AT&T、2024年の2件の侵害に関する1億7700万ドルの和解が2026年10月に最終承認を取得

2026年10月2日、米国連邦地方裁判所のシドニー・A・フィッツウォーター上級判事は、2024年の2件の事案に関する多数地区訴訟（MDL）について、AT&Tの1億7700万ドルの和解を最終承認した。73ページの意見書は、5900万ドルの弁護士報酬を認め、残余資金を扱うサイ・プレ（cy pres）手続きを修正した。命令が出た時点で、既に約492万件の請求が提出されていた。

第1の基金は1億4900万ドル相当で、裁判資料が「AT&T 1」と呼ぶ事案を対象とする。これは約7300万人の現・旧口座保有者をカバーするデータセット——社会保障番号、口座および銀行関連情報——が、2024年3月30日にダークウェブ上に出現した後に開示されたものである。AT&Tは当初、このデータセットは2019年以前に由来するように見え、同社の現行システムに由来するものではないと述べていた。

第2の基金は2800万ドル相当で、「AT&T 2」を対象とする。これはSnowflakeのクラウドプラットフォーム上でホストされていたAT&Tのワークスペースからの不正ダウンロードであり、2024年7月12日に開示され、電話番号、通話・テキストのやり取りの記録、口座所有者および利用者のデータが流出した——Snowflake顧客に対する2024年の広範な攻撃の波の一部である。両方の事案に巻き込まれた「オーバーラップ・メンバー」は両方の基金に請求できるが、同一種類の損害について二重回収を禁じる条件がある。

支払いの計算は厳しい現実を示す。電子請求4,163,810件と紙請求754,263件が、手数料と管理費を差し引いた1億7700万ドルを争うため、段階別の請求者の大半は、文書化された損失の上限「最大5,000ドル」にもかかわらず、数百ドルを受け取るにとどまる。AT&T 1基金の3つの段階における請求件数は、それぞれ1,654,046件、687,859件、1,582,248件であった。

2つの基金にわたる1億7700万ドルの和解（1億4900万ドルと2800万ドル）、加えて同時に認められた5900万ドルの弁護士報酬。

社会保障番号を含む、7300万人の現・旧口座保有者をカバーするデータセットがAT&Tの管理外にあり、ダークウェブ上に出現した。

通話・テキストのメタデータは、Snowflake顧客環境に対する2024年の攻撃キャンペーンで侵害された第三者のSnowflakeワークスペースに存在していた。

古いデータセットがAT&Tの現行システムより前のものだという抗弁は、和解が両方の事案を補償対象として扱うことを妨げなかった。

判事は、和解が被害者を不当に扱っているとの異議を退け、大多数の請求者に各数百ドルを残す構造を承認した。

裁判所はもはや、ベンダーのクラウド上で起きたという理由で侵害を割り引くことはない。ワークスペースへの侵入とレガシーな流出は、別個の補償対象事象として扱われた。

最終承認は最初の開示から約2年半後に下り、当初担当した判事の忌避とフィッツウォーター判事への事件の再配分（担当変更）によって遅れた。分配は通常、控訴期間が終了した後、最終承認から数か月後に続く。民事上の和解は規制上のリスクを終わらせるものではない。承認に関する報道は、いずれかの事案に関連するFCCまたは州司法長官による係属中の手続きの存在を確認するものではない。通信データの取扱いはFCC、FTC、州の重複する管轄下にある。規模の参考として、T-Mobileは2021年の侵害で3億5000万ドルを支払った。