Conduent a perdu 8 To de données dans une brèche de 84 jours — et des millions d’Américains en paient le prix

21 octobre 2024. Un acteur non autorisé pénètre le réseau de Conduent, un géant américain des services externalisés. Personne ne le remarque.

13 janvier 2025. Conduent découvre l’intrusion. 84 jours se sont écoulés.

Février 2026. Les notifications arrivent par vagues. 15,4 millions de résidents texans touchés. 10,5 millions dans l’Oregon. Plus de 25 millions d’individus au total. Le groupe SafePay revendique 8,5 téraoctets de données exfiltrées.

Ce n’est pas une brèche de plus. C’est une catastrophe supply chain : un sous-traitant qui traitait les payrolls, les cartes EBT, les dossiers Medicaid, les flux de péage et les données RH de la moitié du Fortune 100 s’est fait vider pendant trois mois. Et tous ses clients — États, assureurs, multinationales — sont exposés par ricochet.

Conduent : le sous-traitant que tout le monde utilise et que personne n’audite

Conduent est né en 2017 d’une scission de Xerox. L’entreprise emploie plus de 60 000 personnes et opère dans 40 pays. Son cœur de métier : le Business Process Outsourcing — elle gère à la place de ses clients les processus administratifs, financiers et de santé publique.

La liste des missions donne le vertige :

• Traitement des paiements Medicaid et Medicare pour des dizaines d’États américains
• Gestion des péages électroniques (E-ZPass et équivalents)
• Administration des avantages sociaux (EBT, SNAP) pour des millions de bénéficiaires
• Services RH et paie pour près de la moitié des entreprises du Fortune 100

Quand Conduent s’arrête, des prestations sociales sont interrompues, des paiements d’hôpitaux sont bloqués, des salariés ne sont pas payés. Le 13 janvier 2025, c’est exactement ce qui s’est produit : la détection de l’intrusion a provoqué une interruption de service de plusieurs jours, touchant les systèmes de courrier, de traitement des paiements et d’administration des aides.

L’impact opérationnel n’est pas un détail. Il démontre qu’un fournisseur unique, non redondé, peut paralyser des services publics essentiels.

SafePay : un nouveau nom, de vieilles méthodes

Le groupe SafePay a revendiqué l’attaque début 2025 sur son site de fuite dark web. C’est un acteur relativement récent, mais son code parle pour lui.

Les chercheurs de ThreatLocker ont analysé un échantillon du rançongiciel et découvert un kill-switch révélateur : le malware vérifie la langue du système avant de s’exécuter. S’il détecte du russe, de l’ukrainien, du biélorusse ou une autre langue cyrillique, il s’arrête immédiatement. La règle implicite des cybercriminels russophones — « ne chie pas là où tu manges » — est respectée.

L’ADN technique de SafePay montre des similarités avec BlackCat (ALPHV) et DarkSide, deux strains majeurs du paysage ransomware. SafePay est probablement une réincarnation ou une scission de ces groupes, une pratique courante après les opérations de law enforcement — DarkSide a été démantelé en 2021, BlackCat en 2024.

Le vecteur initial le plus probable, selon les analystes threat intelligence, est une passerelle Citrix sans authentification multifacteur (MFA). Des identifiants compromis, un accès distant sans MFA, et la porte est ouverte.

84 jours de dwell time : comment 8,5 To disparaissent sans alerte

Trois mois. C’est le dwell time — le délai entre la compromission initiale et la détection. SafePay n’a pas précipité l’attaque. Le groupe a appliqué un playbook patient et méthodique.

Phase 1 — Accès et persistance (octobre-novembre 2024). Les attaquants utilisent des outils d’administration légitimes déjà présents sur le réseau — une technique dite Living off the Land (LotL). Pas de malware exotique, pas de signature suspecte. Ils se fondent dans le trafic légitime.

Phase 2 — Cartographie et escalade (novembre-décembre 2024). Une fois la persistance établie, SafePay cartographie l’infrastructure, identifie les dépôts de données sensibles et élève ses privilèges.

Phase 3 — Exfiltration silencieuse (décembre 2024 – janvier 2025). C’est l’étape la plus inquiétante. Exfiltrer 8,5 téraoctets sans déclencher d’alarme réseau exige une sophistication réelle. SafePay aurait utilisé des scripts sur mesure pour brider les transferts pendant les heures ouvrées et les accélérer la nuit et le week-end, imitant les backups habituels. Les équipes de Conduent voyaient du trafic sortant, mais rien ne ressemblait à une anomalie.

Le résultat : des noms, des numéros de sécurité sociale, des dates de naissance, des identifiants d’assurance santé, des dossiers médicaux, des informations bancaires, des contrats clients. Le tout pour plus de 25 millions de personnes.

La cascade réglementaire et financière

Le 9 avril 2025, Conduent dépose un formulaire 8-K auprès de la SEC. Le document reconnaît l’exfiltration mais minimise l’impact : pas de publication de données sur le dark web, pas de perturbation matérielle des opérations. L’entreprise provisionne des « dépenses non récurrentes matérielles » et active son assurance cyber.

Puis les chiffres réels sortent.

Février 2026. Le procureur général du Texas, Ken Paxton, ouvre une enquête et émet des demandes d’enquête civiles (CID) contre Conduent et ses clients, dont Blue Cross Blue Shield of Texas. Le parquet texan parle de « l’une des plus grandes brèches de données de santé de l’histoire américaine ».

Les notifications par État s’empilent :

• Texas : 15,4 millions de résidents
• Oregon : 10,5 millions
• Delaware, Massachusetts et d’autres États dépassent chacun les centaines de milliers

Le coût immédiat est estimé à 2 millions de dollars — un chiffre qui ne couvre que la réponse d’urgence. Il ne compte ni les amendes, ni les recours collectifs, ni la remédiation à long terme, ni la perte de contrats. À titre de comparaison, la brèche Change Healthcare (2024) qui touchait 193 millions de personnes a coûté à UnitedHealth Group plus d’un milliard de dollars au total.

La leçon supply chain : votre sécurité, c’est celle de votre prestataire

La brèche Conduent n’est pas un incident de plus dans une longue liste. Elle expose une faille systémique du modèle de sous-traitance : des centaines d’organisations — gouvernements, assureurs, multinationales — délèguent leurs données les plus sensibles à un prestataire unique, sans visibilité réelle sur ses contrôles de sécurité.

Les clients de Conduent n’ont pas été piratés. Ils n’ont rien vu. Ils ont simplement hérité de la brèche par contrat.

Cinq mesures concrètes pour les RSSI et les directions juridiques :

• Auditer l’accès des tiers avec un Least Privilege strict. Chaque compte de service fournisseur doit être limité au strict nécessaire, avec MFA obligatoire — idéalement FIDO2 pour résister au phishing.
• Surveiller le volume de données sortant des tunnels fournisseurs. Un prestataire BPO n’a pas de raison légitime de déplacer des téraoctets vers des destinations inconnues. Une ligne de base du trafic sortant, avec alerte sur déviation, est non négociable.
• Exiger une notification d’incident sous 24 à 48 heures dans les clauses contractuelles — pas « dans les meilleurs délais ».
• Simuler la défaillance totale d’un fournisseur critique. Un exercice sur table annuel avec le scénario « votre prestataire BPO est compromis, ses systèmes sont coupés 7 jours » vous dira si votre PCA tient la route.
• Vérifier que le contrat inclut une clause d’indemnisation robuste en cas de brèche de données chez le sous-traitant.

Le verdict

La brèche Conduent valide ce que les RSSI savent depuis longtemps mais que les conseils d’administration peinent à financer : on est aussi fort que son maillon le plus faible. Quand votre prestataire de services gère les paies, les remboursements de santé et les aides sociales de vos citoyens ou de vos employés, sa surface d’attaque est votre surface d’attaque.

Si vous dépendez d’un tiers pour traiter des données personnelles ou de santé, commencez par auditer ses contrôles d’accès aujourd’hui, pas au prochain renouvellement de contrat. Et si ce tiers n’accepte pas un audit de sécurité indépendant, trouvez-en un qui l’accepte.

SafePay n’a pas fini. Les BPO restent une cible parfaite : données concentrées, surface large, clients multiples. La question n’est pas de savoir si le prochain Conduent arrivera — c’est de savoir si vous serez dans la liste des clients exposés quand il arrivera.

Références

• Conduent Data Breach — Largest Data Breach in U.S. History As Ransomware Group Stolen 8 TB of Data, Cyber Security News, 23 février 2026.
• Supply Chain Fragility: Lessons from the Conduent/SafePay Ransomware Crisis, Threat Landscape, 24 février 2026.
• The 8 Terabyte Heist: Inside the Conduent Breach and the Rise of SafePay, Lostbrain, 28 février 2026.
• Conduent SEC Filing (8-K), 9 avril 2025.
• SafePay Ransomware — Technical Analysis, Cyber Security News.