米通信大手AT＆Tで2019年と2024年に起きた2件の大規模な情報流出で、1億1000万人を超える顧客の個人情報が盗まれた。機密性の高いデータが流出したことを受け、消費者は集団訴訟を通じて補償を求めた。 訴状（PDF）では、AT＆Tによる顧客データの保護や、情報流出に関する顧客への迅速な通知が不十分だったと主張している。同社は不正行為を認めていないものの、和解の対象者に総額1億7700万ドル（約280億円）の補償金を支払うことに同意した。 請求の受け付けは2025年12月に締め切られたが、こうした和解金の支払い手続きには長い時間がかかる。和解金の一部を事務費用や弁護士費用などに充てる必要があるほか、対象者のうちできるだけ多くの人に情報を周知しなければならないためだ。対象となる顧客のうち、490万人以上が請求を提出した。 AT＆Tは11月2日まで裁判所の判断に対して異議を申し立てられる。異議がなければ、裁判所はその後10日以内に和解の最終承認を出す。 AT＆Tの情報流出に関する和解で有効な請求を提出し、金銭的損失を裏付ける書類も提出した場合、どの和解対象グループに属するかによって、最大7500ドル（約120万円）を受け取れる可能性がある（PDF）。2019年と2024年の情報流出で何が起きたのか AT＆Tでは2019年と2024年に2件の大規模な情報流出があり、2024年の事件の後には顧客の個人情報がダークウェブに出回った。同社が不正アクセスを公に認めたのは、流出データがオンラインで拡散し始めてから数週間後だった。 2019年の不正アクセスでは、元顧客6540万人と契約中の顧客760万人が被害を受け、社会保障番号、生年月日、正式な氏名など、極めて機密性の高い情報が流出した。流出した情報の重要性と範囲の広さを受け、AT＆Tは被害を受けた顧客全員のパスワードをリセットした。 2024年の情報流出はさらに広範囲に及び、携帯電話サービスの顧客約1億900万人が影響を受けた。ただし、流出した情報の機密性は2019年の事件ほど高くなかった。この不正アクセスでは、AT＆Tが保存していた2022年の通話やテキストメッセージの記録、タイムスタンプ、基地局の位置情報が不正に閲覧された。 （最初の情報流出で被害を受けた7300万人のほぼ全員が、2件目のより大規模な情報流出で影響を受けた1億1000万人にも含まれているため、被害を受けた顧客の総数は約1億1000万人となる。） ハッカー集団UNC5537は、2024年の情報流出について犯行を認めた。この事件は、160社以上のSnowflake上のデータベースを狙った不正アクセスの一環だった。UNC5537は、大量の顧客情報を保有する企業を頻繁に標的にしている悪名高いハッカー集団ShinyHuntersと密接な関係にある。この事件に関連して2人が逮捕された。 2024年の攻撃で悪用された手法は詳細に分析され、対策も講じられた。しかし、最近起きたRockstarのサーバーへの不正アクセスのように、ハッカーは今もサードパーティーの提携先を経由してSnowflakeのサーバーを狙い続けている。この記事は海外Ziff Davis発の記事を4Xが日本向けに編集したものです。