Progress SoftwareのMOVEitファイル転送ソリューションを巡って2023年5月に発生したデータ侵害に関連し、Greater Rochester Independent Practice Association(GRIPA)に対する訴訟について和解が成立しました。
2023年5月、ロシア語圏のハッキンググループCL0pは、Progress SoftwareのMOVEit Transferファイル転送ソリューションに存在するゼロデイ脆弱性を大規模に悪用しました。Cl0pはこの脆弱性を利用して同ソフトウェアを使用していた推定2,700社を攻撃し、機密データを窃取した上で、盗んだデータの公開を阻止する見返りとして金銭を要求しました。世界全体では、およそ9,600万人が影響を受けています。Cl0pは身代金要求に応じられなかったことを受け、その後大量のデータをダークウェブに流出させました。
米国では、この攻撃とデータ侵害を巡り、Progress Softwareおよび同ソフトウェアを利用していた100社を超える顧客企業に対して、実に100件を超える集団訴訟が提起されました。原告側は、不審な挙動を検知するソフトウェアの導入、プラットフォームおよびProgress Softwareのセキュリティ対策の監査、アクセス可能なIPアドレスの制限やアップロード可能なファイル形式の制限といった業界標準のサイバーセキュリティ対策を講じていれば、このデータ侵害は防げたはずだと主張しました。
これらの訴訟は主張内容が重複していたため、単一の多地区訴訟(MDL)として統合され、米マサチューセッツ州地区連邦地方裁判所で審理が一本化されました――In re: MOVEit Customer Data Security Breach Litigationです。Progress Softwareは訴訟の却下を求めて複数回申し立てを行いましたが、2025年7月、裁判所はそのほとんどを却下しました。ただし、カリフォルニア州、インディアナ州、ミシガン州、オハイオ州の各州法に基づく過失に関する請求については、却下できませんでした。
Bank of America、Nuance Communications、Arietis Healthなど、影響を受けた顧客企業の一部はすでに和解に至っています。今回、GRIPAに対するデータ侵害関連の訴訟についても和解が成立しましたが、Progress Softwareに対する請求は未解決のまま今後も継続されます。
GRIPAはこのデータ侵害を巡って4件の集団訴訟に直面しており、その最初のものがClarke, et al. v. Progress Software Corp., et alで、これらはIn re: MOVEit Customer Data Security Breach Litigationに移送・統合されました。訴訟によれば、GRIPAの患者は氏名、生年月日、社会保障番号、健康・治療情報、健康保険情報、処方薬情報、処方医情報を侵害され、これらのデータが公開されたことで認識可能な損害が生じたとされています。GRIPAは、過失、法定過失、第三者受益者契約違反、黙示契約違反、不当利得、および宣言的・差止的救済を求める請求に直面しました。GRIPAは却下を求める申し立てを行いましたが、裁判所は2024年12月12日、これを一部却下・一部認容する判断を下しました。
GRIPAは不正行為を一切否定しており、訴訟における主張や見解にも同意していません。しかし、訴訟手続きにかかる費用や期間、さらに裁判および関連する上訴の結果が不透明であることを考慮した上で、当事者双方は和解に向けた協議を開始しました。2025年6月10日に行われた調停は成功に終わり、すべての当事者が和解の主要条件について合意に達しました。
和解条件の下、GRIPAは和解対象クラスのメンバーからの請求に対応するため、215万ドル(2,150,000ドル)の和解基金を設立することに合意しました。請求への支払いは、弁護士費用および経費、和解管理・通知費用、クラス代表者への報奨金を差し引いた後に行われます。クラスメンバーは、通常損害については最大2,500ドル、特別損害については最大10,000ドルの弁済を請求できます。あるいは、損害弁済の請求を行わない場合、クラスメンバー1人あたり推定100ドルの一回限りの現金支払いを請求することも可能です。この現金支払い額は、有効な請求件数に応じて按分的に増減します。さらに、すべてのクラスメンバーは、2年間の無料クレジットモニタリングおよびID盗難保護サービスについても請求する権利を有します。
この和解は裁判所から予備承認を受けています。請求申し立ての期限は2026年9月3日です。最終公正性審理(final fairness hearing)も同日に開催されます。和解から除外を希望する場合、または異議を申し立てる場合は、2026年8月4日までに手続きを行う必要があります。和解に関する詳細情報は、和解専用ウェブサイト(https://www.moveitsettlementgripa.com/index.htm)で確認できます。
