「LHCグループのデータ漏洩」は、トリクターがない見出しである

誰もが、データ漏洩は悪いことだと認識しています。そして、調査を行っている法律事務所の話は、株主にとって不安な兆候の始まりのようです。このニュースの目的は、まさにその本能を利用しているのです。ただし問題は、そのお金をどこかで受け取っているかどうかです。

2026年9月初旬、LHCグループの患者たちは、サイバー攻撃によって自分の名前、社会保険番号、生年月日、医療情報や保険情報が公開されてしまったという通知を受け取りました。そのニュースが法律事務所のプレスリリースを通じて広まっていく中で、それはアメリカの健康データに関するよくあるパターンでした。つまり、従業員が何らかのボタンを押しただけだったのです。フィッシング詐欺身分証明書が盗まれ、患者データは4月7日から4月15日の間に第三者の技術ベンダーのプラットフォームを通じて送信されました。通知は9月になって初めて送られました。侵入が発見されてから150日後Edelson Lechtzin LLPという全国規模のクラスアクション法律事務所は、調査を行っていると述べており、被害者に対して無料のケース評価サービスを提供している。

これ以上読むと、株主が受ける損害を感じ取ることができるでしょう。間違った情報を読んでいることになります。

同社は、破壊される前に10月に倒産した。

見出しには書かれていない事実から始めましょう。LHCグループは2023年初頭以降、公開株として取引されていません。ユナイテッドヘルスグループのOptum部門が、54億ドルの取引で同社を吸収しました。2023年2月、そしてLHCの株式がナスダクから除籍された「LHCG」というトークンは、売却するためのものではありません。そのニュースが報じられた日にも、そういうものは存在しませんでした。訴訟に関する名前は子会社のものですが、損益計算書に記載されている名前はUnitedHealthです。

その単純な不一致こそが、投資の教訓です。この点をゆっくりと説明する必要があります。なぜなら、これが報道が隠している点だからです。見出しには会社名が記載されますが、財務諸表には実際に支払いを行う人が記載されています。もし両者が異なる会社である場合——一方は取引可能で、もう一方はすでに売却されている——その場合、ニュースでは取引できない企業について報じられてしまいます。一方で、所有できる企業は何も変わらず残っています。

さて、その害を計測してみよう。テキサス州とマサチューセッツ州の規制当局が提出した報告書によると、影響を受ける人々の数はおおよそ…16,900人のテキサス州の住民単独で、この事件は全国規模のホームヘルスやホスピスネットワークに及ぶ。そのような規模の請求金額が何であるかはわからないが、たとえ数千万ドル程度であっても、それは大まかな推定に過ぎない。3400億ドルほどの資産を持つ親会社に対して行われる訴訟となる。子会社に対するクラスアクションの場合、それは市場価値だけで、ここでの最悪の結果よりも2桁以上大きい。患者にとっては、過失が実際に存在する。しかし、株主に与える損害はそうではない。

プレスリリースを、リスクではなく製品として捉える

第二に破るべき習慣は、「調査」そのものをどのように読むかということです。エドルソン・レヒツィンの発表内容は、LHCグループに関するニュースではありません。これは、原告団体が発行するクライアント買収に関する文書であり、原告団体は複数の原告を集めて利益を得ているのです。そして、影響を受ける人々に対して無料の評価を受けるよう呼びかける形で終わっています。同じ会社が、同じ週にほぼ同じ内容の発表を行っているのです。スーツァイアーズ・チョイス・メディカルセンターおよびアライドヘルス「調査を開始する」ということが、商品の品質を決定するものであり、誰かの財務状況を評価するものではない、というような工場の流れです。

これは、患者側の弁護士に対する批判ではありません。投資家が何を考えるべきかについての警告です。弁護士から送られてくるマーケティングメールは、患者がパスワードを変更すべき理由になります。しかし、UnitedHealthやその他の健康データ企業の経営者がポジションを変更する理由にはなりません。セキュリティ違反のリンクをクリックして、被害者を想像する人々は、その見出しが意図している通り、注意をリスクの幻想に変えてしまっているのです。

「Breach」が実際に健康データの所有者に教えるもの

被害者名を取り除けば、真の脅威が残る。それは一時的なものではなく、構造的なものである。この侵入行為は、他の多くの事件と同じアーキテクチャを持つ第三者ベンダーのプラットフォームを通じて行われた。健康データのビジネスは、各ベンダーが蓄積した患者データを持っているという状況で成り立っており、攻撃面の規模は、どの企業も防ぐことができないほど大きくなる。この業界において、侵害は異常なことではなく、ビジネスを行う上での常態的なコストである。投資家は、単一の事件を独立した問題として扱うのではなく、医療業界全体にかかる定期的なコストとして捉えるべきだ。

この再定義によって、実際に重要な指標が明らかになります。それは、訴訟の数ではありません。見出しの中の分母となるのは、この事件で影響を受けた患者の数です。経済的な指標としては、支配的な事業者によるデータの集中化が挙げられます。UnitedHealthにとって、深刻なリスクは、1万7千人の患者が訴訟を起こすことではなく、支配的なデータ・ケア事業者に対する絶え間ない監視が、解決不可能な規制上や政治的なコストを生むことです。この事件自体は些細なものですが、その蓄積が問題となります。

ここで、コンセンサスが再び一つの立場に戻るのです。ユナイテッドヘルスの株式価格は、今年は約15％上昇し、過去120日間では約38％上昇しています。その後も、株価の将来予測される収益率は、過去の収益率よりも低いままです。市場は好調ですが、この好調な状況は、データ侵害に関するニュースがないからというわけではありません。つまり、これは何も変わりません。しかし、これが意味することは、ユナイテッドヘルスのリスクが、その種のニュースを無視するというコンセンサスによるものであり、ニュース自体によるものではないということです。「データ侵害は些細な問題だ」として留まる投資家は、そのメカニズムを正しく評価しており、今は逆の誤りに陥っているのです。つまり、3400億ドルの市場価値の上昇は、政治的な干渉や障害がない限り、成功を保証するということです。

反対の立場から読むと、問題が起きるのは、事態が悪化しすぎた場合のみです。つまり、大量のHIPAA違反による罰金が続き、FTCや州政府の厳しい措置が行われる、または違反の頻度が増えて、規制当局がその業界全体の損失を軽視するようになる時です。それが観察可能な問題状態です。そうなる前には、単純な結論があります。つまり、患者が被害を受けたが、実際に損害を受ける可能性のある株主は全くなかったのです。タイトルはLHC Groupです。その損失は、UnitedHealthの財務状況に影響を与えるでしょう。次の違反に関するニュースを見るときは、誰が今も会社を支えているのかを考える前に、誰が以前に支えていたのかを考えてみましょう。その答えによって、最終的に何を気にすべきかが決まります。