Conduent, nhà thầu công nghệ cho chính phủ và doanh nghiệp có trụ sở tại New Jersey, đã bị tin tặc tấn công từ tháng 10/2024. Tuy nhiên, hành vi xâm nhập này đã “ẩn mình” suốt gần ba tháng trước khi bị phát hiện vào ngày 13/1 năm ngoái.

Vụ tấn công bằng mã độc tống tiền (ransomware) này đang trở thành tâm điểm chú ý khi các bang liên tục cập nhật số lượng nạn nhân. Riêng bang Texas đã điều chỉnh con số dự kiến từ 4 triệu lên tới 15,4 triệu người bị ảnh hưởng - một mức tăng gây sốc lên tới 285%. Hàng trăm nghìn nạn nhân khác tại các bang như Delaware, Massachusetts và New Hampshire cũng được cho là nằm trong diện bị tác động.

Conduent trước nguy cơ bồi thường hàng tỷ USD. Ảnh minh hoạ.

Làn sóng kiện tụng và rủi ro pháp lý

Sự cố đã châm ngòi cho một làn sóng pháp lý mạnh mẽ. Nhiều vụ kiện tập thể đã được hợp nhất tại tòa án liên bang ở New Jersey, cáo buộc Conduent không có biện pháp bảo vệ thỏa đáng dữ liệu cá nhân và y tế nhạy cảm, đồng thời trì hoãn việc thông báo cho nạn nhân trong nhiều tháng sau khi phát hiện xâm nhập.

Vào tháng 12 vừa qua, một ủy ban điều hành nguyên đơn đã được chỉ định để giám sát quá trình tố tụng. Vụ việc có thể khiến Conduent phải đối mặt với những khoản bồi thường thiệt hại khổng lồ, các hình phạt hành chính từ cơ quan quản lý và sự đổ vỡ quan hệ lâu dài với các khách hàng là chính quyền bang.

Conduent hiện vận hành các hệ thống hậu cần (backend) cốt lõi cho chính quyền các bang trên toàn nước Mỹ, xử lý từ yêu cầu bồi thường bảo hiểm y tế (Medicaid), hệ thống thẩm định quyền lợi đến thanh toán trợ cấp nuôi con, hỗ trợ lương thực và bảo hiểm thất nghiệp. Công ty này hợp tác với các cơ quan tại 46 bang, hỗ trợ các chương trình chăm sóc sức khỏe công cho khoảng 120 triệu người và giải ngân hàng chục tỷ USD phúc lợi công cộng mỗi năm.

Thủ đoạn của nhóm tội phạm SafePay

Nhóm mã độc tống tiền SafePay đã lên tiếng nhận trách nhiệm và cho biết đã trích xuất khoảng 8,5 terabyte dữ liệu từ hệ thống của Conduent trong suốt nhiều tháng xâm nhập.

SafePay đã đưa tên Conduent lên trang web rò rỉ dữ liệu (leak site) trên dark web vào tháng 2/2025 và đe dọa sẽ công bố dữ liệu nếu không nhận được tiền chuộc. Cho đến nay, Conduent vẫn chưa tiết lộ liệu họ có thương thảo với các tin tặc hay không, cũng như số tiền chuộc cụ thể hay việc thanh toán đã được thực hiện hay chưa.

Trong một thông báo chính thức, Conduent khẳng định đã hành động nhanh chóng để bảo mật mạng lưới, khôi phục hệ thống, báo cáo cơ quan thực thi pháp luật và tiến hành điều tra với sự hỗ trợ của các chuyên gia pháp y bên thứ ba. "Cả Conduent và các chuyên gia độc lập đều giám sát dark web thường xuyên và hiện chưa thấy bằng chứng về việc thông tin cá nhân bị công bố rộng rãi", công ty tuyên bố.

Conduent là một công ty đại chúng niêm yết trên sàn Nasdaq. Từng đạt mức giá kỷ lục hơn 23 USD/cổ phiếu vào năm 2018, giá trị cổ phiếu của hãng đã bốc hơi 90% kể từ đó. Tính đến thứ Hai vừa qua, cổ phiếu này chỉ còn giao dịch quanh mức 1,50 USD.

Ông Josh Mason, Giám đốc Công nghệ tại RecordPoint, nhận định vụ việc này là một hồi chuông cảnh báo về rủi ro từ các nhà cung cấp bên thứ ba. “Chúng ta cần khả năng giám sát toàn diện và phát hiện nhanh hơn trên toàn bộ chuỗi cung ứng”, ông Mason nhấn mạnh.

Lệ Thanh (theo New York Post)