報道：Equifax、2017年のデータ侵害で7億ドルを支払う

Equifaxがデータ漏洩により1億4,300万人以上のアメリカ人の個人情報が漏洩したと発表してから、ほぼ2年が経ちました。ウォール・ストリート・ジャーナルとニューヨーク・タイムズの両紙によると、Equifaxは州および連邦規制当局との和解に近づいており、この騒動はついに終結に向かいつつあるようです。この和解金は6億5,000万ドルから7億ドルと見込まれています。

NYT紙によると、和解金の大部分はデータ漏洩の影響を受けた人々に支払われるという。また、和解には連邦取引委員会、消費者金融保護局、そして少なくとも48州の司法長官が参加しているという。NYT紙の報道によると、規制当局は和解を通じてEquifaxに対し「データ保護のための措置を講じる」よう求めるとされており、和解内容は早ければ7月22日にも発表される可能性がある。

データ侵害の詳細は、公表後も頻繁に変更されました。エキファックスは当初、2017年9月に1億4,300万人のアメリカ人の社会保障番号が不正使用されたと発表しました。その後、2017年10月には1億4,550万人に、2018年3月には1億4,790万人にそれぞれ修正し、2018年5月にはさらに5万6,000人の運転免許証とパスポートも盗まれたと発表しました。

情報漏洩が明らかになった際、ほとんどの人がエキファックスに個人情報を自発的に提供しているわけではないことに気づきました。同社は、どれだけの情報を保有しているのか、どのように情報を収集しているのか、そしてどのようにデータが保護されているのかを一切知らせることなく、できる限り多くの人々のデータを収集しています。（もっとも、今回のデータ漏洩は、最後の質問に対する答えが「適切に保護されていない」ことを示唆しているでしょうが。）これはエキファックスに限った話です。

同社のセキュリティに対する杜撰な姿勢は、情報漏洩の発覚直後に明らかになった。情報漏洩は、Equifaxが修正する十分な時間があった既知の脆弱性を介して行われたことが判明した。また、別のインシデントでは、ユーザー名とパスワードの組み合わせが「admin/admin」であるアルゼンチンのウェブポータルが不正アクセスされていた。さらに、ソーシャルメディア担当者数名が、情報漏洩の被害者を偽サイトに誘導していた。 

それだけでは不十分であるかのように、Equifaxは情報漏洩の公表に数日間を要し、その間に多くの幹部が保有する自社株の一部を売却した。伝えられるところによると、これらの幹部は売却時に情報漏洩について知らなかったという。しかし、そうであれば、最高財務責任者、米国情報ソリューション部門責任者、そして人材ソリューション部門責任者は、信じられないほど情報不足だったことになる。

これらすべての失敗（技術的、法的、倫理的）は、6億5000万ドルから7億ドルの和解金に繋がりました。多額の金額に思えるかもしれませんが、FacebookがFTCとの50億ドルの和解を容易に乗り越えたように、Equifaxも今回の和解金で大きな損害を被る可能性は低いでしょう。最新の四半期報告書によると、Equifaxは和解費用を最大6億9000万ドルと見積もっており、その資金を事前に確保していました。