Conduent、データ漏えいをめぐる集団訴訟で8000万ドルの和解に合意

デジタルプラットフォーム事業者のConduentは、2024年に発生し、約6200万人の個人情報と健康情報が流出したサイバーインシデントをめぐる集団訴訟について、8000万ドルを支払って和解することで合意しました。

この和解金は、個人データが流出した原告個人の実損害の補填、各原告向けのクレジットモニタリングおよび医療データモニタリングサービスの費用、そして原告側の弁護士費用に充てられます。

2026年10月16日に米ニュージャージー地区連邦地方裁判所へ提出された書類によると、この合意では原告が2つのサブクラスに分けられています。

1つ目は約4000万人で、盗まれたデータが第三者から容易にアクセスできない複雑なバックアップファイルに保存されていた人々です。2つ目は2200万人で、盗まれたデータが容易にアクセス可能なファイルに保存されていた人々です。

直接の現金補償を請求できるのは、このインシデントに起因する詐欺や個人情報の盗難（またはその両方）による損失を文書で立証できる原告に限られ、上限は3500ドルです。

和解が裁判所の最終承認を受ければ、Conduentはこのサイバーインシデントに関する民事上の請求について責任を負わなくなります。

同社は和解の一環として、データセキュリティ対策の強化にも同意しました。

Conduentは、10月16日に米証券取引委員会（SEC）へ提出したForm 8-Kで、この和解合意を確認しました。

同社は、今回の合意が過失や法的責任を認めるものではないと強調しており、責任については否定しています。

提出書類には「当社はサイバー保険に加入しており、この和解が財政状態、経営成績、キャッシュフローに重大な影響を及ぼすとは見込んでいません」とも記されています。

Conduentは、第三者向けの印刷・郵便物処理サービス、文書処理サービス、支払い適正化サービスなど、各種のバックオフィス支援サービスを提供しています。政府の各種医療プログラムを通じて米国の住民約1億人を支援しているほか、米国最大級の有料道路システムを数多く運営し、連邦政府が資金を拠出する給付金・決済カードプログラム向けに政府の支払い業務も手がけています。

史上3番目の規模となった医療データ漏えい

Conduentへの攻撃は、ランサムウェアグループのSafePayによるものとみられています。同グループは、同社から8.5TBのデータを盗んだと主張していました。

インシデントが起きたのは2024年10月ですが、Conduentが気づいたのはおよそ3カ月後でした。

Conduentは影響を受けたファイルを分析した結果、権限のない攻撃者が、氏名、住所、生年月日、社会保障番号、医療保険の詳細、医療情報などを含む可能性のあるデータを外部に持ち出したと、被害者に通知しました。

医療保険の携行性と責任に関する法律（HIPAA）の専門メディアHIPAA Journalは、侵害された保護対象医療情報の件数から、このインシデントを2026年10月時点で史上3番目に大規模な医療データ漏えいと位置づけています。

このランキングの1位は、2024年に医療決済処理事業者のChange Healthcareが受けたランサムウェア攻撃で、1億9200万人以上に影響が及んでいます。

これに続くのが、2015年に米医療保険大手のAnthemを襲ったインシデントで、HIPAA Journalは7880万人分のデータが侵害されたと記録しています。