監視 on Arpokrat

SignalTrace、欧州は自らに許さない監視を輸出する

Tue, 01 Sep 2026 00:00:00 +0000

灰色のセダンが時速 110 キロで高速道路のガントリーの下を通過する。支柱に固定されたカメラがナンバープレートを読み取り、時刻を付し、記録する。目新しいことは何もない。この装置は二十年前から存在し、北米でも欧州でも数万台規模で設置されている。

だが、そのガントリーにイタリアのレオナルド社が 2026 年 6 月から販売しているユニットが取り付けられていたなら、いま記録されたのはそれだけではない。運転者の iPhone。同乗者のワイヤレスイヤホン。ダッシュボードのスマートウォッチ。カーオーディオ。グローブボックスの中の接続キーホルダー。四本のタイヤの空気圧センサー。上着に入れたままの入館カード。そして後部座席で犬が眠っていれば、その個体識別チップまで。

十数個の識別子、一枚のナンバープレート、一つの位置、一つの時刻。これを路線網のガントリーごとに繰り返せば、追跡しているのはもはや一台の車ではない。人を追跡しており、しかも誰と一緒に移動しているかまで分かる。

この装置が実際に行っていること

製品名は SignalTrace。Leonardo US Cyber and Security Solutions が販売し、米国市場で最も普及した自動ナンバープレート読取装置の系列のひとつである ELSAG シリーズを補完する。その存在は 2026 年 6 月 8 日、Joseph Cox がメーカーの製品資料をもとに 404 Media で明らかにした。

決定的な点は一文で足りる。新しいカメラの話ではない。SignalTrace は、すでに設置済みのナンバープレート読取装置に追加される無線センサーだ。支柱は変わらず、設置場所も変わらず、路側の機材の外観も変わらない。変わるのは、その機材が何を聴いているかである。

センサーは、車内の機器の Bluetooth、Wi-Fi、RFID の各プロトコルが平文で発信する識別子を記録する。しばしば誤解される技術的な点として、いかなる機器も侵入されておらず、いかなる脆弱性も悪用されていない。Bluetooth や Wi-Fi の機器は常時ディスカバリー用のフレームを送出する。プロトコルがそう設計されているからだ。イヤホンは携帯電話に見つけてもらうために自らの存在を告げ、携帯電話のほうも既知のネットワークを探して周囲の空間に問い合わせている。これらの発信は構造上公開されており、受信範囲内のどんな受信機にも聞こえる。

レオナルド自身、このシステムはナンバープレート読取装置の有無にかかわらず、屋内も含めて機能し、プレートを覆い隠すか外した車両も識別できると明記している。

真の政治的争点は、この後付け改修にある。新しいカメラ網を敷設すれば、採決や審議、時には訴訟が生じる。すでに承認済みの筐体に基板を一枚加えても、何も生じない。監視能力は公の議論を経ずに性質を変える。物理的には新しく見えるものが何もないからだ。

車両から個人へ、個人から集団へ

ナンバープレート読取装置は一つの問いに答える。この車両はどこにいたか。SignalTrace はそこに二つ加える。誰が乗っていたか、そして誰と一緒だったか。

レオナルドはそれを隠さない。それこそが売り文句である。システムは資料が電子指紋と呼ぶもの、すなわち「頻繁に一緒に発信される」識別子の集合を構成する。メーカーの挙げる例は明快だ。街全体を見渡しても、iPhone 13rev2、アウディのカーオーディオ、Bose のヘッドホン、Garmin の時計、鍵のトラッカー、そしてナンバー ABC-1234 を同時に結びつける車両は一台しかない。

この製品は車両を追跡するだけではない。誰かが最小限の嫌疑を述べるまでもなく、人と人との関係グラフを自動的に生成する。

質的な飛躍はここで起こる。定期的に一緒に移動する機器を相関させることで、システムは機械的に社会的関係のグラフを構築する。毎朝同じ車に居合わせる二台の携帯電話は、相乗りか、あるいはどちらも公にしたくない関係かのいずれかだ。同じ場所に同じ時刻に捕捉された五十台の機器は、集まりである。デモ、宗教儀式、労働組合の会合、あるいはクリニック前の行列。

これらの結論はいずれも通信の内容にアクセスする必要がない。近接テーブルから、既定の動作として、指定された対象ではなく移動中の全人口について導き出される。あらゆる捜査に先立って産業的に生産される、連座による有罪視である。Center for Democracy & Technology の法務担当 Tom Bowman は、TechNewsWorld 誌上でこの問題をこう要約する。本物の容疑者を追跡するのにこの道具を有用にしている性質は、そのまま他のすべての運転者を追跡する能力でもあり、その誰一人として自分の機器の記録に同意していない、と。

レオナルドは二つの反論を示す。システムは通信の内容を復号も読解もしない。そしてシステム自体が個人を特定するわけではない。どちらも事実であり、どちらも論点を外している。求められている情報はもとより内容ではなく、位置のメタデータにある。それはメッセージよりも雄弁だ。特定についても、電子的な署名をナンバープレートに結びつけ、そこから登録簿を辿って所有者に至ることができると、メーカー自身が認めている。

別の目的のために書かれた米国法

米国では、ナンバープレート読取装置を規律する州法が存在し、保存期間やアクセス目的について厳格なものもある。しかしそのすべてが、ある明確な対象を軸に起草されている。ナンバープレートの画像である。同じ機材が個人の機器の識別子を捕捉することを想定した法律は一つもない。

このずれは違法性を生むのではなく、売り手にとって好都合なグレーゾーンを生む。警察当局は嘘をつくことなく、自らのナンバープレート読取プログラムは認可済みで適法だと主張しながら、同じ制度のもとでまったく異質なデータを収集し始めることができる。しかもレオナルドは特殊作戦軍と一般調達局との連邦契約を持っており、これは地方の承認手続きを大幅に回避する調達経路である。

憲法上の議論のほうは、まさに動いたところだ。この夏に法状況が変わったため、ここは正確に述べる必要がある。2026 年 1 月、バージニア州の連邦地裁は Schmidt v. City of Norfolk 事件において、市の Flock カメラ網は住民の移動の全体を捕捉するものではないとして、修正第四条にいう捜索には当たらないと判断した。この判断は第四巡回区で控訴審に係属しており、ACLU が参加している。

続いて 2026 年 6 月 29 日、連邦最高裁は Chatrie v. United States を言い渡した。ケイガン判事執筆の五対四の判断で、警察が携帯電話の位置データを取得することは捜索に当たるとし、個人は当該データについて、第三者が保有していても、また短期間であっても、合理的なプライバシーの期待を保持するとした。この判決は 2018 年の Carpenter v. United States を延長し、第三者法理を弱めるものだと CDT は指摘している。

Chatrie が SignalTrace に及ぼす射程は確定していないし、そうでないと断じるのは軽率だろう。この判決が扱うのは Google に対して求められたデータであり、公共空間で警察のセンサーが直接捕捉する事例ではない。しかし重要な理路を据えた。位置データの機微性は、それを誰が保有しているかによって左右されない、という理路である。

欧州の問題こそが本当の問題

この案件が欧州にとって居心地の悪いものになるのはここからだ。レオナルドは米国のサプライヤーではなく、ミラノ上場のイタリア企業であり、筆頭株主はイタリア経済財務省で、資本の約 30 % を保有し、取締役会の過半数を指名する権限を持つ。この製品においてイタリア国家は受動的な株主ではない。

まず技術的な論点

欧州法において、機器の識別子は個人データである。これは学説上の見解ではなく、監督機関の一貫した立場だ。フランスの CNIL は来場者数計測装置に関する指針で MAC アドレスを明示的にそう扱い、公共空間での収集は狭い条件下でしか認めない。個人間の衝突率を高くしたうえで数分以内に匿名化するか、信頼できる仮名化ののち二十四時間以内に破棄するか、いずれでもなければ同意が必須となる。同じ指針は、Wi-Fi を切るよう来場者に呼びかけることは受け入れ可能な異議申立ての方法ではないとも明記している。

欧州連合司法裁判所は 2025 年 9 月 4 日、EDPS 対 SRB 事件（C-413/23 P）で、仮名化データの個人性は合理的に動員しうる再識別の手段に照らして判断されると明らかにした。ところがここでの保有者は警察当局であり、車両登録簿を手元に持っている。再識別の手段は仮定の話ではなく、隣の部屋にある。

すべてを変える微妙な差異

SignalTrace が「欧州では違法だろう」と書くのは誤りであり、法律家の読者なら即座に気づくだろう。犯罪の予防および訴追を目的として権限ある当局が行う処理は GDPR の適用対象ではない。それは指令（EU）2016/680、いわゆる警察・司法指令の適用対象であり、各加盟国が個別に国内法化している。フランスでは情報処理・自由法の第三編がこれにあたる。CNIL は、この制度が独自の適法性の根拠と独自の権利を備えた自律的なものであることを指摘している。

したがって正しい問いは抽象的な適法性ではなく、条件の問いである。この制度のもとでは、この種の装置には明示的な国内法上の根拠、特定された目的、証明された必要性、限定された保存期間、影響評価、そして独立した監督が必要となる。フランスではナンバープレート読取装置がまさにそのように規律されている。国内治安法典 L233-1 条および L233-1-1 条が、その使用を認める犯罪の限定列挙を定めており、保存期間は原則十五日と欧州連合内でも最短の部類にとどまる。上院の法案がこれを延長しようとしてはいるが。

ここが米国の状況との根本的な違いである。米国では法律が対象、すなわちプレートを規律しており、機器の識別子についての沈黙は許可を意味する。欧州では法律が目的とデータの類型を規律しており、その沈黙は明示的な法的根拠を欠く以上、むしろ禁止を意味する。大西洋の向こうで観察される空白は、こちらでは同じ形では存在しない。欧州のほうが高潔だからではない。法技術が逆なのである。

ではその保護に何の意味があるのか

そこで本稿の核心となる問いが残る。加盟国に支配された欧州企業が、新法なしには自国で配備できない能力を欧州域外へ売るとき、欧州の規制による保護には何の意味があるのか。

反論は真剣に受け止めるに値する。製造者は顧客の法的枠組みに責任を負わない。自国で何を認めるかを決めるのは米国の当局である。製品は独裁国家にではなく、Chatrie が示したばかりのとおり活発な最高裁を備えた法治国家に売られている。そして産業主権の議論も正当だ。欧州企業がこの市場を自ら禁じれば、イスラエル、米国、中国のサプライヤーがそれを取り、監視は一メートルも後退しないまま、欧州は技術基盤を失う。

これらの議論は受け入れうる。だが問題への答えにはなっていない。

第一に、欧州連合はすでに、監視手段の輸出が通常の商取引ではないと認めているからだ。デュアルユース品目に関する規則（EU）2021/821は第 5 条にサイバー監視品目を対象とする包括条項を導入した。製造することが合法な道具でも、仕向地では正当性を欠きうると立法者が認めたからである。その限界は示唆に富む。発動要件は国内弾圧や重大な人権侵害のおそれであり、権威主義体制を想定した類型だ。米国の自治体警察への売却はそこに入らない。欧州の判定枠組みは顧客の道徳性を審査するのであって、売られる能力の性質を審査することはない。

第二に、この種の製品は捌くべき在庫ではなく、維持される能力だからだ。それは研究に資金を供給し、技術者を育て、ノウハウを蓄積し、設置基盤を作る。大規模なテロがある加盟国にこの能力を求めさせる日が来たとき、議論はもはやそれを構築すべきかどうかではない。それはすでに存在し、欧州製で、成熟しており、供給者は部分的に公的機関である。「市場に従っているだけだ」という論法はそのとき循環論法になる。国内市場は輸出によって準備されていたのだから。

このシナリオにおける規制の保護とは、つまりそういうものだ。欧州人を用途からは守るが、手段の存在からは守らない。誰がボタンを押す権利を持つかという問題は解決し、それを作り、売り、改良し、そして待つことは産業界に委ねる。

自分をごまかさずに、できること

まず挙がる答えはいつも MAC アドレスのランダム化である。宣伝でも中傷でもない、公正な検討に値する。それは実在し、機能する。

Android はバージョン 10 以降、iOS はバージョン 14 以降、Wi-Fi で用いる MAC アドレスを既定でランダム化し、ネットワークごとに異なるアドレスを用いる。Bluetooth Low Energy では、現代の機器は解決可能プライベートアドレスを送出する。これは定期的に変化し、解決鍵を持つ相手にしか実機と結びつけられない。

その限界もまた実在する。

ペアリングが扉を開け直す。 解決鍵はペアリング時に渡される。すでにペアリング済み、あるいは明示的に承認された機器は、回転するアドレスの背後にある安定した同一性を取り戻す。この仕組みはそのために設計されている。
多くのモノは何もランダム化しない。 タイヤ空気圧センサー、RFID カード、動物の個体識別チップ、カーオーディオ、安価な周辺機器は固定の識別子を発信する。レオナルドの製品資料はまさにこれらの類型を挙げており、偶然ではない。
ランダム化は無効化できる。 ネットワークごとに切れるようになっており、家庭用ルーターの MAC フィルタリングのためや企業ポリシーにより、利便性から切られていることも多い。
集団は識別子の交替を生き延びる。 これが最も直感に反し、最も重要な点だ。SignalTrace は識別子を探しているのではなく、一緒に移動する機器の集合を探している。集団のうち一つでも固定識別子を発信すれば、他がどれほど規律正しくとも、集合全体が結びつけ可能なままである。

最も効果的な対策は、最も退屈なものにとどまる。発信しないことだ。それには、ショートカットパネルからではなく、設定のなかでシステムレベルで Bluetooth と Wi-Fi を無効化する必要がある。この区別は表面的なものではない。携帯電話による恒常的な位置追跡についての記事で詳述したとおり、大半のコンシューマー向けシステムでは、クイックパネルのボタンは可視のペアリングを切るだけでソフトウェアスタックは生かしたままにし、近接分析は続く。その記事は Bluetooth スキャンを理論上の経路として記述していた。SignalTrace はその商用製品であり、カタログに載り、納品可能である。

結果については正直でいる必要がある。これらの対策は露出面を減らすが、消し去るわけではない。車両はやはりナンバープレートであり、ナンバープレートはやはり読み取られる。何も発信しない唯一の方法は何も持ち歩かないことであり、それは公共政策にはならない。

これが我々の設計思想について語ること

Arpokrat において、Bluetooth を設定のレベルではなく ArpokratOS の Core のレベルで扱うことにしたのは、まさにこの理路による。インターフェース上のスイッチはユーザーの選好にすぎない。更新、システムアプリ、位置情報サービスがそれを迂回したり再有効化したりしても、ユーザーは気づかない。存在しないスタックは再有効化されない。

SignalTrace のような捕捉に対して、これで機器が探知不能になるわけではないし、我々もそう主張しない。携帯電話はモバイル網に接続したままであり、車内の他のモノはそれぞれの都合で発信する。保証されるのは、ある特定の発信経路が、信頼によって無効化されているのではなく、構造上存在しないということだ。これは 5G と法の狙いの誤りについて我々が主張したのと同じ論旨である。法的保護はデータへのアクセスに集中しているが、本来はそれを生み出すインフラの存在そのものを対象とすべきだ。SignalTrace はその実例であり、ただしそのインフラは欧州で作られている。

結論

この案件で最も印象的なのは、研究者が何年も前から記述してきた技術的能力ではない。配備の手法である。

落成式を行う新しいカメラ網はなく、争うべき市議会の議決もなく、性質の変化として識別できる公共調達もない。あるのは既存の支柱に追加されるユニット、既存の契約、すでに認可された事業である。公の議論が始まる日には、インフラは設置され、償却され、捜査手続に組み込まれているだろう。そのとき議論の対象になるのは、すでに存在するデータベースへのアクセス条件であって、そもそもそれを構築すべきだったかどうかではない。

監視をめぐる物事の順序としてはこれが常であり、偶然ではない。残る問いは、欧州自身の産業界が、欧州自身の国家を後ろ盾として、このインフラを他者のために建設するとき、欧州には言うべきことがあると考えるかどうかである。欧州法は、我々の側で誰がこのデータを閲覧できるかという問いへの答えを丹念に組み立ててきた。誰が機械を作る権利を持つのか、という問いを立てたことは一度もない。

5G、位置情報、そして法が狙いを誤った場所

Tue, 18 Aug 2026 00:00:00 +0000

2011年、デトロイト市警はある携帯通信事業者に対し、ティモシー・カーペンターの携帯電話が基地局に接続した履歴を求めた。得られたのは127日間にわたる12,898件の位置点、一日あたりおよそ百件である。その7年後、合衆国最高裁判所は、この請求が捜索にあたり令状を要すると判断した。

この12,898件は第四世代の基地局から得られたもので、その一つひとつが数キロメートルの半径をカバーしていた。同じ請求を今日、都市部の5Gネットワークに向けたなら、数キロメートルの精度で一日百件が返ってくるのではない。数十メートルの精度で、はるかに大きな量が返ってくる。

技術は桁を変えた。法的な論理は、鎖の同じ場所にとどまったままである。

大西洋の両岸で裁判官が認めている法益

ほとんど誰もが認めながら、ほとんどどの条文も実効的に守っていない利益がある。どこかにいるという事実を記録されずにいる権利である。

欧州の判例はこれを明確に確立した。Digital Rights Ireland（併合事件C-293/12およびC-594/12、2014年4月8日）、続いてTele2 SverigeおよびWatson（併合事件C-203/15およびC-698/15、大法廷、2016年12月21日）において、欧州連合司法裁判所は、これらのデータは全体として見れば個人の私生活についてきわめて精密な結論を導きうると判示した。日常生活の習慣、滞在場所、移動、従事する活動、そして社会的関係である。

合衆国最高裁判所もCarpenter v. United States, 585 U.S. 296 (2018) で近い結論に達した。アメリカの学説が繰り返し論じてきた点、すなわちこの収集が不可避かつ自動的であるという性質を、判決は強調した。人は基地局に接続されることに同意するのではない。電源の入った電話を持っているがゆえに接続されるのである。

法益は存在し、この分野で重みを持つ二つの裁判所がそれを認めている。問題は別のところにある。

5Gが実際に変えたもの

よくある混同は、位置情報をメッセージや写真と同じように、電話が送信するデータとして扱うことである。そうではない。位置はネットワークの動作の物理的帰結である。事業者が端末の接続先の基地局を知っているのは、通話を経路制御するために知らなければならないからだ。この情報を暗号化する鍵は存在しない。それは内容ではなく、接続そのものの性質だからである。

5Gが技術面ではなく法的な面で重要になるのは、まさにこの点による。

従来のアーキテクチャは広いセルに依拠していた。4Gの基地局は通常数キロメートルの半径をカバーし、接続だけから推定される位置は都市部で数百メートル、農村部では数十キロメートルに及ぶこともあった。5Gは大規模な高密度化に立脚する。都市部のセルは通常数百メートルをカバーし、工学文献は1平方キロメートルあたり40から50基の基地局という密度を想定する。3G時代は4基か5基であった。

帰結は機械的である。エリクソンの5G測位に関するホワイトペーパーによれば、接続性のためだけに敷設されたインフラが屋外で20から50メートル、屋内で1から3メートルの精度に達し、条件の良い都市部では1メートルを下回る。どこかで有効にされた位置情報機能の話ではなく、アプリが一つも入っておらず、権限が一つも与えられていなくても、ネットワークが構造上知っている事柄である。これらの仕組みと、実際に効果のある対抗策については、携帯電話による恒常的な位置特定についての記事で詳しく扱った。

したがって侵襲の度合いは数桁増した。適用される法的枠組みは、2Gと3Gのために考えられたもののままである。この桁の変化に、規範上の適応は一切伴わなかった。

法はアクセスを守り、生成を守らない

欧州法は、誰が、いかなる条件で、いかなる監督の下で位置データにアクセスできるかを丁寧に定めている。指令2002/58/ECは通信の秘密の原則を置き、司法裁判所はLa Quadrature du Net（併合事件C-511/18、C-512/18およびC-520/18、大法廷、2020年10月6日）において、同指令15条1項を憲章7条、8条、11条および52条1項に照らして読むと、予防目的での通信トラフィックおよび位置データの一般的かつ無差別な保存は許されないと判示した。もっとも裁判所は、加盟国が現実かつ現在の、または予見しうる重大な国家安全保障上の脅威に直面している場合には、実効的な統制を条件として、枠づけられた例外を認めた。

これらは実在する保護であり、軽んじるのは不合理である。しかしそのいずれも事後に働く。データが存在し、保存されていることを前提としたうえで、その利用条件を定めているのである。

だが位置がネットワークの動作から避けがたく生じる副産物であるなら、介入すべき地点は秘密性ではない。残り続けることである。

通信の経路制御に必要で、その直後に消去される瞬間的な位置は、監視の道具ではない。数か月保存される位置の履歴は監視の道具である。それを取り巻くアクセス上の保障がどれほど厚くとも変わらない。

両者の違いは法的なものではなく、アーキテクチャ上のものである。そして欧州の日程が、この問いを理論ではなく喫緊のものにしている。欧州委員会は共同立法者間の合意が得られず、2025年にePrivacy規則案を撤回した。以来、刑事目的のデータ保存に関する別個の法文書に取り組んでおり、それは2026年に予定されている。2006年指令の無効判決以来ばらばらになった各国制度を調和させることを目的とする。言い換えれば、位置メタデータの制度を今後10年にわたって定める条文が、キロメートル級のセルの時代に組み立てられた論理を土台として、いま書かれているのである。

5G自身が作った先例

この件で最も興味深いのは、正しい答えがすでに技術標準の中にあり、ただ別の対象に適用されている、という点である。

4Gまで、加入者の恒久的識別子であるIMSIは、接続時に無線区間を平文で流れていた。これがIMSIキャッチャーを可能にした。電子フロンティア財団の標準的な解説によれば、正規の基地局より強く電波を出して端末を引き寄せ、その識別子を捕捉する偽基地局である。

2019年に公表された3GPP仕様のRelease 15以降、5Gは優雅な答えを用意した。いまやSUPIと呼ばれる恒久的識別子は、無線区間ではSUCIに置き換えうる。SUCIは、加入者固有の部分を、ホーム事業者の公開鍵を用いた楕円曲線暗号で暗号化して得られる秘匿識別子である。対応する秘密鍵を持つホームネットワークだけがこれを復号できる。計算のたびに結果が異なるため、セッションをまたいだ相関づけができない。

採られた論理は強調に値する。立法者が従うべき論理そのものだからである。技術的に不可能な位置の暗号化ではなく、身元を暗号化する。結びつけるべき身元を欠いた位置は、個人を狙った監視にとって価値がきわめて限られる。

欠陥は、この保護が任意であること

もっとも、無視できない留保がある。そしてそれが、この件全体で最も具体的な介入点だと私たちは考える。

米国国立標準技術研究所が2026年3月に公表したホワイトペーパーNIST CSWP 36Aは、これを率直に述べている。Release 15以降に準拠する端末およびネットワーク機能はSUCIをサポートする義務を負うが、その有効化は事業者の任意にとどまる。三つの条件がそろわなければならない。機器ベンダーが対応していること、事業者が自網で有効にすること、そしてSIMカードが計算に必要な要素を備えていることである。

そこに設定上の罠が加わる。標準はヌル保護方式を定めており、そこではSUCIの形式が形のうえでは用いられるが実際の暗号化は行われず、識別子は平文のまま流れる。NISTは、事業者は自網をヌルでない保護方式で構成する必要があると書き、連邦通信委員会の諮問機関CSRICの報告が2021年の時点で、ヌル方式はネットワークが知らない端末からの緊急通報に限るよう勧告していたことを想起させる。

この一文はそのまま置いておく価値がある。移動端末の追跡に対する現時点で最良の保護は、2019年から技術標準の中にある。それは事業者の裁量に委ねられた設定の選択に懸かっている。米国の連邦機関は2026年に、それを有効にすべきだと注意喚起する文書を出す意義を認めている。そして欧州のいかなる法的文書もそれを義務づけていない。

付け加えるなら、SUCIで話が終わるわけではない。5G SUCI-catchers: still catching them all? の題で発表された研究は、暗号化にもかかわらずセッションを再び相関づけうるリンク可能性攻撃を記録している。さらに、攻撃者が端末を旧世代へ落とすよう強いれば保護は完全に失われる。したがって法的義務がすべてを解決するわけではない。それでも、擁護しうる理由のない乖離、すなわち標準が許すことと商用ネットワークが実際に行うこととの乖離は解消されるだろう。

一貫した三つの介入

位置は事後に保護するのではなく設計段階で最小化すべきだという考えを真剣に受け取るなら、論理的に三つの措置が導かれる。

識別子の実効的な秘匿を義務化する。 SUCIの有効化を課し、緊急通報という残余の場合を除き、商用ネットワークでのヌル保護方式を禁じる。新技術を規定するのでも、敷設に資金を投じるのでもない。7年前に標準化され、機器にすでに備わっている機能を有効にせよと求めるだけである。
保存を既定ではなく例外として扱う。 通信の経路制御に必要な位置は、その役割を終えた時点で消去されるべきである。履歴の形成には固有の正当化が要求されるべきである。あなたがどこにいるかを知っているネットワークと、あなたがどこにいたかを覚えているネットワークとの違いがそこにある。
鍵の保管を連結点とする。 データを可読にする鍵が域外にあるなら、サーバーが域内にあることにさして意味はない。法的に意味のある基準は復号手段に対する実効的な支配であるべきで、この問いはData ActとCLOUD Actの衝突を論じた際に詳しく検討した。

Arpokratが取る角度

この論理は電気通信法に固有のものではない。私たち自身のアーキテクチャの選択に適用している論理であり、一文で言い表せる。生み出されなかったものは、守る必要がない。

だからこそArpokratOSは、GPS、Bluetooth、NFCをメニューで無効化するのではなく、カーネルの水準で取り除く。スイッチはポリシーである。特権を持つ構成要素に迂回され、更新によって再び有効にされ、侵害された系に無視されうる。コード経路そのものを取り除けば、問いは消える。これは、私たちが法の水準で求めているのと同じ転換を、一台の端末の水準に置き換えたものである。アクセスではなく生成に介入する、ということだ。

これが何をしないかも、ただちに述べておかねばならない。いかなるOSも端末をネットワークの幾何から引き離しはしない。SIMカードが有効であるかぎり事業者は接続中のセルを知っており、全通信をTor経由にしても何も変わらない。Torが守るのは内容と宛先であって、無線層ではないからだ。まさにそれゆえ、この主題は法的な主題なのである。個々人の設定では減らせない種類のリスクがあり、それについて使える変数は事業者に適用される規則だけである。

同じ関心が私たちの他の仕事も貫いている。存在しないデータは、押収されることも、転売されることも、外部に持ち出されることも、今日誰も持っていない機械によって10年後に復号されることもない。この問いはいま収穫し後で解読する暗号という角度から扱った。

結論

モバイル監視をめぐる公共の議論は、ほぼもっぱらアクセスに集中している。誰がデータを閲覧できるのか、いかなる根拠で、いかなる許可のもとに。この議論は正当であり、2014年以降に司法裁判所が下した判断は具体的な効果を生んだ。しかし、鎖のなかで介入する時点が遅すぎる。

それに先立つ、より決定的な問いは、そもそも履歴が存在すべきかどうかである。今日、正当な理由で作られたデータベースは、明日には別の理由のために利用可能なまま残る。そしてそれを取り巻く保障は、収集の時点では誰も左右できない後年の政治的決定に依存する。これは制度の安定性に対する賭けであり、その期間を定める者はいない。

5Gはこの情報の解像度を何倍にも高めたが、規範上の適応は一切なされなかった。同時に5Gは、SUCIという仕組みによって、実行可能な道はネットワークの物理的性質を暗号化しようとすることではなく、位置を身元から切り離すことにあると示した。技術標準は、法が問いを立てる7年前に答えを出していたのである。

データ保存に関する欧州の条文はいま書かれている。それはメタデータを、したがって位置を、したがって起草者が知らなかった精度で5Gがいま生み出しているものを対象とする。所与とみなされた履歴へのアクセスを整えるにとどまるのか、それともその履歴の必要性そのものを問う勇気を持つのか。それはおそらく、今後数年の欧州における最も重要なプライバシーの問いである。そしてそれは、技術の分野が今回にかぎっては、すでに正しい方向に決着させた問いでもある。

出典

欧州連合司法裁判所、Digital Rights Ireland、併合事件C-293/12およびC-594/12、2014年4月8日
欧州連合司法裁判所、Tele2 SverigeおよびWatson、併合事件C-203/15およびC-698/15、大法廷、2016年12月21日
欧州連合司法裁判所、La Quadrature du Net ほか、併合事件C-511/18、C-512/18およびC-520/18、大法廷、2020年10月6日
合衆国最高裁判所、Carpenter v. United States、585 U.S. 296、2018
米国国立標準技術研究所、Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI)、NIST CSWP 36A、2026年3月
エリクソン、5G positioning: Locating devices anywhere
Merlin Chlosta ほか、5G SUCI-catchers: still catching them all?、ACM WiSec、2021
電子フロンティア財団、Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights、The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online、Data Retention: Commission to present proposal by mid-2026

常時測位：止めたつもりでもスマートフォンがあなたを追跡し続ける仕組み

Sun, 02 Aug 2026 00:00:00 +0000

2024年、メリーランド大学の二人の研究者が、特別な権限も専用機材も持たないままアップルのWi-Fi測位サービスに繰り返し問い合わせを行い、1年で世界の20億を超えるWi-Fiアクセスポイントの正確な位置を再構築した。彼らの論文 Surveilling the Masses with Wi-Fi-Based Positioning Systems は、この地図が何を可能にするかを示している。ウクライナに出入りする機材を追跡すること、マウイ島の火災後の住民移動を観察すること、自宅のルーター経由で特定の個人を追うこと。

これらの機器はどれもGPSを有効にしていなかった。位置は別のところから来ていた。

これはモバイルのプライバシーをめぐる最も広く共有された盲点である。位置情報のスイッチが存在し、それを切れば端末は自分がどこにいるか分からなくなる、という思い込みだ。この思い込みは七つの異なる水準で誤っている。

位置情報は、端末が有効にする機能ではない。端末がそもそも何であるかという性質である。

GPS、つまり最も問題の少ない経路

誰もが名前を挙げられる唯一の仕組みは、同時に最も心配しなくてよい仕組みでもある。

米国のGPS、Galileo、GLONASS、BeiDouを包括する総称であるGNSSは、受信によって働く。衛星は時刻印を付した信号を絶えず送信し、受信機はそのうち複数を捉え、伝搬時間の差から自らの位置を計算する。遮蔽物のない屋外での一般的な精度は3〜5メートル、都市部では建物の壁面が信号を反射するため数十メートルになることが多い。

決定的なのは、この計算が受動的である点だ。端末は衛星に向けて何も送信せず、どの衛星事業者もあなたの存在を知らない。GNSSだけが問題であれば、GPSを切れば十分だっただろう。

ただし一点、含みがある。初回測位を速めるために端末は A-GPS を使う。SUPL プロトコル経由で、サーバーから衛星の軌道暦を取得するのだ。正しいデータを受け取るために、端末は接続中の基地局セルの識別子をそのサーバーへ送る。純粋なGNSSはあなたを売らないが、そこに接ぎ木された高速化の仕組みは売る。

携帯網：通信事業者が構造上知っていること

着信があなたに届くためには、網はあなたがどの区域にいるかを知っていなければならない。これは有効化できるオプションではなく、サービスが成立するための条件である。端末は最寄りのアンテナに絶えず自らを申告し、その登録は事業者側に記録を残す。アプリの導入も、権限の付与も不要だ。有効なSIMカードが一枚あればよい。

精度は方式によって異なる。

セルIDのみ：稠密な市街地で200メートル、一つのアンテナが非常に広い半径を覆う農村部では30キロメートル超。
拡張セルID。アンテナのセクター（多くの基地局は120度の三セクターに分割されている）と信号強度を加える方式で、100メートルから数キロメートル。
タイミングアドバンス。端末とアンテナの間の往復遅延を測る方式で、GSMでおよそ550メートル、LTEで78メートル前後。
三基以上のアンテナによる多点測位：市街地のLTEで50〜300メートル。

5G は二つの累積的な理由で桁を変える。第一に密度。5Gのセルははるかに短い半径しか覆わないため、接続しているという事実そのものが既に細かい情報になる。第二に標準化。Release 16以降、3GPPはネイティブな測位信号を組み込んでいる。商用目標は端末の80 %について屋内3メートル未満、屋外10メートル未満であり、Release 18 は一部の産業用途でセンチメートル級にまで踏み込む。

つまり、あなたを接続させている基盤設備そのものが、あなたが何も有効にしていないのにGPSと同等の品質を持つ測位システムになる。このデータは各国の規則に従って保存され、まちまちな手続で当局に開示される。これはホストされたデータに適用される管轄について論じたときと同じ根本的な論点だ。技術的な保護と法的な保護は重ならない。

Wi-Fi：ハードウェアアドレスでできた世界地図

すべてのWi-Fiアクセスポイントは、固有のハードウェア識別子である BSSID を絶えず発信している。この識別子は固定で、地理的にも安定している。家庭用ルーターは何年も同じ場所に置かれたままだ。

アップル、グーグル、そして少数の専門事業者は、各BSSIDを座標に対応づけるデータベースを保有している。それを作るのは彼ら自身の利用者の端末であり、見えているアクセスポイントの一覧をGNSS測位の結果とともに送り返す。その後、処理は反転する。既知のアクセスポイントを四つ見ている端末は、もはや衛星を一つも必要としない。稠密な市街地では精度は日常的に数十メートルに達し、屋内ではそれを下回る。

この仕組みを無効化しにくくしている性質が二つある。第一に、端末は Wi-Fiがオフに見えるときでもスキャンを続ける。Android 4.3以降、システムは測位精度の向上を目的とした周期的なスキャンを、クイックパネルのスイッチとは独立に維持している。この挙動は位置情報サービスの奥深くに埋もれた別個の設定に依存しており、ほぼすべての利用者が一度も開いたことがない。

第二に、このデータベースは外部から問い合わせ可能である。ライとレビンが突いたのはまさにこの穴だ。測位インターフェースは要求された位置だけでなく近隣のアクセスポイントの位置も返すため、その場所に一度も物理的に近づかないまま地図を刈り取ることができる。

BluetoothとBLE：他人の端末によって位置を特定される

Bluetooth Low Energy は近接の層を追加する。到達距離は数メートルから数十メートルで、携帯網よりはるかに細かい粒度を持つ。用途は二つ並存する。店舗、空港、商業施設に設置された商用ビーコンは識別子を発信し、端末上のアプリがそれを認識する。これによって、あなたがどの棚の前でどれだけ立ち止まったかが明らかになる。もう一つは協調型の位置特定ネットワークで、アップルのFind Myがその原型であり、その後グーグルとサムスンも同種の仕組みを採用した。

この第二の仕組みは、暗黙の前提を裏返す。ダルムシュタット工科大学の研究者がPETS 2021の論文集で発表した基準的な分析 Who Can Find My Devices? は、アップルのプロトコルをリバースエンジニアリングで再構成した。オフラインの機器がBLE信号を発すると、近くにある任意のアップル製端末がそれを受信し、自分の位置を添えて暗号化したうえでアップルのサーバーへ送る。その端末の持ち主にも、位置を特定される機器の持ち主にも知られることなく、である。

帰結は構造的だ。SIMカードもWi-Fiも、いかなるネットワーク接続も持たない機器が、依然として位置特定の対象であり続ける。ポケットに端末を入れた見知らぬ人が近くを通りさえすればよい。あなたの孤立は、もはやあなたの設定ではなく通行人の設定に依存する。

慣性センサー：位置情報の権限なしに位置を割り出す

端末には加速度計、ジャイロスコープ、磁力計、そして多くの場合気圧計が入っている。これらのセンサーは位置情報とは別の権限区分に属する。アプリはあなたがどこにいるかを一度も尋ねることなく、これらを読み取れる。

プリンストンの研究者が PinMe でそれを実証した。彼らのアプリはIPアドレスとタイムゾーンから大まかな位置を得たうえで、センサーを読む。加速度計は加速と制動の特徴を、ジャイロスコープは曲がる順序を、磁力計は進行方位を、気圧計は高度の変化を与える。ニューラルネットワークが移動手段を、徒歩、自動車、鉄道、航空機のいずれかとして判定し、経路は公開されている地図・標高・気象のデータに突き合わせられる。結果として、位置情報の権限なしに、GPSに匹敵する精度の軌跡が得られる。著者自身が記しているとおり手法には限界があり、道路のない地域では失敗し、多くの経路が同じ特徴を生む均質な格子状の街区では精度が落ちる。それでも、拒否した権限が閉じた扉を意味しないことの証明であり続けている。

気圧計はさらに、GNSSが不得手とする次元、すなわち垂直方向をもたらす。米国の緊急通報に関する要件は、屋内からの通報の80 %について上下3メートルの階層精度を課している。誰かが何階にいるかを知ることは、どの街区にいるかを知ることとは性質が異なる。

データ市場：最も平凡な経路

ここまでの仕組みは、位置がどう計算されるかを述べたものだ。残るのはそれがどこへ行くかであり、日常的なリスクの大半はそこで生じている。

数千のアプリが広告SDKを組み込んでいる。開発者が自分の仕事を収益化したり読者数を測ったりするために追加する、第三者提供のソフトウェア部品である。これらの部品はホストとなるアプリの権限を継承する。あなたの位置を正当に必要とする天気アプリが、あなたが名前を読んだこともない事業者へそれを渡すのだ。さらに広告入札のストリームが加わる。バナーが一度表示されるたびに、あなたのおおよその位置が数十の潜在的な買い手へ配信される。何も買わずに聞いているだけの相手も含めて、である。

この原材料が一つの産業を養っている。電子フロンティア財団は Fog Data Science の事例を記録した。同社は2億5000万台を超える端末に関する数十億件のデータポイントを保有すると称し、それを米国の地方警察に販売していた。ブライアン・クレブスは Locate X を紹介している。地図上に多角形を描き、その領域に出入りした端末の履歴を表示できる製品だ。

この経路に技術的な離れ業は要らない。誰かが金を払う気になりさえすればよい。値段は慎ましい。

IMSIキャッチャー：能動的な位置特定

ここまで見てきた仕組みは、正常な動作を利用するものだった。これに対し、網に介入する第三者が行う能動的な位置特定も存在する。

IMSIキャッチャー、別名セルサイトシミュレーターは、正規のアンテナになりすます機材である。到達範囲内の端末はそこに接続し、加入者識別子と、限られた範囲内にいるという事実を明かしてしまう。

5Gは、平文で送られる恒久的な識別子を暗号化された識別子SUCIに置き換えることで、この扉を閉じるはずだった。閉じ方は部分的である。5G SUCI-catchers: still catching them all? と題して発表された研究は、暗号化にもかかわらずセッションを再び相関づけられる連結攻撃を記録している。とりわけ、攻撃者が端末を旧世代へ、特に認証が一方向でしかない2Gへ降格させることに成功すれば、保護は完全に崩れる。5G対応の端末が1990年代の網向けに考案された攻撃に対して脆弱であり続けるのは、今なおそこへ降りることを受け入れているからだ。

対抗策と、その実際の効果

以下の各措置はいずれも何かをする。すべてをするものは一つもなく、実際に果たす役割と世間が期待している役割との落差が、誤った判断を生む。

機内モード

機内モードはセルラーモデム、Wi-Fi、Bluetoothの送信を止める。これは本物の効果であり、これほど小さい労力で得られる最良の結果だ。

しないこと。慣性センサーは止まらず、既にキャッシュされた位置は消えないので再接続時に送信される。さらに多くの端末では、機内モードを抜けないままWi-FiやBluetoothだけを再び有効にできる。そして最後に、これは電源の遮断ではなくソフトウェア上の状態にすぎない。その信頼性は、それを執行するシステムの健全性に依存する。

見落とされがちな細部がある。網からの離脱と再接続そのものが、事業者側では時刻印の付いた事象である。21時にあるセルから消え、23時に別のセルに再び現れた端末は、沈黙ではなく情報を生み出している。

MACアドレスのランダム化

今日のモバイルOSは、場所から場所への追跡を防ぐため、スキャン時にランダムなMACアドレスを送出する。意図はよいが、結果は不完全だ。Why MAC Address Randomization is not Enough をはじめとする基準的な研究は、探索フレームの中身だけで端末を再識別できる場合が多いことを示している。情報要素の数、その値、その並び順が一つの指紋を形づくるのだ。加えてシーケンス番号は増加する値であるため連鎖させられ、機種ごとに固有の時間的特徴も残る。少なくとも20分間、端末の半数を正しく追跡できたと報告する研究もある。

最後に概念上の限界がある。ランダム化が関わるのは探索の段階だけだ。ひとたびネットワークに接続すれば、使われるアドレスはそのネットワークに対して安定している。接続が機能するために、設計上そうなっている。毎朝通うカフェは、あなたを覚えている。

スキャンを本当に止める

これが最も費用対効果が高く、最も無視されている設定だ。AndroidではWi-Fi検索とBluetooth検索は二つの別個の項目であり、位置情報サービスの中にあって、クイックパネルのスイッチとは独立している。これらが有効なままなら、パネルからWi-Fiを切るだけでは足りない。スキャンは続く。

これらを無効にすれば収集の層が丸ごと一つ消える。代償は初回測位が少し遅くなることだけだ。大半の読者にとって、払う労力と得られる結果の比率はこれが最良である。

アプリの権限

明らかに必要としていないアプリから位置情報の権限を取り上げることは、依然として有効だ。近年のシステムは三段階を用意している。その都度の許可、使用中に限定した許可、そしてキロメートル単位の区域しか伝えないおおよその位置である。

ただしこれは、あなたの位置に正当にアクセスする理由を持つアプリの内部に同居するSDKからも、慣性センサーからも、そもそも権限を通らないネットワーク層からも守ってくれない。

VPNが守らないもの

明確にしておくべき点がある。逆の思い込みが非常に広まっているからだ。VPNはあなたの位置を隠さない。 隠すのは公開IPアドレスであり、したがってIPによる位置推定を狂わせる。もっともそれは、この一覧の中で最も粗い仕組みでしかない。

VPNはGNSS受信機にも、Wi-Fiのスキャンにも、Bluetoothにも、センサーにも触れない。あなたの通信事業者が知っていることも何一つ変えない。暗号化されたトンネルはその事業者のアンテナを経由し、セルへの接続は事業者から見えたままだからだ。位置情報の権限を持つアプリがトンネルの内側で正確な座標を送ることも妨げない。VPNは信頼できないネットワーク上で通信の内容と宛先を守る。それだけでも十分に大きい。位置はその守備範囲ではない。

物理的な限界

ファラデーポーチは文字どおりに機能する。送信も受信も遮断する。まだそれが可能な機種であればバッテリーを外すことも同様だ。専用の端末を用意すること、あるいは端末を別の場所に置いてくることが、最も堅牢な措置であり続けている。

これらの解決策には正面から見据えるべき共通の欠点がある。異常を作り出してしまうのだ。毎週火曜の夜に2時間黙り込む端末は、何かを語っている。瞬間の位置ではなくパターンを分析する敵に対しては、不在そのものがデータになる。

三つの敵、三つの戦略

これは本稿で最も重要な区別であり、そして最も読まれることの少ない区別でもある。

広告主やデータブローカーに対しては、この戦いは勝てる。権限の規律、スキャンの無効化、独自の位置情報サービスを持たないシステム、広告識別子のリセット。これらを合わせれば収集される量は非常に大きく減る。この敵が求めているのは安価な量であって、あなた個人の事情ではない。

あなたの通信事業者に対しては、いかなる設定も足りない。セルラー測位はサービスの条件そのものだ。実際の変数は法的なもの、すなわち法が何の保存と提供を認めるか、そして物理的なもの、すなわちどの端末を、どのSIMカードで、誰の名義で、どこで電源を入れるかに限られる。

標的を絞った国家的な敵に対しては、考え方はさらに変わる。事業者データへの合法的なアクセス、セルサイトシミュレーターによる能動的な位置特定、プラットフォームへの開示要求、そして必要に応じた端末そのものの侵害を組み合わせてくるからだ。ソフトウェア上の対抗策は攻撃面を減らすが、現実的な目標は消えることではない。何が露出したままなのかを正確に知ることである。

ArpokratOSのアプローチ

ArpokratOS はこの状況に対し、上の区別から導かれる選択で応じる。無力化すべきものはメニューの中ではなく、システムの水準で無力化する。

GNSS については、ハードウェアのドライバーが取り除かれている。端末は、アプリケーションに対しても、システム自身に対しても、そのチップが存在しないかのように振る舞う。設定画面のスイッチとの違いは表面的なものではない。スイッチはポリシーである。それを適用するのは一つの層であり、十分な権限を持つ部品に迂回されることも、更新によって再び有効化されることも、侵害されたシステムに無視されることもある。コード経路そのものを取り除けば、有効化すべきものがもう存在しないのだから、問いは消える。

Bluetooth も同じ論理でCore層で扱われる。設定でオフにされたBluetoothは、多くの端末で実際にはソフトウェアスタックを生かしたままにして、近接サービスや協調型の位置特定ネットワークを支えている。システムの水準で存在しなければ、店舗のビーコンと会話することも、Find My型のネットワークに参加することも、操作を要さない攻撃面になることもできない。

これが何をしないのかも、はっきり述べておかなければならない。ArpokratOSは端末を検知不能にはしない。 SIMカードが有効である限り、事業者は接続中のセルを把握しており、いかなるOSもそれを変えない。全通信をTorで流したとしても同じだ。経路制御が守るのは内容と宛先であって、電波の幾何ではない。不可視を約束する者は、物語を売っている。

このような設計がもたらすものはもっと控えめだ。実際の収集の大部分が通過するアプリケーション層と近接層を取り除くこと、そして残るものについて明示的な脅威モデルを持つこと。これはデスクトップ用のシステムを選ぶときの推論と同じであり、オペレーティングシステムの比較で詳述している。有用な問いは、ある道具が守ってくれるかどうかではなく、何から、どんな代償で守るのかである。

結論

本稿は消える方法を提供しない。その方法は存在せず、反対のことを主張する文章が主に生み出すのは偽の安心である。それは無防備であることより危険だ。人に危険を冒させるからである。

目的は、位置を特定されるかされないかという二択の問いを、有用な問いに置き換えることだった。誰に、どの精度で、相手にどれだけのコストを強いて、そしてそれは自分にとって重要か。答えは、情報源を守る記者、機微な法域に出張する経営者、面会予定そのものが戦略を漏らしてしまう弁護士、そして広告主に生活習慣を知られるのが不快なだけの個人とで異なる。

そもそも注目すべきは、これらの仕組みを個別に取り出したときの性能ではなく、それらが互いに重なり合っているという事実だ。50メートル精度の位置一つは大して面白くない。だが50メートル精度の位置が、15分ごとに、2年間続けば、住まいが、職場が、信仰が、健康状態が、交際が、情報源が描き出される。位置情報は、他のあらゆるデータを読み解けるものにするメタデータであり、だからこそ高値がつく。

出典

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

フィリピン、規制対象プラットフォームでMoneroとZcashを禁止：世界的トレンドのシグナル

Wed, 17 Jun 2026 00:00:00 +0000

フィリピン中央銀行が、プライバシー強化型暗号資産に対して厳しい措置を講じました。マネーロンダリング対策に関する国際基準への準拠を名目としたこの決定は、フィリピン一国にとどまらない規制上のダイナミクスを示しており、MoneroやZcashといった資産を保有・利用するすべての人が注意を払うべき動きです。

メモランダムの内容

フィリピン中央銀行であるBangko Sentral ng Pilipinas（BSP）は、副総裁リン・ハビエルが署名したメモランダム M-2026-023を承認しました。この文書は、仮想資産サービスプロバイダー（VASP）のライセンス保有者全社に対し、「匿名性を有する仮想資産」のリスティングおよびサポートを停止するよう命じています。メモランダムは特定のトークン名を明記していませんが、対象カテゴリーはMonero、Zcash、Dash——取引の追跡を困難または不可能にするよう設計された暗号資産——を明確に含みます。

この措置は即日発効し、移行期間は設けられませんでした。単にこれらの資産をプラットフォームから削除するだけでなく、VASPは今後、リスト掲載中のすべてのトークンについて6つのコンプライアンス基準——発行者の信頼性、市場の成熟度、ユースケース、透明性とセキュリティ、流動性と準備金、法的コンプライアンス——に沿って評価を行い、資産がこれらの基準を満たさなくなった際に自動的に上場廃止を発動する内部しきい値を設定しなければなりません。

具体的に何が変わるのか

このメモランダムは、MoneroやZcashの個人保有や規制対象外プラットフォーム外でのピアツーピア送金を犯罪化するものではありません。失われるのはあくまでも制度的アクセスです。すなわち、規制されたオンランプ・オフランプ（ライセンス取得済みプラットフォームでの購入・売却・入出金）が、これらの資産を扱えなくなります。

具体的には、BSPライセンスを受けたフィリピンのプラットフォーム——Coins.ph/Betur、Maya Philippines、PDAX、GoTyme Bank、UnionBankなど——にプライバシーコインを保有していた場合、プラットフォームが上場廃止を余儀なくされる前に、個人ウォレットへの移転または売却が必要となります。

国内の暗号資産ユーザーは1,600万人以上に上るため、国内市場への影響は大きくなりますが、フィリピンはXMRやZECのグローバル流動性においてごく小さな割合を占めるにすぎないため、世界的な価格への影響は限定的と見られます。

FATF準拠：普遍的な正当化論理

BSPは今回の決定について、マネーロンダリングおよびテロ資金供与対策の国際ルールを定める機関である**FATF（金融活動作業部会）**の基準への明確な準拠を根拠として挙げています。ほとんどの中央銀行にとって、FATFとの良好な関係を維持することは任意ではありません——格付けが低下すれば、その国全体が国際金融ネットワークへのアクセスに影響を受けかねないからです。

この同じ正当化論理が、欧州連合、日本、韓国が過去数年にわたって規制対象プラットフォームからプライバシーコインを段階的に排除してきた背景にも存在します。フィリピンの決定は孤立したケースではなく、事実上の基準として広がりつつあることの確認です——つまり、国際的に認められた暗号資産市場を運営したい国にとって、プライバシー強化型資産はもはやその場に収まらないということです。

誰も本当には解決していない緊張

この決定を支持する関係者でさえ、今回の措置が制限しようとしている利用の正当性を認めているという事実は示唆的です。国内最大手フィンテック企業の一つであるGCashの暗号資産責任者は、MoneroとZcashが「正当な理由のもとで存在している」こと、そしてプライバシーが「暗号資産の創設的価値：監視なしに取引する能力」であることを明示的に認めました。それでも彼は今回の措置を支持し、海外送金フローへの依存度が高いフィリピンは、匿名化資産の自由な流通を認めながら信頼できる金融インフラとして位置付けることはできないと述べました。

この緊張は解消されていません。規制上の観点に従って単純に裁断されているだけです——海外送金の規模と国際的信頼性は、このトレードオフが生じるたびに、正当なプライバシーという論拠よりも重いと判断されています。

論理的帰結：セルフカストディへの移行

ある管轄区域から別の管轄区域へと繰り返されるパターンは、今や明確に読み取れます。金融プライバシーは個人レベルでは依然として合法ですが、制度的な回路を通じて行使することは徐々に不可能になっていきます。セルフカストディ（自己保管）はまだ標的にされていませんが、このモデルに従う管轄区域が増えるたびに、これらの資産が規制上の制約なしに流通できる空間は少しずつ狭まっていきます。

これらのブロックチェーンの技術的な仕組みと、なぜ規制当局の主要な標的となったのかについては、匿名ブロックチェーンに関する完全ガイドで詳しく解説しています——リング署名、zk-SNARKs、そしてこれらの技術の実際の限界について。

閉じていく回路の外で交換する

規制対象プラットフォームが次々とプライバシーコイン市場から撤退するにつれ、ノンカストディアルでデータを収集しないインフラの役割が、政策を一夜にして変えうる管轄区域に属するVASPに依存せずにこれらの資産を使い続けたい人々にとって、ますます中心的なものとなります。

Arpokrat Swapでは、Monero、Zcashおよびすべてのプライバシー強化型暗号資産を、登録不要、IPログの収集なし、クッキーなしで交換できます——クリアネットからアクセスする場合でも、.onionアドレス経由でアクセスする場合でも同様です。私たちが決して収集しないものを、どの管轄区域も取り上げることはできません。

今回のフィリピンの決定は、おそらく今年この種の最後の措置ではないでしょう。他の国々が同じ道をたどるかどうかはもはや問題ではありません——最近の経緯はそうなることを示唆しています——残されているのは、プライバシーコインへの制度的アクセスが標準ではなく例外となるまでに、どれほどの時間が残っているかという問いだけです。

プライバシーの終焉？バックドア、オンライン安全法（Online Safety Act）、そして主権エコシステムの対応

Wed, 10 Jun 2026 00:00:00 +0000

ロンドンは、デジタルプライバシーの未来を巡る世界的な戦いの震源地となっています。2023年の オンライン安全法（Online Safety Act: OSA） の採択と、批判者から「スパイ憲章」と呼ばれる 捜査権限法（Investigatory Powers Act: IPA） の最近の改正案により、英国政府はプライベートな通信のまさに中心に監視義務を課す権利を主張しています。その限界点は、規制当局であるOFCOMに対し、エンドツーエンドで暗号化された通信を含むプラットフォーム内で、児童性的搾取および虐待（CSEA）コンテンツやテロリズムを検出するための「認定技術」を展開するようプラットフォームに要求する権限が与えられていることです。

主要なデジタルプラットフォームに対するウェストミンスターのメッセージは明白です。自社のインフラへの国家のアクセスを容易にするか、あるいは世界収益の最大10％の罰金に直面するかのどちらかです。これに対する反応は即座でした。SignalやWhatsAppなどのサービスは、単一の管轄区域を満足させるためにユーザーのセキュリティを妥協することを拒否し、英国市場から撤退すると公に脅告しました。技術的な議論に反論するのは困難です。正当な行為者だけのために予約されたマスターキーなど存在しません。法執行機関のために開かれたドアは、構造上、サイバー犯罪者や外国の諜報機関に対しても開かれたドアとなります。

主要プラットフォームのビジネスモデル：ゼロ知識（Zero-Knowledge）への構造的な障害

主要なプラットフォームがゼロ知識暗号化の採用に抵抗しているのは、技術的な無能力によるものではなく、根本的な経済的非互換性によるものです。AlphabetやMetaなどの企業は、行動データの体系的な収集に基づく収益化モデルに依存しています。ちなみに、このモデルは欧州連合のデジタル市場法（DMA）によって暗黙のうちに認識されており、これらの「ゲートキーパー（gatekeepers）」を、まさに前例のない規模でのデータの蓄積によってその支配的な地位が支えられている企業として分類しています。これらの企業にとって、ゼロ知識アーキテクチャを採用することは、彼らの広告システムから、その燃料となるユーザーの継続的な識別を奪うことを意味します。したがって、これは技術的な選択ではなく、ユーザーのプライバシーとビジネスモデルの実行可能性との間のトレードオフなのです。

戦略的リスク：「Harvest Now, Decrypt Later」の脅威

プライバシーに関する議論を超えて、暗号化の弱体化は、全く異なる範囲の国家安全保障上の問題を提起します。Harvest Now, Decrypt Later（HNDL：今すぐ収集し、後で解読する）として知られる戦略は、国家の敵対者が、将来の量子解読機能を予測して、現在大量の暗号化された通信を傍受して保存することを含みます。現在の暗号化標準を弱めることで、英国の法的枠組みは、政府、外交、または産業の通信に対するこの種の作戦を客観的に促進します。

Arpokratのようなエコシステムが運用上の妥当性を獲得するのは、まさにこの信頼の欠如という文脈においてです。民事的な識別子を収集しないアーキテクチャを持ち、スイス連邦データ保護法（FADP）の制度下で運用することにより、Arpokratは英国の管轄下にあるインフラからの技術的な離脱を提供し、システムがOSAによって想定される命令に対して確実に耳を貸さない（影響を受けない）ことを保証します。

規範の対立：欧州法に反するOSAとIPA

英国の新たな国家権権に関する法的分析は、データ保護と通信の機密性に関する欧州法の基盤との直接的な衝突を明らかにしています。

広範な監視の禁止に反するOSA

OSAの第121条は、OFCOMがプラットフォームに対してクライアントサイド・スキャン（client-side scanning）の実施を強制する命令を出す可能性を導入しています。この措置は、欧州法に由来し、欧州司法裁判所（CJEU）の判例に含まれている、一般的な監視義務を禁止する原則に真っ向から違反しています。「設計による脆弱性（vulnerability by design）」を強制することにより、企業はダブルバインドの状況に置かれます。つまり、国家の命令に従うために自社のセキュリティを弱めることで、GDPR第32条に規定されている、処理に適切なレベルのセキュリティを保証する義務を怠ることになるのです。

ePrivacy指令と通信の機密性

プライベートメッセージのスキャンは、加盟国に電子通信の機密性を保証することを義務付け、関係するユーザーの明示的な同意なしにいかなる形式の傍受または監視も禁止する指令2002/58/EC（ePrivacy）の第5条第1項と直接矛盾しています。

Technical Capability Notices（技術的能力通知）とセキュリティアップデートのブロック

IPA 2016の制度の下、英国政府は現在、セキュリティアップデートが展開される前にそれを阻止するために、Technical Capability Notices（TCN）を使用することを意図しています。このメカニズムは、処理システムの継続的なセキュリティを確保するというGDPR第32条で定められた義務と解決不可能な対立を生み出します。この義務は、まさに遅延や外部からの干渉なしにパッチを適用する能力を必要とするものだからです。

欧州で事業を展開する企業に対するコンプライアンスリスク

IPAの改訂は、セキュリティに影響を与える技術的な変更を実施する前に、企業に英国政府への通知を義務付けることを目的としており、それによって製品開発に対する拒否権を英国政府に付与しています。この干渉は、欧州市場で事業を展開するサプライヤーに大きな法的法的不確実性をもたらします。英国がGDPRと実質的に同等の保護をもはや保証しない場合、すでに脆弱である英国の欧州法に対する十分性（adequacy）が疑問視される可能性があります。したがって、この新しい枠組みの下での英国へのデータ転送は、企業をGDPRに基づく制裁のリスクにさらす可能性があります。

技術的実現不可能による防衛：法的盾としてのゼロ知識の原則

CJEUの Schrems I および Schrems II 判決によって強化された国際判例は、決定的な原則を確立しました。すなわち、不均衡な監視に対する唯一の強固な保護手段は、そこにアクセスすることが技術的に不可能であることである、というものです。ゼロ知識（Zero-Knowledge）アーキテクチャは、この原則を3つの保護レイヤーに適用します：

保管の不在： プラットフォームは復号化キーを保持していないため、メッセージのスキャンを命じる命令は技術的に実行不可能です。
オペレーティングシステムの主権： ArpokratOS の制御により、デバイスレベルでのインテリジェンス収集を供給するテレメトリが排除されます。
スイスの管轄権のアンカリング： インフラストラクチャをスイスでホストすることにより、Arpokratは個別化され、理由が明記された共助要請（Mutual Legal Assistance）を必要とする法制度の下で運用されており、OSAによって想定される大量スキャンの自動実行を無力化します。

結論

OSAの規定とIPAの改訂は、個人のプライバシーに対する脅威であるだけでなく、英国の管轄下にあるインフラを通過するすべての欧州のデータに対する法的確実性の侵害を表しています。公共の安全の名の下に暗号化の弱体化を正当化することで、ロンドンは逆説的に、自国の同盟国や貿易相手国を産業スパイや国家スパイのリスクにさらすことになります。これらはまさにゼロ知識アーキテクチャが防止するように設計されているものです。

専門的および制度的な通信の完全性は、現在、構造的な対応を要求しています。それは、コードレベルから管轄権のアンカリングに至るまで、デジタル主権を保証する分散型エコシステムへの移行です。

Utiq：あなたのプライバシーを脅かす通信会社の新しい「スーパーCookie」

Mon, 01 Jun 2026 00:00:00 +0000

ウェブブラウザでのサードパーティCookieの廃止予定は、ターゲット広告業界に真の軍拡競争を引き起こしました。Googleが独自の基準（Privacy Sandboxなど）を課そうとしている中、別の予期せぬプレイヤーがパイの一部を掴むことを決定しました：**あなたのインターネットサービスプロバイダー（ISP）**です。

こうして誕生したのが、ヨーロッパの通信大手によって設立された合弁会社 Utiq（旧称プロジェクト TrustPid）です。「透明で敬意を持った」ソリューションとして一般に販売されているUtiqですが、実際にはサイバーセキュリティの専門家が最も恐れているもの、つまりネットワークレベルで動作する「スーパーCookie」なのです。

Utiqとは何か、どのように機能するのか？

従来、広告トラッキング（Cookie）はウェブブラウザ（Chrome、Firefox、Safari）によって管理されてきました。拡張機能（uBlock Originなど）やプライバシー重視のブラウザ（Braveなど）を使ってブロックすることができました。

Utiqは問題を一歩後退させます：あなたのネットワーク接続のレベルへと。

罠は次のように仕掛けられます：

ネットワークの傍受: モバイル接続（4G/5G）または光回線経由でインターネットを閲覧する際、UtiqはあなたのIPアドレスと通信の契約データを使用してあなたを識別します。
同意（偽りの選択）: 提携サイトに到着すると、ポップアップウィンドウがUtiqを受け入れるよう求めてきます。Cookieバナーに関連する疲労（Consent Fatigue）のため、何百万ものユーザーが読まずに「同意する」をクリックしています。
「Network Signal」: 同意が得られると、Utiqは通信事業者に直接連絡します。通信事業者は、広告主に送信する固有の仮名化された識別トークン（ネットワークシグナル）を生成します。

これで、あなたはコンピュータに保存されたファイルではなく、インターネットを提供するインフラストラクチャそのものによって、サイトからサイトへと追跡可能になります。

なぜUtiqはプライバシーの悪夢なのか（OPSEC）

この取り組みは、デジタル主権とデータの機密性に深刻な問題を引き起こします：

ソースでの追跡: 従来のCookieとは異なり、Utiqを取り除くために単に「履歴を消去」したり「キャッシュをクリア」したりすることはできません。識別トークンはISPによって生成されます。
プロファイルの集中化: 通信事業者はすでにあなたの名前、物理的な住所、銀行の詳細、およびリアルタイムの場所を知っています。Utiqを介したウェブ閲覧履歴をこれにリンクさせることで、彼らは恐ろしいほど正確な行動プロファイリングを作成します。
仮名化の欠陥: Utiqは平文で名前を共有しないことで自らを弁護し、「暗号化された」トークンを使用していると主張しています。しかし、サイバーセキュリティの世界では、仮名化が元に戻せることは証明されています。これらのトークンを他のデータベースと相互参照することで、個人を簡単に再特定できます。

どの通信事業者がUtiqを使用しているか？

Utiqはヨーロッパの4大通信事業者の連合によって設立されました。あなたが彼らのいずれか（またはその低コスト子会社）の顧客である場合、あなたの接続はすでにこのトラッキングと「互換性がある」可能性があります。

OPSECのヒント: Utiqはアクセスを無効にするための中央集権的な同意管理ポータル（consenthub.utiq.com）を提供していますが、最良の防御策は技術的なままです。

Utiqに対抗するためのゼロトラスト（Zero-Trust）アプローチ

Arpokratのようなエコシステムによって推進されるデジタル主権の哲学は、単純な原則に基づいています：ネットワークインフラストラクチャを決して信用しないこと。

Utiqのようなシステムを技術的に無力化するには、自分自身のインターネットプロバイダーからトラフィックを隠すことが解決策です：

主権VPNの使用: デバイスを離れた瞬間にトラフィックを暗号化することで、ISPにはVPNサーバーに向けられた解読不可能なデータストリームしか見えなくなります。Utiqトークンを注入したり読み取ったりすることはもうできません。
Torネットワーク（Orbot）: オニオンルーティングは、エンドツーエンドの識別を完全に防ぎます。
DNS暗号化（DoH/DoT）: 通信事業者があなたがどのウェブサイトにアクセスしようとしているかを知るのを防ぎます。

要約すると、Utiqはインターネットサービスプロバイダーがもはや単なる「土管」であることに満足していない証拠です。彼らはデータブローカーになりたいのです。トラフィックを暗号化することは、もはやセキュリティの選択肢ではなく、デジタルの沈黙を保つための絶対的な必需品です。

叫ぶ沈黙：Warrant Canaryとは何か、なぜその消失を心配すべきなのか？

Mon, 01 Jun 2026 00:00:00 +0000

19世紀の炭鉱の奥深く、鉱夫たちは鳥かごに入れたカナリアを一緒に連れて行きました。一酸化炭素などの有毒ガスに非常に敏感なこの小鳥は、鉱夫たちが危険に気づくよりもずっと早く死んでしまいます。こうして彼らは、沈黙の、しかし極めて効果的な早期警戒システムとして機能したのです。

現代のデジタル世界において、この鳥は 「Warrant Canary」 の形で蘇りました。

Warrant Canaryとは何か？

これは、サービスプロバイダー（メッセージング、VPN、ホスティング）が定期的に公開・更新する公式声明であり、その正確な日付まで、ユーザーのデータを危険にさらすことを強制するような秘密の法的要請（米国の National Security Letter (NSL) やFISA裁判所が発行した命令など）を一切受けていないことを断言するものです。

カナリアのすべての巧妙さ、そして重大さは、それが「消えたとき」に何が起こるかという点にあります。

もし毎月「私たちは秘密の命令を受け取っていません」という声明を表示していたサービスが、突然その更新をやめたら、知識のあるユーザーは明らかな事実を推測します：カナリアは死んだのだと。

その企業は、この要請の存在を明らかにすることを法的に禁じる かん口令（gag order）を伴う監視措置の標的となったのです。彼らは「侵害された」とは言えないため、単に「安全である」と言うのをやめたのです。

見えない監視の時代と沈黙の回避

CLOUD Act や FISA のような治外法権的な法律が、ターゲットに一切知らせることなく、米国政府に企業がホストするデータへのアクセスを許可している時代において、Warrant Canaryはこの強制された沈黙を回避するための数少ないメカニズムの1つです。

CLOUD Actにより、地理的な障壁はもはや存在しません。データが米国企業の「管理下」にある場合、そのサーバーが物理的にヨーロッパにあったとしても、米国政府はアクセスする権利を主張します。その時カナリアは、ユーザーのデジタル主権が静かに犠牲にされる前の最後の警告シグナルとなるのです。

だからこそ、Privacy 領域の主要プレイヤーたちは、このツールを透明性の基準として採用しています：

Proton：スイスのメッセージ＆メールサービスは、厳密なWarrant Canaryを含む透明性レポートを公開しています。
Riseup：活動家向けの安全な通信コレクティブは、ウェブ上で最も有名で監視されているカナリアの1つを維持しています。
Arpokrat：私たち自身の独自エコシステムは、コミュニティへの絶対的な透明性を保証するため、暗号化されて更新される公開Warrant Canaryを維持しています。

法的分析：嘘をつかない権利

Warrant Canaryの存在自体が、憲法学の最も魅力的な柱の1つ、すなわち compelled speech（強制された発言）の法理と、司法の秘密主義との衝突に依存しています。

法的根拠は単純な原則に基づいています：国家があなたに沈黙を強いる権力（かん口令を通じて）を持っていたとしても、嘘をつくことを強制する憲法上の権力はない。

米国憲法修正第1条（およびヨーロッパの類似の原則）に基づき、政府は企業に事実とは異なる虚偽の声明を出させることはできません。したがって、企業がカナリアを削除したとき、それは沈黙命令に違反していません。令状を受け取ったと明示的に発表したわけではないからです。彼らは単に、もはや真実ではない声明を出すことをやめるという基本的な権利を行使しているに過ぎません。

欧州法との対立

現在、カナリアの関連性は、Data Act（EU規則2023/2854）の第32条 によって強化されています。この規定は、欧州法と矛盾する場合、第三国の当局によるデータアクセスを防ぐための技術的および法的措置を実施することをプロバイダーに義務付けています。カナリアの死は、この法律の衝突を即座に知らせるものです：プロバイダーは外国の命令を満たすために、欧州の保護を回避するよう強制されている可能性が高いのです。

Arpokratのアプローチ：設計による主権

スイスのFADP（連邦データ保護法）の管轄下で運営されている Arpokrat エコシステムにおいて、カナリアはさらに強力な意味を持ちます。これは、デジタル主権に対する包括的なアプローチ（Zero-Knowledge）の一部です。

当社のアーキテクチャは、企業が命令に従うことを技術的・数学的に不可能にするように設計されています。国家や諜報機関が望むだけの命令を出しても、答えは同じです：引き渡す秘密鍵も、ID（Zero-ID）も、一元化されたメタデータも存在しないのです。

この文脈において、カナリアはもはや単なる侵害の警告ではなく、インフラが技術的に不可侵であり、その原則に忠実であり続けたことの継続的な公的証明となります。

結論

結局のところ、Warrant Canaryは、現代の脅威（ポスト量子コンピューティングなど）の展望に立ち向かうために必要な暗号の機敏性を補完する法的な機敏性の一部なのです。設計からデータが主権を持つインフラにおいて、カナリアは単なる炭鉱の鳥ではありません。それはあなたのデジタル要塞の静かな守護者なのです。

主権の幻想：Olvidの事例とCLOUD法の罠

Thu, 21 May 2026 00:00:00 +0000

その発表は、パリの回廊で真の「独立の叫び」のように響きました。首相は、WhatsAppとSignalを放棄し、「ネイティブ」として提示されたメッセージングアプリであるOlvidを採用するよう政府に命じました。目的は明確で、国家機密を外国の諜報機関から保護することでした。

しかし、すぐに苦い皮肉が明らかになりました。Olvidの核心であるサーバーインフラは、米国の巨人であるAmazon Web Services (AWS) の内部で動いているのです。

一般の人々にとって、これは単なるホスティングの問題に見えます。しかし、主権的サイバーセキュリティのアーキテクトにとっては、これは最重要の政治的脆弱性です。

治外法権と主権の衝突

Amazonのインフラに依存することで、Olvidは自動的に米国のCLOUD法の軌道に入ります。

この事例の法的分析は、単に国家の「アプリ」を採用するだけでは解決しない管轄権の不安のシナリオを明らかにしています。転換点は、「制御」対「ローカリゼーション」の概念にあります。

CLOUD法は、サーバーの物理的な場所は重要ではないと規定することで、法的パラダイムを根本的に変えました。サービスプロバイダー（ここではAWS）の協力義務は、米国との管轄上の結びつきのみから生じます。

法的には、これはGDPRと正面から対立します。欧州司法裁判所は、米国の監視法がヨーロッパと同等の保護レベルを提供していないことをすでに確立しています。

デジタル主権はソフトウェアの属性ではなく、保管の連鎖の完全性の特性です。

FISAの亡霊と暗号化の誤った約束

さらに悪いことに、この米国インフラへの依存により、データは外国情報監視法（FISA）の影に置かれます。

これらの脅威に直面して、Olvidはエンドツーエンドの暗号化が十分な盾を構成すると主張しています。プライバシーエンジニアリングの観点から見ると、この防御は危険なほど部分的です。

メッセージの内容が暗号化されていても、AWSの中央集権型インフラはメタデータを公開します。誰が誰と、いつ、どのくらいの頻度で、どこから話しているかを知ることは、内容自体よりも諜報機関にとって価値があることがよくあります。

暗号化はテキストを保護しますが、中央集権型サーバーは連絡先のネットワークを裏切ります。

本当の危険はこれから

ヨーロッパのインフラが治外法権の対象となる事業体に依存している限り、通信の法的セキュリティは純粋に一時的で幻想的なものにとどまります。

21世紀の国家安全保障には、完全なインフラとハードウェアの独立性が必要です。「今収集し、後で解読する」戦略は、次の10年の最も破壊的な脅威です。

今日傍受された国家機密は、数学的な時限爆弾に他なりません。

(分析の残りの部分は第2部でお読みください：時限爆弾とゼロ知識の要請)