2026年7月27日〜8月2日のデジタルプライバシー関連ニュースをまとめてお届けします。
ヘッドライン
VPN・インターネット規制
ロシア、Telegram創業者ドゥーロフ氏をテロ活動幇助の容疑で起訴
ロシア連邦保安庁（FSB）は7月29日、Telegram創業者のパベル・ドゥーロフ氏をテロ活動幇助の容疑で起訴し、国際指名手配リストに掲載すると発表しました。
FSBと国家捜査委員会は、Telegram上で人気の出会い系チャットボット「Daivinchik/Leo」がウクライナの特務機関による勧誘に悪用され、過去1年間で12歳から22歳のロシア人46人が、警察官への攻撃やインフラへの放火を実行しようとして逮捕されたと主張しています。Telegramはロシア・ウクライナ双方の当局者や兵士が使う「仮想の戦場」と呼ばれており、ウクライナ側の利用を排除しなかったことが問われた形です。
ドゥーロフ氏はロシア出身ですが、2014年に当局の圧力を受けてロシア版FacebookにあたるVKontakteの株式を売却して国を離れ、現在はドバイを拠点にUAEとフランスのパスポートを保持しています。2024年にはフランスでも、プラットフォーム上の犯罪への対処が不十分だとして逮捕されており、東西双方から訴追圧力を受ける立場になりました。
ロシアがインターポールへ国際手配書（レッド・ノーティス）を要請するのかは不明で、ロシアと友好関係にあるドバイが引き渡しに応じるのかも今後の焦点です。
なお、ロシア国内ではTelegramがすでに事実上の速度制限を受けており、一般のロシア国民はVPNなしにはアクセスできない状態にあります。一方で、クレムリンや国防省は今も日常的にTelegramで発信を続けています。
年齢確認・SNS規制
ニューヨーク州、SAFE for Kids Actの最終規則を確定 VPN利用者の特定義務も
ニューヨーク州は7月28日、未成年者への「中毒性のあるフィード」を規制するSAFE for Kids Actの最終規則を確定しました。
ホウクル知事とジェームズ司法長官が発表したもので、対象プラットフォームは2027年1月25日までに対応を済ませなければ、違反1件あたり5,000ドルの罰金を科されます。
対象となるのは、ユーザーがアクティブ時間の20%以上をアルゴリズム型フィードの閲覧に費やすプラットフォームで、InstagramやFacebook、TikTok、YouTube、Snapchat、Xなどが該当します（全世界の月間ユーザー500万人未満、または未成年ユーザー2万人未満のサービスは除外）。
主な義務は次のとおりです。
- 保護者の明示的な同意なしに、未成年者へアルゴリズム駆動型フィードを提供しない
- 同意なしに深夜0時から午前6時の間、未成年者へ通知を送らない
- 同意を迫る「ダークパターン」の禁止
- 認証された年齢保証手法で未成年者と成人を区別し、偽装年齢の98%以上を検出する
- 年齢確認のために収集したデータは直ちに暗号化し、判定後は直ちに削除する
年齢確認の精度についても数値基準が定められ、成人を未成年者と誤判定する誤検知の許容率は、17歳で最大15%、8歳未満で0.1%以下とされました。確認手法としては顔による年齢推定、身分証の提出、メール記録の照合が挙げられ、ソーシャルメディア企業に直接情報を渡さずに第三者経由で年齢を証明する「ゼロ知識証明」の利用も想定されています。
Google、「Play Age Signals API」を全世界に展開へ
Googleは、これまでブラジルでのみ提供してきた「Play Age Signals API」を、全世界のPlay開発者へ拡大すると発表しました。8月中旬までにオーストラリアとカナダのユーザーへ展開し、年内に全ユーザーへ広げる計画です。
このAPIは、アプリごとに年齢確認を繰り返す代わりに、Googleが確認した年齢シグナルをアプリへ渡す仕組みです。
柱は2つあります。1つは年齢確認で、地域の法令に応じてGoogleが確認を行い、アプリには「18歳以上かどうか」といった必要最小限の情報だけを渡します。もう1つは保護者向けのファミリー リンク連携で、保護者が子どもの年齢層（例：16〜17歳）を設定すると、APIを利用するアプリへ年齢層のみが共有されます。年齢層がデフォルトで共有されることはなく、保護者はいつでも設定を変更・停止できます。
生年月日や身分証をアプリごとに提出するより漏洩リスクを抑えられる一方、GoogleやAppleが年齢のゲートキーパーになる構図でもあり、年内の全世界展開により日本のアプリ開発者・利用者にも影響が及ぶことになります。
- Android Developers Blog：Delivering safer, age-appropriate experiences on Google Play
メッセージング・プライバシー
Signal、電話番号なしでの登録に向けた実装が進行中
Signalのサーバーコードに、電話番号なしでアカウントを登録できるようにするための変更が相次いで追加されていることが、Signal専門ニュースサイトAboutSignalの分析で分かりました。電話番号のないアカウントに関する登録ロックの扱い、地域コードの取得、鍵操作の制限といったバックエンドの整備が進んでおり、公式発表はないものの、電話番号不要の登録が実装に向けて動いていることを強く示唆しています。
暗号メッセージアプリではSignalが定番ですが、登録に電話番号が必要という点が長年の課題とされてきました。電話番号が不要なアプリも複数開発されているものの、セキュリティ対策の甘さ、ユーザー数が少なく検証が不十分、UIが使いにくい、運営資金の不足といった理由で、結局は実績のあるSignalが選ばれ続けているのが実情です。それだけに、Signal本体が電話番号不要になる意味は大きいといえます。
コミットの内容からは、電話番号ありのアカウントとなしのアカウントは別種類として扱われ、後から電話番号を追加・削除する切り替えはできない、つまり当面は新規アカウントのみが対象になる可能性が読み取れます。
また、SignalのCTOであるEhren Kret氏は3月に収録されたカンファレンス動画で、電話番号を外す際の最大の課題はスパム・悪用対策だと述べ、「電話番号なしのサインアップに何らかのコストを課す方法を見つける必要がある」と語っています。有料オプションになる可能性も含め、どのような形で実装されるかが注目されます。Kret氏は年内の実現を目指したいとも述べていました。
AI・セキュリティ
Word文書経由で自己増殖する、Copilotの「AIワーム」が公開される
ノルウェーのデータサイエンティストHåkon Måløy氏が、WordとCopilotの組み合わせで自己増殖するプロンプトインジェクション攻撃を公開しました。Word文書に見えない形（概念実証では小さな白い文字）で悪意ある指示を埋め込んでおくと、その文書を読み込んだCopilotが指示に従い、生成する文書内の数値を改変したうえで、ワーム自身を新しい文書へコピーします。感染した文書を別の従業員が自分の作業に使えば同じことが繰り返され、拡散するほど感染源の特定は難しくなります。攻撃者に必要なのは細工した文書を被害者に共有することだけで、Microsoft 365テナントへのアクセス権は要りません。
Måløy氏は2026年3月からMicrosoftと非公開で対策を協議してきましたが、モデル更新を含む2度の緩和策でもこの脆弱性クラスは塞げず、144日の調整期間を経て公開に踏み切りました。
同氏が強調するのは、これが個別のバグではなくLLMの構造的欠陥だという点です。AIアシスタントは文書やメールなど攻撃者が制御しうるデータを処理しなければ役に立ちませんが、攻撃が含まれているかを判定するにはそのデータを処理する必要があり、その時点で攻撃の影響を受けうる。検出用のモデルを前段に置いても、問題が一段外へずれるだけだと指摘しています。
利用者側で完全に防ぐ手段はなく、Måløy氏は、外部から入手した文書は信頼できないものとして扱い、Copilotに渡す前と、Copilotが生成・編集した文書を配布する前に、内容を丸ごと確認するよう勧めています。
- The Register：Word worm crawls into Copilot, spreads chaos
Gemini Spark、Chromeの保存済みパスワードでログインが必要なサイトも操作可能に
Googleは、AIエージェント「Gemini Spark」をChromeと連携させる「Chrome auto browse」を発表しました。ユーザーの許可のもと、Sparkがログイン済みのアカウントや保存済みパスワードを使ってウェブサイトを操作し、フライトの調査から予約手続きの開始、保存しておいた物件の内見予約といった作業を代行します。まずは米国で提供が始まり、他地域へは順次拡大するとしています。
安全策としてGoogleは、プロンプトインジェクションへの耐性と、決済のような機微な手順ではタスクを人間に戻す設計の2点を挙げています。
ただし公式情報は全体に曖昧で、どこまで防げるのかは読み取れません。前項のCopilotワームの研究者が指摘するとおり、プロンプトインジェクションを確実に防ぐ手立ては現時点で存在せず、パスワードという最も機微な情報を扱うエージェントにどこまで任せてよいかは、慎重に見極める必要があります。Google自身も、機密と考えるタスクをSparkにスケジュールしないよう警告を添えています。
- Notebookcheck：Google Gemini Spark now uses your saved Chrome passwords
最新のプライバシーニュースは、X（@vpn_taizen）でご確認ください。
