対象：2023年にPerry Johnson & Associates（PJ&A）の侵害に関する通知を受けた患者と、医療の文字起こし・コーディング・請求を外部に任せている医療機関。本記事はニューヨーク・コネチカット・ニュージャージー各州の司法長官の発表にもとづく解説で、攻撃手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
2023年にPerry Johnson & Associates（PJ&A）の侵害に関する通知を受けた患者と、医療の文字起こし・コーディング・請求を外部に任せている医療機関。
- 影響が確認された範囲表で見る ↓
- 対象の人数
- 漏れた項目
- 未確認事項
- ミシガン州の発表と人数
- 和解文書での会社の責任の扱い
- 委託元の医療機関ごとの対象者数
さらに1件
- 和解後に通知や支援が追加されるか
- 今やること手順を見る ↓
- 信用凍結が今もかかっているか確かめる
- 医療の給付の明細に、受けていない受診がないか確認する
- 診断名や検査結果が漏れた前提で、脅しの連絡に備える
さらに2件
- 和解を口実にした連絡を疑う
- なぜ自分の情報がこの会社にあったのかを、通知した医療機関に聞く
- 確認先（出典）出典の一覧 ↓
- ニューヨーク州司法長官の発表「Attorney General James Secures Up to $10 Million and Critical Reforms From Companies That Failed to Protect Private Medical Data」（2026年11月6日）— ag.ny.gov
- 最終確認日時
- 2026年11月8日時点
発表の続報予定と確認の記録
各州の発表は、続報の予定を書いていません。2026年11月8日時点で確認できたのは、ニューヨーク・コネチカット・ニュージャージーの3州の発表です。ミシガン州の発表は確認できていません。
通知を受けた人が今日やること
信用凍結が今もかかっているか確かめる
社会保障番号が含まれるため、最も効果が大きい対策です。Equifax・Experian・TransUnionの3社で、無料の信用凍結（security freeze）をかけられます。2023年の通知のあとにかけていれば、解除していないかを確認します。手順は米連邦取引委員会（FTC）の案内（出典欄）にあります。
医療の給付の明細に、受けていない受診がないか確認する
氏名・生年月日・保険情報・病院の口座番号の組み合わせは、他人の名前で受診したり、請求したりするのに使われうるものです。保険会社の明細（explanation of benefits）で、覚えのない受診・処方・機器を探してください。見つけたら、保険会社と明細にある医療機関に連絡します。
診断名や検査結果が漏れた前提で、脅しの連絡に備える
文字起こしファイルには検査結果や薬の名前が含まれます。診断を知っていると名乗り、金銭を求める連絡が来ても、払わずに連邦取引委員会か警察に相談してください。当局の発表は、そのような連絡が起きたとは書いていません。一般に起こりうることとして備えるものです。
和解を口実にした連絡を疑う
各州の発表は、被害者に補償金を配るとは書いていません。「和解金の受け取り」「口座の確認」「手数料」を求める電話やメッセージは、相手から先に連絡してきた時点で疑います。確認は、州司法長官の公式サイトを自分で開いて行います（見分け方：フィッシングとは）。
なぜ自分の情報がこの会社にあったのかを、通知した医療機関に聞く
ニューヨーク州の発表によれば、PJ&Aは全米の医療機関に、コーディング・請求・記録などのサービスを提供していました。患者から見れば、直接契約していない会社です。通知や診療を受けた医療機関に、自分の情報がどの範囲で委託先に渡っていたかを問い合わせられます。
何が起きたのか（各州の司法長官の発表より）
以下は、ニューヨーク・コネチカット・ニュージャージー各州の司法長官の発表（2026年11月6日）にもとづきます。各社の説明ではなく、当局の説明です。対象の会社は、Perry Johnson & Associates, Inc.（PJ&A）、Perry Johnson, Inc.（PJI）、Perry Johnson & Associates Coding, Inc.、Perry Johnson & Associates Radiology, Inc.、Medical Transcription and Coding, Inc.で、発表はこれらをまとめて「Perry Johnsonの各社」と呼びます。
従業員の認証情報
遠隔アクセスに多要素認証なし
↓→
数か月のアクセス
記録はあったが警報は出ず
↓→
発覚
約2か月後、攻撃者からの連絡
会社の説明ではなく、当局の説明です。
2023年3月
当局の説明では、攻撃者がPJ&A Codingの従業員の認証情報を使ってPJ&Aのシステムに入りました。その後の数か月
攻撃者がパスワードを集め、暗号化されていないファイルを閲覧しました（当局）。約2か月後
PJ&Aは、攻撃者から連絡を受けて初めて侵害に気づいたとされます（当局）。2026年11月6日
4州の司法長官が和解を発表しました。
- 対象の会社
- Perry Johnson & Associates, Inc.（PJ&A）ほか関連会社4社
- 侵害
- 2023年3月。全米で約1,330万人
- 州ごとの人数
- ニューヨーク州の住民 約420万人／ニュージャージー州 約539,669人／コネチカット州 約107,960人。ミシガン州は確認できず
- 漏れた項目
- 氏名・生年月日・住所・社会保障番号、病院の口座番号・診断名・保険情報、文字起こしファイルの臨床情報（検査・診断テストの結果、薬の名前など）
- 和解の金額
- 最大1,000万ドル。30万ドル以上の罰金を州へ支払い、合意の条件を満たさなければ、さらに970万ドルを州へ支払う義務が生じる
- 州ごとの受取額
- ニューヨーク州は罰金と費用で10万ドル以上、コネチカット州は66,666ドル。ニュージャージー州は発表になし
- 文書の種類
- ニュージャージー州の発表はAssurance of Voluntary Compliance（自主遵守の保証）。他の州の発表は文書名を本文に書いていない
当局が挙げた原因
各州の発表は、侵害を許した状態として次を挙げています。会社の発表ではなく、当局の説明です。
| 項目 | 当局の説明 | 状態 |
|---|---|---|
| 対象の人数 | 全米で約1,330万人 | 確認済み（当局） |
| 漏れた項目 | 氏名・生年月日・住所・社会保障番号・病院の口座番号・診断名・保険情報・臨床情報 | 確認済み（当局） |
| 入口 | PJ&A Codingの従業員の認証情報が使われた | 当局の説明 |
| 遠隔アクセス | 多要素認証を求めていなかった | 当局の説明 |
| ファイル | 暗号化されていないファイルが閲覧された。パスワードも集められた | 当局の説明 |
| ログ監視 | PJIのソフトは攻撃者の活動を記録していたが、担当者に警報が出る設定になっていなかった | 当局の説明 |
| 発見 | 約2か月後、攻撃者からの連絡で気づいた | 当局の説明 |
| 認証情報の入手方法 | 発表になし | 記載なし |
| データ保持が原因か | 原因としては挙げられていない。保持は改善策にだけ登場する | 記載なし |
| 会社が違法を認めたか | ニューヨーク・コネチカットの発表に記載なし | 記載なし |
読み方：和解は、裁判所が違法と判断したという意味ではない
ニューヨーク州の発表は見出しで「医療データを守れなかった（Failed to Protect）」と表現していますが、違法と判断したとも、会社が責任を認めたとも書いていません。当サイトは、公式の記載を超えて「違法だった」とは書きません。
和解で会社に求められたこと
各州の発表に共通する改善策は次のとおりです。
- 包括的な情報セキュリティの計画と、インシデント対応の手順を維持する
- 多要素認証、パスワード管理、暗号化、資産管理の対策と方針を整える
- HIPAAに沿ったリスク評価を毎年行う
- 個人の健康情報の収集・利用・保持・廃棄に関する方針と手順を維持する
ニュージャージー州の発表は、独立した監視者や報告の頻度を書いていません。
この項目の組み合わせで何が起きうるか
一般に、次のような組み合わせは悪用されることがあります。今回起きたという意味ではありません。
- 氏名＋生年月日＋社会保障番号＋住所：新規の口座やクレジットを開く、税の還付を不正に受ける試み
- 氏名＋保険情報＋病院の口座番号：他人の名前での受診、保険への請求
- 診断名・薬の名前：本人の病気を知っていることを使った、本物らしい連絡や脅し
医療機関・委託元が学ぶこと
当局の説明には、委託先の管理で確かめられる点がそのまま含まれています。ここでは、公表された範囲だけを根拠に、自分の契約と環境で確かめる項目に絞ります。
- 遠隔アクセスの多要素認証。 当局は、遠隔アクセスに多要素認証がなかったことを挙げています。委託先が、自社のシステムに入るすべての経路（VPN、リモートデスクトップ、クラウドの管理画面）で多要素認証を必須にしているかを、契約書の文言ではなく、設定の画面や監査報告で確認します。解説：多要素認証の始め方。
- ログは、記録するだけでなく警報の宛先まで試す。 記録はあったが担当者に警報が出なかった、と当局は説明しています。最初の1つとして、通常と違う場所からのログインと大量のファイル閲覧で、担当者に通知が届くかを、テストの操作で確かめます。
- データの保持と廃棄を契約で決める。 保持は原因としては挙げられていませんが、改善策に入っています。委託先が文字起こし済みの音声やファイルを、いつまで持ち、いつ消すかを契約に書き、消した証明を求めます。持つ量が減れば、漏れる量も減ります。
- 暗号化されていないファイル置き場を探す。 当局は暗号化されていないファイルが閲覧されたと説明しています。委託先に、診療情報を置く場所の暗号化の有無を聞きます。
- 委託先の委託先まで把握する。 患者から見て直接契約のない会社でも、情報は流れます。委託先が再委託する先と、通知の責任の分担を事前に決めておきます。
出典（公開情報）
この記事の事実は、以下の当局の発表によります。
- ニューヨーク州司法長官の発表「Attorney General James Secures Up to $10 Million and Critical Reforms From Companies That Failed to Protect Private Medical Data」（2026年11月6日）— ag.ny.gov
- コネチカット州司法長官の発表（2026年11月6日）— portal.ct.gov
- ニュージャージー州司法長官の発表（2026年11月6日）— njoag.gov
- The Record「Medical services company settles with 4 state AGs」（報道、補助）— therecord.media
- 米連邦取引委員会（FTC）「Credit Freezes and Fraud Alerts」（英語）— consumer.ftc.gov
更新履歴
2026-11-08：初版。ニューヨーク・コネチカット・ニュージャージー各州の司法長官の2026年11月6日の発表にもとづく。ミシガン州の発表は確認できていない。当局または会社が続報を出したら更新する。
次に読む
- 2026年の米国医療機関の情報漏えいの全体像：2026年の米国医療機関の情報漏えい
- 古い医療記録を預かる会社の事案：Aesto Healthの情報漏えい
- 大規模な医療関連の事案：AdaptHealthの情報漏えい
- 遠隔アクセスの対策：多要素認証の始め方
- 続く詐欺への備え：フィッシングとは