【2019年】米回収代行AMCA、漏洩で破産法を申請 和解額2,100万ドル

何が起きたのか

American Medical Collection Agency（AMCA）は米国の債権回収会社で、検査会社などから少額の医療費の回収を請け負っていました。運営会社は Retrieval-Masters Creditors Bureau です。

ノースカロライナ州の発表によると、2018年8月1日から2019年3月30日まで、第三者が社内のシステムに入っていました。決済を扱う銀行から警告があったものの、AMCA は侵入を検知できませんでした。SecurityWeek の配信記事によると、発覚のきっかけは2019年3月、同社の Web の支払い画面で使われた複数のカードに不正利用が見つかったことでした。

漏れたのは社会保障番号、カード情報、一部の人では検査名や診断のコードなどです。2021年の州の発表は対象を700万人超とし、2026年のニューヨーク州とコネチカット州の発表は全米で約2,750万人、うち Labcorp の患者を約1,020万人としています。

会社に何が起きたのか

• 2019年5月14日：AMCA が Quest Diagnostics に事故を初めて連絡（Quest の開示）
• 2019年6月3日：州への届け出と本人への通知を開始。信用情報の監視を2年間無料で提供
• 2019年6月17日：通知と復旧の費用を理由に破産を申請
• 取引：報道によると、最大の顧客4社が取引を停止
• 雇用：報道によると、従業員の大半を解雇
• 費用：報道によると、700万通超の通知に380万ドル、調査に約40万ドル
• 2020年12月9日：裁判所の許可を得て州と和解し、破産手続きの取り下げを申請
• 2021年3月11日：41人の州司法長官らと和解を発表。額は2,100万ドル。財務状況を理由に支払いは猶予され、条件に違反すると支払う

和解では事故対応の計画を含むセキュリティのプログラムの運用、資格を持つ情報セキュリティの責任者の任命、第三者による評価、州の調査への協力も条件になりました。

なぜそこまで広がったのか

AMCA は顧客である検査会社の患者の情報をまとめて預かる立場で、1社への侵入が複数の検査会社の患者に及びました。委託元には Quest Diagnostics や LabCorp がありました。

会社が破産の理由に挙げたのは通知と復旧の費用です。報道によると、影響を受けた人を特定できなかったため、サーバー上のすべての情報が取られたものとして扱いました。事故が明るみに出てから数週間で主要な顧客も離れ、同社は事業の再建を楽観できなくなったと述べています。

委託元に残った負担

負担は AMCA の破産のあとも委託元に残りました。2026年9月24日、ニューヨーク州やコネチカット州など44人の司法長官は、Labcorp が228万7,455ドルを支払うことで合意したと発表しました。侵入の発覚から7年あまりたっています。

コネチカット州の司法長官は、委託先の選定と管理は Labcorp の責任だったと述べています。和解で Labcorp に課された条件は次のとおりです。

• 委託先の事故を社内に報告する体制を、事故対応の計画に入れる
• 委託先に渡すデータを最小限にする
• 委託先のリスクを見る専任のチームを置き、委託先の評価と遵守の確認を行う
• 債権回収会社との契約で、セキュリティの基準、依頼元ごとのデータの分離、評価と監査、違反時の解除権を定める
• 委託先の管理を中心に、第三者の評価を受ける

コネチカット州によると、Labcorp は関連する集団訴訟でも3,500万ドルの和解に合意しました。Quest Diagnostics の2026年9月期の四半期報告書には、集団訴訟で大筋の和解に達し、最終の合意書を作っている段階だとあります。和解の額は書かれていません。州の司法長官らの調査を受けていることも記しています。

中小企業が学ぶこと

通知の費用は預かっている件数に比例して増えます。報道によると、AMCA の例では700万通超で380万ドルでした。単純に割ると1通あたり0.5ドルほどです。自社の件数で一度試算してみましょう。誰の情報が見られたかを絞り込めないと、全員に通知することになります。アクセスの記録をどこまで残しているかも確かめてください。

委託を受ける会社にとって、顧客の情報を守ることも仕事の一部です。大口の顧客との契約で、事故のときの解除や賠償の条項を確かめておきたいところです。

銀行やカード会社からの警告は、自社で気づけない異変を知る機会です。誰が受けて確かめるかを決めておきましょう。

委託する側は Labcorp の和解の条件を点検の項目に使えます。渡すデータが委託の目的に必要な項目だけか、委託先が依頼元ごとにデータを分けているか、監査と解除の権利が契約にあるかを確かめます。聞き方はシステムの委託先に聞くべき5つのことにまとめています。