Le règlement de 177 M$ d'AT&T relatif à deux violations de 2024 a obtenu l'approbation finale en octobre 2026

Le 2 octobre 2026, le juge principal du tribunal de district des États-Unis Sidney A. Fitzwater a accordé l'approbation finale au règlement de 177 millions de dollars d'AT&T dans le litige multidistrict portant sur deux incidents de 2024, dans une opinion mémorandum de 73 pages qui a également accordé 59 millions de dollars d'honoraires d'avocats et modifié le processus cy pres régissant les fonds restants. Près de 4,92 millions de réclamations avaient déjà été déposées au moment où l'ordonnance a été rendue.

Le premier fonds, d'un montant de 149 millions de dollars, couvre l'incident que les documents judiciaires désignent sous le nom « AT&T 1 » : un ensemble de données couvrant environ 73 millions de titulaires de comptes actuels et anciens — numéros de sécurité sociale, informations relatives aux comptes et aux opérations bancaires — divulgué le 30 mars 2024 après être apparu sur le dark web. AT&T a d'abord déclaré que l'ensemble de données semblait provenir de 2019 ou avant et ne provenait pas de ses systèmes actuels.

Le second fonds, d'un montant de 28 millions de dollars, couvre « AT&T 2 » : un téléchargement non autorisé depuis un espace de travail AT&T hébergé sur la plateforme cloud de Snowflake, divulgué le 12 juillet 2024, exposant des numéros de téléphone, des enregistrements d'interactions d'appels et de textos, ainsi que des données sur les titulaires de comptes et les utilisateurs — dans le cadre de la vague plus large d'attaques de 2024 contre les clients de Snowflake. Les « Overlap Members » (membres concernés par les deux incidents) peuvent réclamer au titre des deux fonds, bien que les conditions empêchent une double indemnisation pour le même type de préjudice.

Le calcul des indemnités est sobre : avec 4 163 810 réclamations électroniques et 754 263 réclamations papier se partageant 177 millions de dollars moins les honoraires et les frais d'administration, la plupart des demandeurs éligibles aux niveaux gradués reçoivent quelques centaines de dollars malgré le plafond de « jusqu'à 5 000 $ » pour les pertes documentées. Le nombre de réclamations dans les trois niveaux du fonds AT&T 1 s'élevait à 1 654 046, 687 859 et 1 582 248.

Règlement de 177 M$ réparti sur deux fonds (149 M$ et 28 M$), plus 59 M$ d'honoraires d'avocats approuvés en même temps.

Un ensemble de données couvrant 73 millions de titulaires de comptes actuels et anciens — y compris des numéros de sécurité sociale — se trouvait hors du contrôle d'AT&T et est apparu sur le dark web.

Les métadonnées d'appels et de textos se trouvaient dans un espace de travail Snowflake tiers qui a fait l'objet d'un accès non autorisé lors de la campagne de 2024 contre les environnements clients de Snowflake.

L'argument selon lequel l'ensemble de données plus ancien était antérieur aux systèmes actuels d'AT&T n'a pas empêché le règlement de considérer les deux incidents comme indemnisables.

Le juge a rejeté les objections selon lesquelles l'accord lésait les victimes, approuvant une structure qui laisse à la plupart des demandeurs quelques centaines de dollars chacun.

Les tribunaux ne considèrent plus une violation comme moins grave du seul fait qu'elle s'est produite sur le cloud d'un fournisseur : l'intrusion dans l'espace de travail et la fuite héritée ont été traités comme des événements indemnisables distincts.

L'approbation finale est intervenue environ deux ans et demi après la première divulgation, ralentie par la récusation du juge initialement assigné et le renvoi de l'affaire à Fitzwater. La distribution intervient généralement plusieurs mois après l'approbation finale, une fois la période d'appel close. L'accord civil ne met pas fin à l'exposition réglementaire : les reportages sur l'approbation ne confirment pas une procédure active de la FCC ou d'un procureur général d'État liée à l'un ou l'autre des incidents, et le traitement des données de télécommunications relève de compétences qui se chevauchent : celles de la FCC, de la FTC et des États. Pour donner l'échelle, T-Mobile a payé 350 millions de dollars pour la violation de données dont elle a été victime en 2021.