2026年10月12日〜10月18日のデジタルプライバシー関連ニュースをまとめてお届けします。
ヘッドライン
VPN・インターネット規制
Tor ProjectがMullvadとの関係を見直し、技術協力は継続しつつ共同プロモーションを停止
Tor Projectが、スウェーデンのVPN事業者Mullvadとの関係について、技術的な協力関係は維持する一方で、共同ブランディングや共同プロモーションは停止する声明を表明しました。
発端は、2026年6月にスウェーデンの新聞Flammanが、Mullvadの共同創業者で共同オーナーのDaniel Berntsson氏が、Örebro党（エーレブルー党）に2025年中に500万クローナを個人献金していたと報じたことです。この金額は同党の年間収入の72%にあたります。Örebro党は移民を大規模に国外へ送り返す「再移住（remigration）」を掲げ、その対象者を特定するために国民の指紋・虹彩・DNAを登録する国勢調査を提案しています。
監視や抑圧から逃れるためのツールを作っているTorコミュニティにとって、追放のために生体情報で住民を選別しようとする政党の最大のスポンサーがパートナー企業のオーナーだという構図は受け入れがたく、関係の解消を求める声が上がっていました。
それでもTorが関係を断てなかった背景には、資金の問題があります。MullvadはTor Browserをベースに開発されたMullvad Browserの対価としてTorに資金を提供しており、2023〜2024年度の決算では約140万ドル、Torの総収入の約19%を占めていました。これは米国務省に次ぐ第2位の資金源です。Torは声明の中で、プライバシーと検閲回避の分野は深刻な資金不足にあり、目標を前進させるためには難しい妥協が必要になることもあると率直に認めています。
コミュニティの反応は割れています。Tor Browserの開発者を名乗る人物は「対応が弱すぎる」として辞任を表明し、Mullvad Browserは実質的にTorが全面的に開発・ビルドしており、Mullvadは資金を出しているだけだと指摘しました。一方で、Mullvad Browserを失えばユーザーが困るのは確かであり、政治的な立場の違いがあってもプライバシー団体同士は協力すべきだという擁護の声もあります。Mullvad側は、献金は個人的なものであり会社は関与していないと説明したうえで、容認も非難もしない立場を取っています。
- Cyber Insider：Tor limits Mullvad ties to technical work amid funding controversy
- Tor Project：A statement on the Tor Project's relationship with Mullvad
イラン政府がインターネット速度の意図的な低下を公式に認める、Starlink遮断システムの全国展開も示唆
イラン政府の報道官Fatemeh Mohajerani氏が、当局が意図的にインターネット速度を引き下げることがあると公式に認めました。これまで速度低下は「技術的な障害」と説明されてきましたが、同氏は安全保障上の判断であることを明確にしました。
同時に、国家サイバースペースセンター長のMohammad Amin Aghamiri氏は、地上の通信端末だけでなく、Starlinkのような衛星通信端末も識別して遮断できるシステムを複数保有していると述べました。イラン暦のデイ月（2025年12月〜2026年1月）に特定の地域で実際に使用したとし、「全地域に展開可能だ」と強調しています。
年齢確認・SNS規制
フロリダ州の「14歳未満SNS禁止法」、「コンテンツ規制ではなく依存性機能の規制」と判断
米国の第11巡回区連邦控訴裁判所が、14歳未満の子どもによるSNSのアカウント作成を禁じるフロリダ州法「H.B. 3」について、下級審が出していた仮差止命令を全員一致で取り消し、州による執行を認めました。対象となるのは、動画の自動再生や無限スクロールといった「依存性のある機能」を持つプラットフォームです。14歳未満は保護者の同意があってもアカウントを作れず、14〜15歳は保護者の同意が必要になります。
Meta・TikTok・Snapなどが加盟する業界団体のNetChoiceとCCIAは、この法律が憲法修正第1条の言論の自由に反するとして2024年に提訴し、2025年に仮差止めを勝ち取っていました。しかし控訴裁は、H.B. 3はプラットフォーム上で語られる話題や思想とは無関係に適用されるものであり、コンテンツの規制ではないと判断しました。。
米国では多くの州が未成年のSNS利用を制限する法律を作っていますが、その大半は業界団体の訴訟で差し止められるか、保護者の同意があれば利用できる仕組みにとどまっています。年齢によって一律に禁止し、しかも控訴裁がそれを合憲と認めたフロリダ州のケースは例外的で、他州の法律をめぐる訴訟にも影響するとみられています。
監視・プライバシー
広告が表示されるだけで感染する「AdFection」 イスラエルの自称広告企業Discover-Techがスパイウェア配布の仲介役だったことが判明
トロント大学のCitizen Labと、広告セキュリティ企業のConfiantが、ターゲティング広告を通じてゼロクリック型スパイウェアを配布する手口を初めて技術的に実証しました。Citizen Labはこれを「AdFection」と名付けています。中心となっているのは、イスラエルの広告企業を自称するDiscover-Techです。
ユーザーがDiscover-Techの広告が掲載されたページを開くと、広告識別子やフィンガープリントを使ってその端末が標的かどうかを判定します。ほとんどのユーザーには何も起きませんが、標的と判定された端末では、広告のレンダリングと同時に悪意あるJavaScriptが実行され、ブラウザの脆弱性を突いてスパイウェアがインストールされます。クリックは一切不要です。悪意あるコードは広告を配信・表示する企業には渡らない設計になっており、広告ネットワーク側の検知をすり抜けていました。
Discover-Techの主要な顧客の一つが、2021年に米国商務省のブラックリストに載ったスパイウェア企業Candiruです。少なくとも45人の記者がこの経路で攻撃されたほか、数百万台の端末がCandiruのサーバーへ接続させられており、大規模な追跡と偵察に使われていたとみられています。Confiantの分析では、米国防総省・NATO・国際原子力機関・国際刑事裁判所など、安全保障上機微なネットワーク内の端末にも広告が表示されていました。
さらに研究者は、Dark Cartographerと呼ぶ別の脅威アクターが同じインフラを使い、携帯電話事業者の脆弱性を突いて端末の広告IDと電話番号を紐づけ、インターネット利用者の大規模な匿名性解除を行っていたことも突き止めました。このアクターのインフラは米国政府の請負業者ともつながっているとされ、詳細は別の報告書で公開される予定です。
Googleは研究結果を受けてDiscover-Techをベンダー登録から削除し、広告プラットフォームへのアクセスを遮断しました。
- The Record：Zero-click spyware infecting devices through online ads, researchers say
- Citizen Lab：Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware
オランダの消費者団体がMetaのAIカメラグラスを提訴、クリスマス商戦前に販売禁止の判決が出る可能性
オランダの消費者団体Consumentenbondが、MetaのAIカメラグラスをめぐってMetaを提訴しました。審理は11月26日にアムステルダム地方裁判所で始まり、判決は最長で2週間後に出る見込みです。つまり、クリスマス商戦の真っ只中に販売禁止の判断が下される可能性があります。
Consumentenbondの主張は2点です。1つは、このグラスが子どもを含む周囲の人を本人の認識も同意もなく撮影でき、撮影された映像からは政治的見解・宗教・健康状態といったセンシティブな個人データが読み取れるため、GDPRが求める厳格な正当化理由なしに処理することはできないという点。もう1つは、Metaがそうして撮影された映像を自社AIモデルの学習に使っているという点です。すでにオランダでは、Metaのグラスで盗撮された何百人もの女性や少女の映像が、盗撮サイトやTelegram上に出回っていることが報じられています。
MetaはLEDの点灯で録画を知らせ、改変を防ぐ対策も講じていると説明していますが、「撮られる側」の権利をどう守るかという問いには答えていません。
日本でもAIカメラグラスは販売されており、欧州の判決は先例となる可能性があります。
- NL Times：Dutch consumers org. also sues Meta over AI glasses; Hearing set for November 26
- RTÉ：EU watchdog says smart glasses must give 'clear warnings'
データ漏洩・セキュリティ
AIロボットコンパニオン「Eiliko」がユーザーの会話を中国のサーバーへ無防備に保存、約1,300万件の会話と子どものプロファイルが閲覧可能な状態に
日本の家電量販店でも販売されているEnergize Lab製のAIロボットコンパニオン「Eiliko」について、独立系の研究者Sammy Azdoufal氏が、ユーザーの会話や写真を中国のサーバーへ送信したうえ、第三者が容易にアクセスできる状態で保存していたことを明らかにしました。
問題は3つあります。第1に、Eilikoは会話や写真をAlibaba Cloudなど中国のサーバーに送信し、名前・年齢・誕生日・職業・家族構成・性格といったプロファイルを自動生成して、IPアドレスやメールアドレスと紐づけた状態で保存していました。音声や画像は暗号化されずに公開URL上に置かれており、「音声データは暗号化して処理後すぐに削除する」としているプライバシーポリシーと矛盾しています。
第2に、アクセス制御がきわめて弱く、アプリとクラウド基盤の不備から認証情報が露出し、管理パネルに管理者権限でアクセスできる状態でした。研究者が確認できた範囲で、稼働中とみられる約68,000台分、約1,300万件の会話が閲覧可能で、そこには米国の子ども31,000人以上のプロファイルが含まれていました。
第3に、遠隔からロボットの記憶を書き換えて嘘の情報を信じ込ませたり、人格を攻撃的なものに変えたりすることができました。子どもが毎日話しかける相手の「性格」を、第三者が外から書き換えられるということです。
研究者はEnergize Labに連絡を試みましたが実質的な返答がなく、公開に踏み切りました。記事公開時点で修正されたかどうかも確認できていません。
最新のプライバシーニュースは、X（@vpn_taizen）でご確認ください。
