Cash App運営のBlock、セキュリティ公約の不履行および消費者保護の不備により4,500万ドルの制裁金支払いで合意

2026年7月8日、Block Inc.は米国のほぼすべての州の規制当局と4,500万ドル規模の和解に達し、Cash Appのセキュリティに関する誤解を招く表現についての広範な調査を終結させた。今回の和解は、長年にわたり詐欺や不正なデータアクセスから利用者を保護できていないとの批判を受けてきたフィンテック大手のBlockにとって、重要な転換点になると見られている。

州政府連合は、BlockがCash Appを安全なプラットフォームとして宣伝しながらも、実際には詐欺取引を防止し、利用者アカウントを保護するために必要な適切な措置を講じていなかったと主張した。今回の法的措置は、フィンテック企業のセキュリティ責任に対する規制当局の強化された意志を示す事例として評価されている。

オレゴン州やペンシルベニア州を含む米国内のほぼすべての州政府の司法長官が、今回の大規模な和解に参加した。オレゴン州のダン・レイフィールド（Dan Rayfield）司法長官は、BlockがCash Appの安全性について消費者を欺き、プラットフォーム内での詐欺行為を放置していたと指摘し、今回の調査の背景を説明した。

「今回の和解は、フィンテック企業が成長を優先する過程で、消費者保護とセキュリティインフラの構築を疎かにしてはならないという強力なメッセージを伝えるものである。」

規制当局は、BlockがCash Appを安全な決済手段としてマーケティングしていたにもかかわらず、実際には詐欺的な取引や不正なアカウントアクセスに対する十分な防御体制を整えていなかったと批判した。特に、セキュリティ事故が発生した際のカスタマーサポートが適切に行われず、被害を受けた利用者が適切な助けを得られなかった点が主要な問題として提起された。

繰り返されるデータ流出とセキュリティ失敗の歴史

2026年7月に発表された今回の合意は、ブロック（Block）が過去に経験した複数のセキュリティ事故と密接に関連している。最も代表的な事例は2022年に発生した事件で、当時、ある元従業員が退職後も企業レポートに不正にアクセスし、約800万人のキャッシュアップ・インベスティング（Cash App Investing）利用者の情報をダウンロードしていたことが明らかになっている。

• 2022年、元従業員による不正なデータアクセスにより、800万人以上の利用者情報が流出する事故が発生。
• 2023年、一部の利用者アカウントで報告された不正取引および詐欺的な引き出し事例の放置。
• セキュリティ事故後の適切な顧客対応体制および被害救済インフラの構築失敗。

ブロックの2025年度財務報告書によると、同社は年間242億ドルの売上高と17億1,000万ドルの営業利益を記録し、強力な成長を維持している。このような膨大な財務規模と比較すると、4,500万ドルの和解金はブロックの総収益の極めて一部に過ぎないとの指摘が出ている。

規制当局は、今回の合意が単なる金銭的賠償にとどまらず、ブロックのセキュリティ慣行を根本的に改善する契機となるべきだと強調した。合意案には、将来のセキュリティ事故発生時に迅速な対応体制を整え、利用者保護のための技術的措置を強化すべきであるという条件が明記されている。

今回の州政府との合意とは別に、ブロックは民事集団訴訟にも直面しており、さらなる財務的リスクが予想される。データ流出事故によって実質的な被害を受けた利用者は、別途の訴訟を通じて1人あたり最大2,500ドルまで賠償を請求できる道が開かれている。

ペンシルベニア州の場合、今回の合意を通じて110万ドル以上の資金を確保することになり、これを今後の公共保護活動および消費者教育に投入する計画だ。ペンシルベニア州のデイブ・サンデー（Dave Sunday）司法長官は、今回の成果が州政府レベルでの消費者権利保護に向けた重要な進展であることを強調した。

オレゴン州も今回の合意を主導し、フィンテック業界の透明性強化を促した。ダン・レイフィールド（Dan Rayfield）司法長官は、消費者がデジタル金融サービスを利用する際、自身の資産と情報が安全に保護されているという確信を持てるようでなければならないと付け加えた。

結論として、今回の事件はフィンテック業界全体において規制当局の監視がより厳格になっていることを示唆している。急激な成長を追求する過程でセキュリティインフラを後回しにする企業は、今後、より大きな法的リスクと莫大な費用の支払いに直面することになると見られる。