'intrusion en janvier 2025. La divulgation initiale mentionnait un périmètre de quelques millions de personnes. En février 2026, les régulateurs américains avaient confirmé 25 millions. La révision finale à 62 224 658 représente une multiplication par six — un écart qui traduit soit la difficulté réelle d'inventorier les données exfiltrées, soit une gestion des notifications délibérément progressive pour limiter l'impact réputationnel.

Les données exposées incluent : numéros de sécurité sociale (SSN), informations médicales (diagnostics, traitements, médicaments), données d'assurance maladie (numéros d'adhérent, détails des polices), et autres informations d'identification personnelle. La combinaison SSN + données de santé constitue un profil d'identité complet, précieux sur les marchés de la fraude à l'assurance maladie et du vol d'identité médicale.

Ce classement illustre une tendance structurelle : les attaques les plus dévastatrices en matière de données de santé ne visent plus directement les hôpitaux ou les médecins, mais les prestataires IT qui traitent les données en amont et en aval du soin, souvent à l'insu des patients. Selon les analyses publiées par HIPAA Journal et ComplianceHub.Wiki, le modèle actuel de responsabilité des Business Associates sous HIPAA montre ses limites face à des prestataires IT qui agrègent les données de centaines d'organisations clientes simultanément.

Sur le plan légal, Conduent fait face à de multiples recours collectifs. Les obligations HIPAA prévoient des sanctions allant jusqu'à 1,9 million de dollars par catégorie de violation et par an. Des procédures réglementaires ont été ouvertes par plusieurs États américains. Conduent a reconnu des pertes opérationnelles significatives liées à cet incident, selon les analyses de Paubox et ThreatLocker publiées en juillet 2026.

L'affaire Conduent révèle également le problème de la notification en cascade. Conduent traitait les données pour le compte de nombreuses compagnies d'assurance, qui elles-mêmes couvraient des millions d'adhérents. Chaque couche de sous-traitance retarde la notification aux individus concernés et dilue la responsabilité. Certaines victimes n'ont été notifiées qu'en 2026, plus d'un an après la période de compromission, réduisant considérablement leur capacité à prendre des mesures préventives contre la fraude à l'identité.

La leçon systémique est claire : les organisations qui confient le traitement de données personnelles sensibles à des tiers doivent traiter ces tiers comme une extension de leur propre périmètre de sécurité — avec les mêmes exigences de surveillance, d'audit et de réponse à incident.

Impact et exposition

Les 62 millions de personnes concernées sont principalement des bénéficiaires de compagnies d'assurance maladie américaines. En Europe, l'impact direct est limité mais l'affaire constitue un signal fort : sous RGPD, un incident de cette ampleur impliquerait des sanctions pouvant atteindre 4% du chiffre d'affaires mondial du responsable de traitement, indépendamment de la faute du sous-traitant. La chaîne de responsabilité s'étend à tous les sous-traitants, et la visibilité sur leurs pratiques de sécurité est souvent insuffisante.

Recommandations

• Cartographier vos sous-traitants de données : Identifier tous les prestataires traitant des données personnelles pour votre compte, leurs périmètres d'accès exacts, et vérifier que des DPA et des clauses de sécurité contraignantes sont en place.
• Auditer les droits d'accès tiers : Vérifier que vos sous-traitants ne disposent que des accès strictement nécessaires (moindre privilège), avec une surveillance des comportements anormaux via UEBA ou SIEM.
• Imposer des questionnaires de sécurité annuels : Dans le contexte NIS2 et DORA, la vérification de la maturité cyber des fournisseurs critiques est une obligation légale en Europe.
• Plan de notification incident tiers : Préparer un plan de communication pour le cas où un sous-traitant notifie un incident affectant les données confiées, avec les délais légaux (72h sous RGPD pour notifier la CNIL).