2026年8月3日〜8月9日のデジタルプライバシー関連ニュースをまとめてお届けします。
ヘッドライン
VPN・インターネット規制
「ノーログ」を謳ったロシアのVPNから5,800万件の接続ログが流出
ロシアのVPNサービスSplitVPN（旧称NotVPN）から、データ漏洩が確認されました。インシデントの経緯について、SplitVPN側からの報告はありません。
サイバー犯罪フォーラム上で同サービスから盗まれたとされる17GBのSQLデータベースが出回っており、Mysteriumの調査チームが検証した結果、約2,340万件のユーザー記録、1,360万件のデバイス記録、260万件の決済記録、そして5,800万件の接続ログが含まれていることが確認されました。
同サービスは「アクティビティログや接続ログは一切保存しない。100%のプライバシーを保証する」と宣伝していました。ところがデータベースには「どのデバイスが、どのサーバーに、いつ接続したか」を記録するテーブルが含まれ、記録は侵害当日まで途切れず続いていました。メールアドレス、IPアドレス、おおよその位置情報、契約状況、ハードウェア識別子、カード下4桁といった他のテーブルと突き合わせれば、誰がいつどのサーバーに接続したかを個人単位で再構成できます。
ユーザー層はロシア、イラン、インド、ミャンマーに集中しているとされます。国家の検閲を回避するためにVPNを使う人々にとって、この記録は「検閲回避の事実」を本人に結びつける文書として機能してしまいます。
第三者が検証できない「自称ノーログ」がいかに危ういかをあらためて示した事例です。
Proton、Chromiumベースの独自ブラウザ開発に着手か
Proton MailやProton VPNを運営するスイスのProtonが、ブラウザ開発チームのソフトウェアエンジニアを募集していることが求人票から明らかになりました。
求人には「プライバシーを最優先し、世界中で何百万人にも使われるインターネットブラウザ」に取り組むチームだと書かれており、Chromiumベースのブラウザの構築・保守の経験が求められています。
Protonはメール、VPN、クラウドストレージ、オフィススイート、パスワードマネージャーへと製品群を広げてきました。CEOのAndy Yen氏はかねて「Googleのエコシステムに対する代替を提供したい」と語っており、ブラウザはその構想に残された大きなピースにあたります。
GoogleのエンジンであるChromiumを土台に選ぶ点には批判もありますが、BraveやVivaldiのようにGoogleのサービス連携やテレメトリを取り除いた実装は可能です。
データ漏洩・セキュリティ
iOSのWebKitに実IPアドレスが漏れる3つの経路 プライベートリレーやiOS版Torにも影響
セキュリティ研究者のMysk氏が、iOS・macOSのWebKitに、ブラウザが設定したプロキシを迂回してデバイスから直接通信してしまう機能が3つあることを公表しました。
- DNSプリフェッチ（iOS 26.0以降）：ユーザーの実際のDNSサーバー
- パスキーの仕組みであるWebAuthnのRelated Origin Requests（iOS 18.0以降）：デバイスの実IPアドレス
- 低遅延通信のWebTransport（iOS 26.4以降）：デバイスの実IPアドレス
細工したWebページを開くだけで発動し、ユーザー操作は不要です。
AppleはiOSのすべてのブラウザにWebKitの使用を義務付けているため、この問題はSafariに限らず、iOS版Torブラウザを含むプロキシ型ブラウザ全般に影響します。iCloud+の有料機能であるプライベートリレーでも、同じ経路で実IPが漏れることが確認されています。
一方、VPNはデバイスの通信全体をシステムレベルでトンネリングするため、3つの経路のいずれの影響も受けません。
発見者のMyskは検証用サイト（leaks.psylo.app）を公開しており、自分の環境でリークが起きるかを確認できます。Appleは404 Mediaに対して調査中だと回答していますが、修正時期は明らかにしていません。
- Mysk Blog：IP and DNS Leaks in WebKit Affecting Proxy Browsers and Apple iCloud Private Relay
- 404 Media：Apple's Private Relay Is Exposing Users' Real IP Addresses
Microsoft 365のCopilotを悪用 一般社員のアカウント1つからCEOの送金指示に至る概念実証
セキュリティ企業BarracudaのRed Teamが、Microsoft 365に組み込まれたAIアシスタントCopilotを悪用するビジネスメール詐欺（BEC）の概念実証を公開しました。一般社員のメールアカウントを1つ乗っ取るだけで、CEOアカウントの乗っ取りと約25万ドルの不正送金指示までを、わずかな技術的労力でつなげられることを示しています。
手順はこうです。攻撃者はまずCopilotへの指示で、サインイン通知を削除済みアイテムへ隠す受信トレイルールを作らせます。次にCopilotに組織構造と進行中の会話を要約させ、標的としてCEOを特定します。実際のメールスレッドを文脈に、被害者本人の口調でCEO宛のメールをCopilotに作成させ、リンク先の中間者プロキシでセッショントークンを傍受して多要素認証を回避します。CEOのメールボックスに入った後は、Copilotに財務関連メールの要約を頼むだけで承認待ちの送金案件が数秒で見つかり、CEOの文体で振込先変更を求める指示メールが作られます。最後に、財務チームからの返信を外部へ転送するルールで発覚を防ぎ、Copilotに痕跡の削除までさせます。
指示メールは本物のCEOのメールボックスから送られるため認証チェックをすべて通過し、従来のメールフィルターでは検知が困難です。
Barracudaは、この手法はCopilot固有ではなく、受信トレイへのアクセス権を持つAIアシスタント全般に共通すると指摘しています。アカウントが1つ侵害された時点で、AIアシスタントは社内事情に精通した内部協力者のように機能してしまうため、AIが有効なアカウントの監視や受信トレイルールの悪用検知を、メールセキュリティの中核に据える必要があります。
- Cyber Security News：Hackers Can Weaponize Microsoft Copilot to Hijack CEO Accounts and Redirect Wire Transfers
- Barracuda：AI-enabled email accounts: The insider threat
監視・プライバシー
Flock、Uber・Lyftドライバーのドラレコ35万台を監視網に組み込む計画を売り込んでいた
米国でナンバープレート自動読取（ALPR）カメラ網を展開するFlock Safetyが、ドライブレコーダー企業Nexarとの提携により、Uber・Lyftや配達サービスのドライバーが使う車載カメラ約35万台をナンバープレートデータの収集に組み込む計画を売り込んでいたことが分かりました。
ジョージア州司法長官室向けのプレゼン資料に記載されていたもので、同州の住民が情報公開請求で入手し、404 Mediaに提供しました。Flockは404 Mediaに対し、提携は実行していないと回答しています。
Flockのカメラは通常ポールに固定され、通過する車両のナンバー、色、車種を常時記録します。Nexarとの提携が実現していれば、この固定カメラ網が街中を走り回る移動式の監視網に拡張されるところでした。ドライバー本人やUber・Lyftがこのデータ収集を認識していたかは不明です。
なお、Nexarは2025年9月に不正アクセスを受け、顧客のカメラが撮影した数テラバイト分の映像データベースへの侵入を許した経緯があります。クラウド接続型のドライブレコーダーが記録する映像や位置データが、本人の知らないところで第三者の監視インフラに転用されうるという構図は、この種のデバイス全般に共通する論点です。
EFF調査 ウェアラブル健康デバイスでエンドツーエンド暗号化を提供するのはApple Watchのみ
ウェアラブルデバイスが収集する健康データは最も個人的なデータの一つでありながら、業界全体で保護が立ち遅れている実態が明らかになりました。
米国のデジタル権利団体EFFが、Apple、Google（Fitbit含む）、Garmin、Oura、Whoop、Polarなど消費者向けウェアラブル健康デバイス主要10社のプライバシー実務を調査しました。米国では約40%の人が何らかのウェアラブル健康デバイスを所有していますが、政府からのデータ要求件数を開示する透明性レポートを公開しているのはAppleとGoogleの2社だけでした。
ウェアラブルが集める心拍、睡眠、位置情報などのデータは、マーケティングや保険料率の算定、AIモデルの学習に使われるほか、刑事捜査で個人の所在特定に使われた事例もあります。
それにもかかわらず、クラウド上の健康データを事業者自身も読めない形にするエンドツーエンド暗号化を提供しているのは、Apple Watch（ヘルスケアアプリに保存されるデータ）のみでした。GarminやPolarの一部機種はクラウド同期なしのローカル運用が可能ですが、機能が制限されます。
EFFは、エンドツーエンド暗号化はオンデバイス処理が必要になるためウェアラブルでは実装のハードルが高いと認めつつ、最低限の対応として、暗号化またはローカル保存を選択肢として用意すること、そして法執行機関からの要求に関する透明性レポートを公開することを各社に求めています。
年齢確認・SNS規制
「テキサス州がアニメを禁止した」と激昂 州知事事務所を脅迫した男が逮捕
テキサス州で、州知事事務所の住民対応ラインに脅迫的な留守電を残したヒューストン在住の35歳の男が逮捕されました。
政府に影響を与える目的のテロ的脅迫の罪（第三級重罪）で訴追されており、有罪となれば最長10年の拘禁刑と最高1万ドルの罰金が科されえます。男は「アニメが見られなくなった」ことに怒っており、「俺のGoogleアカウントには18歳以上だと登録されている」と主張していました。
実際には、テキサス州はアニメを禁止していません。裁判所の供述書には、男がどの作品をどのサイトで見ようとしたのかは記載されていませんが、同州は近年の州法で成人向けサイトとアプリストアの双方に厳格な年齢確認を義務付けており、「Googleアカウントの年齢」への言及はこの仕組みを指しているとみられます。
また、2025年9月に施行された州法SB 20は、未成年者を描いたわいせつな素材の所持を、デジタルアニメーションや漫画も含めて重罪としておいますが、対象の曖昧さからプラットフォームが自主的に作品を取り下げた可能性もあります。ただし、こちらはGoogleアカウントの年齢とは関係がありません。
英語圏で「anime」という語は、アニメーション作品そのものではなく絵柄を指して使われることも多く、規制をめぐる文脈では成人向けイラストの隠語として使われる場合もあります。年齢確認やコンテンツ規制の運用が広がるにつれて、何が規制され、なぜアクセスできないのかが利用者から見えにくくなっていることを示す出来事です。
- FOX 26 Houston：Houston man arrested for threatening governor's office over online content restrictions: affidavit
最新のプライバシーニュースは、X（@vpn_taizen）でご確認ください。
