ApolloMDが4.02Mドルを支払いデータ侵害訴訟を和解

統合型の複数専門医サービス、APCサービス、診療管理サービスを提供する業務提携先であるApolloMD Business Servicesは、2025年5月に発生したランサムウェア攻撃に端を発するクラスアクション訴訟について和解に合意しました。

この攻撃は2025年5月22日前後にApolloMDによって検知され、フォレンジック調査の結果、ランサムウェアの攻撃者が2025年5月22日から23日にかけて同社のネットワークに侵入し、医療提供者クライアントの患者に関する保護対象保健情報(PHI)を含むファイルを窃取した可能性があることが判明しました。Qilinランサムウェアグループがこの攻撃の犯行を主張しています。

ApolloMDのデータ侵害では、氏名、生年月日、健康情報、健康保険情報、一部の個人については社会保障番号が流出し、米保健福祉省(HHS)公民権局(OCR)には626,540人が影響を受けたと報告されています。最初の通知書は2025年9月から対象者への郵送が始まり、2026年3月には第2波の通知が発送されました。

最初のクラスアクション訴訟は、最初の通知書が発送された直後に提起されました。2026年1月、裁判所はこれらの訴訟を単一の訴状に統合する申立てを認め、統合訴訟「In re ApolloMD Data Breach Litigation」として米ジョージア州北部地区連邦地方裁判所アトランタ支部に提出されました。

この統合訴訟では、被告が合理的かつ適切なサイバーセキュリティ対策を講じなかったことが原因でランサムウェア攻撃が発生したと主張されていました。ApolloMDは、不正行為や法的責任の有無を含め、訴訟で主張された請求・申し立てをすべて否定しています。2026年1月の調停を経て、両当事者は和解の主要条件について合意し、これが正式に確定して裁判所の仮承認を得ました。

被告は、弁護士費用・諸経費、和解管理・通知にかかる費用、クラス代表者への報奨金を差し引いた上で、クラスメンバーへの給付金支払いのために402万ドルの和解基金を設立することに合意しました。すべてのクラスメンバーは、CyExの医療データ監視サービスを1年間無料で利用できるほか、2種類の現金支払いのいずれかを請求できます。データ侵害によって生じた、証拠のある未補填の損失については、クラスメンバー1人当たり最大5,000ドルまでの払い戻しを請求できます。あるいは、按分方式による現金支払いを請求することも可能で、その額は請求者1人当たり75ドルと見込まれています。この現金支払い額は、実際に寄せられた請求件数に応じて按分方式で増減します。

異議申立ておよびオプトアウトの期限は2026年8月31日です。請求は2026年9月30日までに提出する必要があり、最終公正性審問は2026年10月5日に予定されています。