位置追跡 on Arpokrat

SignalTrace、欧州は自らに許さない監視を輸出する

Tue, 01 Sep 2026 00:00:00 +0000

灰色のセダンが時速 110 キロで高速道路のガントリーの下を通過する。支柱に固定されたカメラがナンバープレートを読み取り、時刻を付し、記録する。目新しいことは何もない。この装置は二十年前から存在し、北米でも欧州でも数万台規模で設置されている。

だが、そのガントリーにイタリアのレオナルド社が 2026 年 6 月から販売しているユニットが取り付けられていたなら、いま記録されたのはそれだけではない。運転者の iPhone。同乗者のワイヤレスイヤホン。ダッシュボードのスマートウォッチ。カーオーディオ。グローブボックスの中の接続キーホルダー。四本のタイヤの空気圧センサー。上着に入れたままの入館カード。そして後部座席で犬が眠っていれば、その個体識別チップまで。

十数個の識別子、一枚のナンバープレート、一つの位置、一つの時刻。これを路線網のガントリーごとに繰り返せば、追跡しているのはもはや一台の車ではない。人を追跡しており、しかも誰と一緒に移動しているかまで分かる。

この装置が実際に行っていること

製品名は SignalTrace。Leonardo US Cyber and Security Solutions が販売し、米国市場で最も普及した自動ナンバープレート読取装置の系列のひとつである ELSAG シリーズを補完する。その存在は 2026 年 6 月 8 日、Joseph Cox がメーカーの製品資料をもとに 404 Media で明らかにした。

決定的な点は一文で足りる。新しいカメラの話ではない。SignalTrace は、すでに設置済みのナンバープレート読取装置に追加される無線センサーだ。支柱は変わらず、設置場所も変わらず、路側の機材の外観も変わらない。変わるのは、その機材が何を聴いているかである。

センサーは、車内の機器の Bluetooth、Wi-Fi、RFID の各プロトコルが平文で発信する識別子を記録する。しばしば誤解される技術的な点として、いかなる機器も侵入されておらず、いかなる脆弱性も悪用されていない。Bluetooth や Wi-Fi の機器は常時ディスカバリー用のフレームを送出する。プロトコルがそう設計されているからだ。イヤホンは携帯電話に見つけてもらうために自らの存在を告げ、携帯電話のほうも既知のネットワークを探して周囲の空間に問い合わせている。これらの発信は構造上公開されており、受信範囲内のどんな受信機にも聞こえる。

レオナルド自身、このシステムはナンバープレート読取装置の有無にかかわらず、屋内も含めて機能し、プレートを覆い隠すか外した車両も識別できると明記している。

真の政治的争点は、この後付け改修にある。新しいカメラ網を敷設すれば、採決や審議、時には訴訟が生じる。すでに承認済みの筐体に基板を一枚加えても、何も生じない。監視能力は公の議論を経ずに性質を変える。物理的には新しく見えるものが何もないからだ。

車両から個人へ、個人から集団へ

ナンバープレート読取装置は一つの問いに答える。この車両はどこにいたか。SignalTrace はそこに二つ加える。誰が乗っていたか、そして誰と一緒だったか。

レオナルドはそれを隠さない。それこそが売り文句である。システムは資料が電子指紋と呼ぶもの、すなわち「頻繁に一緒に発信される」識別子の集合を構成する。メーカーの挙げる例は明快だ。街全体を見渡しても、iPhone 13rev2、アウディのカーオーディオ、Bose のヘッドホン、Garmin の時計、鍵のトラッカー、そしてナンバー ABC-1234 を同時に結びつける車両は一台しかない。

この製品は車両を追跡するだけではない。誰かが最小限の嫌疑を述べるまでもなく、人と人との関係グラフを自動的に生成する。

質的な飛躍はここで起こる。定期的に一緒に移動する機器を相関させることで、システムは機械的に社会的関係のグラフを構築する。毎朝同じ車に居合わせる二台の携帯電話は、相乗りか、あるいはどちらも公にしたくない関係かのいずれかだ。同じ場所に同じ時刻に捕捉された五十台の機器は、集まりである。デモ、宗教儀式、労働組合の会合、あるいはクリニック前の行列。

これらの結論はいずれも通信の内容にアクセスする必要がない。近接テーブルから、既定の動作として、指定された対象ではなく移動中の全人口について導き出される。あらゆる捜査に先立って産業的に生産される、連座による有罪視である。Center for Democracy & Technology の法務担当 Tom Bowman は、TechNewsWorld 誌上でこの問題をこう要約する。本物の容疑者を追跡するのにこの道具を有用にしている性質は、そのまま他のすべての運転者を追跡する能力でもあり、その誰一人として自分の機器の記録に同意していない、と。

レオナルドは二つの反論を示す。システムは通信の内容を復号も読解もしない。そしてシステム自体が個人を特定するわけではない。どちらも事実であり、どちらも論点を外している。求められている情報はもとより内容ではなく、位置のメタデータにある。それはメッセージよりも雄弁だ。特定についても、電子的な署名をナンバープレートに結びつけ、そこから登録簿を辿って所有者に至ることができると、メーカー自身が認めている。

別の目的のために書かれた米国法

米国では、ナンバープレート読取装置を規律する州法が存在し、保存期間やアクセス目的について厳格なものもある。しかしそのすべてが、ある明確な対象を軸に起草されている。ナンバープレートの画像である。同じ機材が個人の機器の識別子を捕捉することを想定した法律は一つもない。

このずれは違法性を生むのではなく、売り手にとって好都合なグレーゾーンを生む。警察当局は嘘をつくことなく、自らのナンバープレート読取プログラムは認可済みで適法だと主張しながら、同じ制度のもとでまったく異質なデータを収集し始めることができる。しかもレオナルドは特殊作戦軍と一般調達局との連邦契約を持っており、これは地方の承認手続きを大幅に回避する調達経路である。

憲法上の議論のほうは、まさに動いたところだ。この夏に法状況が変わったため、ここは正確に述べる必要がある。2026 年 1 月、バージニア州の連邦地裁は Schmidt v. City of Norfolk 事件において、市の Flock カメラ網は住民の移動の全体を捕捉するものではないとして、修正第四条にいう捜索には当たらないと判断した。この判断は第四巡回区で控訴審に係属しており、ACLU が参加している。

続いて 2026 年 6 月 29 日、連邦最高裁は Chatrie v. United States を言い渡した。ケイガン判事執筆の五対四の判断で、警察が携帯電話の位置データを取得することは捜索に当たるとし、個人は当該データについて、第三者が保有していても、また短期間であっても、合理的なプライバシーの期待を保持するとした。この判決は 2018 年の Carpenter v. United States を延長し、第三者法理を弱めるものだと CDT は指摘している。

Chatrie が SignalTrace に及ぼす射程は確定していないし、そうでないと断じるのは軽率だろう。この判決が扱うのは Google に対して求められたデータであり、公共空間で警察のセンサーが直接捕捉する事例ではない。しかし重要な理路を据えた。位置データの機微性は、それを誰が保有しているかによって左右されない、という理路である。

欧州の問題こそが本当の問題

この案件が欧州にとって居心地の悪いものになるのはここからだ。レオナルドは米国のサプライヤーではなく、ミラノ上場のイタリア企業であり、筆頭株主はイタリア経済財務省で、資本の約 30 % を保有し、取締役会の過半数を指名する権限を持つ。この製品においてイタリア国家は受動的な株主ではない。

まず技術的な論点

欧州法において、機器の識別子は個人データである。これは学説上の見解ではなく、監督機関の一貫した立場だ。フランスの CNIL は来場者数計測装置に関する指針で MAC アドレスを明示的にそう扱い、公共空間での収集は狭い条件下でしか認めない。個人間の衝突率を高くしたうえで数分以内に匿名化するか、信頼できる仮名化ののち二十四時間以内に破棄するか、いずれでもなければ同意が必須となる。同じ指針は、Wi-Fi を切るよう来場者に呼びかけることは受け入れ可能な異議申立ての方法ではないとも明記している。

欧州連合司法裁判所は 2025 年 9 月 4 日、EDPS 対 SRB 事件（C-413/23 P）で、仮名化データの個人性は合理的に動員しうる再識別の手段に照らして判断されると明らかにした。ところがここでの保有者は警察当局であり、車両登録簿を手元に持っている。再識別の手段は仮定の話ではなく、隣の部屋にある。

すべてを変える微妙な差異

SignalTrace が「欧州では違法だろう」と書くのは誤りであり、法律家の読者なら即座に気づくだろう。犯罪の予防および訴追を目的として権限ある当局が行う処理は GDPR の適用対象ではない。それは指令（EU）2016/680、いわゆる警察・司法指令の適用対象であり、各加盟国が個別に国内法化している。フランスでは情報処理・自由法の第三編がこれにあたる。CNIL は、この制度が独自の適法性の根拠と独自の権利を備えた自律的なものであることを指摘している。

したがって正しい問いは抽象的な適法性ではなく、条件の問いである。この制度のもとでは、この種の装置には明示的な国内法上の根拠、特定された目的、証明された必要性、限定された保存期間、影響評価、そして独立した監督が必要となる。フランスではナンバープレート読取装置がまさにそのように規律されている。国内治安法典 L233-1 条および L233-1-1 条が、その使用を認める犯罪の限定列挙を定めており、保存期間は原則十五日と欧州連合内でも最短の部類にとどまる。上院の法案がこれを延長しようとしてはいるが。

ここが米国の状況との根本的な違いである。米国では法律が対象、すなわちプレートを規律しており、機器の識別子についての沈黙は許可を意味する。欧州では法律が目的とデータの類型を規律しており、その沈黙は明示的な法的根拠を欠く以上、むしろ禁止を意味する。大西洋の向こうで観察される空白は、こちらでは同じ形では存在しない。欧州のほうが高潔だからではない。法技術が逆なのである。

ではその保護に何の意味があるのか

そこで本稿の核心となる問いが残る。加盟国に支配された欧州企業が、新法なしには自国で配備できない能力を欧州域外へ売るとき、欧州の規制による保護には何の意味があるのか。

反論は真剣に受け止めるに値する。製造者は顧客の法的枠組みに責任を負わない。自国で何を認めるかを決めるのは米国の当局である。製品は独裁国家にではなく、Chatrie が示したばかりのとおり活発な最高裁を備えた法治国家に売られている。そして産業主権の議論も正当だ。欧州企業がこの市場を自ら禁じれば、イスラエル、米国、中国のサプライヤーがそれを取り、監視は一メートルも後退しないまま、欧州は技術基盤を失う。

これらの議論は受け入れうる。だが問題への答えにはなっていない。

第一に、欧州連合はすでに、監視手段の輸出が通常の商取引ではないと認めているからだ。デュアルユース品目に関する規則（EU）2021/821は第 5 条にサイバー監視品目を対象とする包括条項を導入した。製造することが合法な道具でも、仕向地では正当性を欠きうると立法者が認めたからである。その限界は示唆に富む。発動要件は国内弾圧や重大な人権侵害のおそれであり、権威主義体制を想定した類型だ。米国の自治体警察への売却はそこに入らない。欧州の判定枠組みは顧客の道徳性を審査するのであって、売られる能力の性質を審査することはない。

第二に、この種の製品は捌くべき在庫ではなく、維持される能力だからだ。それは研究に資金を供給し、技術者を育て、ノウハウを蓄積し、設置基盤を作る。大規模なテロがある加盟国にこの能力を求めさせる日が来たとき、議論はもはやそれを構築すべきかどうかではない。それはすでに存在し、欧州製で、成熟しており、供給者は部分的に公的機関である。「市場に従っているだけだ」という論法はそのとき循環論法になる。国内市場は輸出によって準備されていたのだから。

このシナリオにおける規制の保護とは、つまりそういうものだ。欧州人を用途からは守るが、手段の存在からは守らない。誰がボタンを押す権利を持つかという問題は解決し、それを作り、売り、改良し、そして待つことは産業界に委ねる。

自分をごまかさずに、できること

まず挙がる答えはいつも MAC アドレスのランダム化である。宣伝でも中傷でもない、公正な検討に値する。それは実在し、機能する。

Android はバージョン 10 以降、iOS はバージョン 14 以降、Wi-Fi で用いる MAC アドレスを既定でランダム化し、ネットワークごとに異なるアドレスを用いる。Bluetooth Low Energy では、現代の機器は解決可能プライベートアドレスを送出する。これは定期的に変化し、解決鍵を持つ相手にしか実機と結びつけられない。

その限界もまた実在する。

ペアリングが扉を開け直す。 解決鍵はペアリング時に渡される。すでにペアリング済み、あるいは明示的に承認された機器は、回転するアドレスの背後にある安定した同一性を取り戻す。この仕組みはそのために設計されている。
多くのモノは何もランダム化しない。 タイヤ空気圧センサー、RFID カード、動物の個体識別チップ、カーオーディオ、安価な周辺機器は固定の識別子を発信する。レオナルドの製品資料はまさにこれらの類型を挙げており、偶然ではない。
ランダム化は無効化できる。 ネットワークごとに切れるようになっており、家庭用ルーターの MAC フィルタリングのためや企業ポリシーにより、利便性から切られていることも多い。
集団は識別子の交替を生き延びる。 これが最も直感に反し、最も重要な点だ。SignalTrace は識別子を探しているのではなく、一緒に移動する機器の集合を探している。集団のうち一つでも固定識別子を発信すれば、他がどれほど規律正しくとも、集合全体が結びつけ可能なままである。

最も効果的な対策は、最も退屈なものにとどまる。発信しないことだ。それには、ショートカットパネルからではなく、設定のなかでシステムレベルで Bluetooth と Wi-Fi を無効化する必要がある。この区別は表面的なものではない。携帯電話による恒常的な位置追跡についての記事で詳述したとおり、大半のコンシューマー向けシステムでは、クイックパネルのボタンは可視のペアリングを切るだけでソフトウェアスタックは生かしたままにし、近接分析は続く。その記事は Bluetooth スキャンを理論上の経路として記述していた。SignalTrace はその商用製品であり、カタログに載り、納品可能である。

結果については正直でいる必要がある。これらの対策は露出面を減らすが、消し去るわけではない。車両はやはりナンバープレートであり、ナンバープレートはやはり読み取られる。何も発信しない唯一の方法は何も持ち歩かないことであり、それは公共政策にはならない。

これが我々の設計思想について語ること

Arpokrat において、Bluetooth を設定のレベルではなく ArpokratOS の Core のレベルで扱うことにしたのは、まさにこの理路による。インターフェース上のスイッチはユーザーの選好にすぎない。更新、システムアプリ、位置情報サービスがそれを迂回したり再有効化したりしても、ユーザーは気づかない。存在しないスタックは再有効化されない。

SignalTrace のような捕捉に対して、これで機器が探知不能になるわけではないし、我々もそう主張しない。携帯電話はモバイル網に接続したままであり、車内の他のモノはそれぞれの都合で発信する。保証されるのは、ある特定の発信経路が、信頼によって無効化されているのではなく、構造上存在しないということだ。これは 5G と法の狙いの誤りについて我々が主張したのと同じ論旨である。法的保護はデータへのアクセスに集中しているが、本来はそれを生み出すインフラの存在そのものを対象とすべきだ。SignalTrace はその実例であり、ただしそのインフラは欧州で作られている。

結論

この案件で最も印象的なのは、研究者が何年も前から記述してきた技術的能力ではない。配備の手法である。

落成式を行う新しいカメラ網はなく、争うべき市議会の議決もなく、性質の変化として識別できる公共調達もない。あるのは既存の支柱に追加されるユニット、既存の契約、すでに認可された事業である。公の議論が始まる日には、インフラは設置され、償却され、捜査手続に組み込まれているだろう。そのとき議論の対象になるのは、すでに存在するデータベースへのアクセス条件であって、そもそもそれを構築すべきだったかどうかではない。

監視をめぐる物事の順序としてはこれが常であり、偶然ではない。残る問いは、欧州自身の産業界が、欧州自身の国家を後ろ盾として、このインフラを他者のために建設するとき、欧州には言うべきことがあると考えるかどうかである。欧州法は、我々の側で誰がこのデータを閲覧できるかという問いへの答えを丹念に組み立ててきた。誰が機械を作る権利を持つのか、という問いを立てたことは一度もない。

5G、位置情報、そして法が狙いを誤った場所

Tue, 18 Aug 2026 00:00:00 +0000

2011年、デトロイト市警はある携帯通信事業者に対し、ティモシー・カーペンターの携帯電話が基地局に接続した履歴を求めた。得られたのは127日間にわたる12,898件の位置点、一日あたりおよそ百件である。その7年後、合衆国最高裁判所は、この請求が捜索にあたり令状を要すると判断した。

この12,898件は第四世代の基地局から得られたもので、その一つひとつが数キロメートルの半径をカバーしていた。同じ請求を今日、都市部の5Gネットワークに向けたなら、数キロメートルの精度で一日百件が返ってくるのではない。数十メートルの精度で、はるかに大きな量が返ってくる。

技術は桁を変えた。法的な論理は、鎖の同じ場所にとどまったままである。

大西洋の両岸で裁判官が認めている法益

ほとんど誰もが認めながら、ほとんどどの条文も実効的に守っていない利益がある。どこかにいるという事実を記録されずにいる権利である。

欧州の判例はこれを明確に確立した。Digital Rights Ireland（併合事件C-293/12およびC-594/12、2014年4月8日）、続いてTele2 SverigeおよびWatson（併合事件C-203/15およびC-698/15、大法廷、2016年12月21日）において、欧州連合司法裁判所は、これらのデータは全体として見れば個人の私生活についてきわめて精密な結論を導きうると判示した。日常生活の習慣、滞在場所、移動、従事する活動、そして社会的関係である。

合衆国最高裁判所もCarpenter v. United States, 585 U.S. 296 (2018) で近い結論に達した。アメリカの学説が繰り返し論じてきた点、すなわちこの収集が不可避かつ自動的であるという性質を、判決は強調した。人は基地局に接続されることに同意するのではない。電源の入った電話を持っているがゆえに接続されるのである。

法益は存在し、この分野で重みを持つ二つの裁判所がそれを認めている。問題は別のところにある。

5Gが実際に変えたもの

よくある混同は、位置情報をメッセージや写真と同じように、電話が送信するデータとして扱うことである。そうではない。位置はネットワークの動作の物理的帰結である。事業者が端末の接続先の基地局を知っているのは、通話を経路制御するために知らなければならないからだ。この情報を暗号化する鍵は存在しない。それは内容ではなく、接続そのものの性質だからである。

5Gが技術面ではなく法的な面で重要になるのは、まさにこの点による。

従来のアーキテクチャは広いセルに依拠していた。4Gの基地局は通常数キロメートルの半径をカバーし、接続だけから推定される位置は都市部で数百メートル、農村部では数十キロメートルに及ぶこともあった。5Gは大規模な高密度化に立脚する。都市部のセルは通常数百メートルをカバーし、工学文献は1平方キロメートルあたり40から50基の基地局という密度を想定する。3G時代は4基か5基であった。

帰結は機械的である。エリクソンの5G測位に関するホワイトペーパーによれば、接続性のためだけに敷設されたインフラが屋外で20から50メートル、屋内で1から3メートルの精度に達し、条件の良い都市部では1メートルを下回る。どこかで有効にされた位置情報機能の話ではなく、アプリが一つも入っておらず、権限が一つも与えられていなくても、ネットワークが構造上知っている事柄である。これらの仕組みと、実際に効果のある対抗策については、携帯電話による恒常的な位置特定についての記事で詳しく扱った。

したがって侵襲の度合いは数桁増した。適用される法的枠組みは、2Gと3Gのために考えられたもののままである。この桁の変化に、規範上の適応は一切伴わなかった。

法はアクセスを守り、生成を守らない

欧州法は、誰が、いかなる条件で、いかなる監督の下で位置データにアクセスできるかを丁寧に定めている。指令2002/58/ECは通信の秘密の原則を置き、司法裁判所はLa Quadrature du Net（併合事件C-511/18、C-512/18およびC-520/18、大法廷、2020年10月6日）において、同指令15条1項を憲章7条、8条、11条および52条1項に照らして読むと、予防目的での通信トラフィックおよび位置データの一般的かつ無差別な保存は許されないと判示した。もっとも裁判所は、加盟国が現実かつ現在の、または予見しうる重大な国家安全保障上の脅威に直面している場合には、実効的な統制を条件として、枠づけられた例外を認めた。

これらは実在する保護であり、軽んじるのは不合理である。しかしそのいずれも事後に働く。データが存在し、保存されていることを前提としたうえで、その利用条件を定めているのである。

だが位置がネットワークの動作から避けがたく生じる副産物であるなら、介入すべき地点は秘密性ではない。残り続けることである。

通信の経路制御に必要で、その直後に消去される瞬間的な位置は、監視の道具ではない。数か月保存される位置の履歴は監視の道具である。それを取り巻くアクセス上の保障がどれほど厚くとも変わらない。

両者の違いは法的なものではなく、アーキテクチャ上のものである。そして欧州の日程が、この問いを理論ではなく喫緊のものにしている。欧州委員会は共同立法者間の合意が得られず、2025年にePrivacy規則案を撤回した。以来、刑事目的のデータ保存に関する別個の法文書に取り組んでおり、それは2026年に予定されている。2006年指令の無効判決以来ばらばらになった各国制度を調和させることを目的とする。言い換えれば、位置メタデータの制度を今後10年にわたって定める条文が、キロメートル級のセルの時代に組み立てられた論理を土台として、いま書かれているのである。

5G自身が作った先例

この件で最も興味深いのは、正しい答えがすでに技術標準の中にあり、ただ別の対象に適用されている、という点である。

4Gまで、加入者の恒久的識別子であるIMSIは、接続時に無線区間を平文で流れていた。これがIMSIキャッチャーを可能にした。電子フロンティア財団の標準的な解説によれば、正規の基地局より強く電波を出して端末を引き寄せ、その識別子を捕捉する偽基地局である。

2019年に公表された3GPP仕様のRelease 15以降、5Gは優雅な答えを用意した。いまやSUPIと呼ばれる恒久的識別子は、無線区間ではSUCIに置き換えうる。SUCIは、加入者固有の部分を、ホーム事業者の公開鍵を用いた楕円曲線暗号で暗号化して得られる秘匿識別子である。対応する秘密鍵を持つホームネットワークだけがこれを復号できる。計算のたびに結果が異なるため、セッションをまたいだ相関づけができない。

採られた論理は強調に値する。立法者が従うべき論理そのものだからである。技術的に不可能な位置の暗号化ではなく、身元を暗号化する。結びつけるべき身元を欠いた位置は、個人を狙った監視にとって価値がきわめて限られる。

欠陥は、この保護が任意であること

もっとも、無視できない留保がある。そしてそれが、この件全体で最も具体的な介入点だと私たちは考える。

米国国立標準技術研究所が2026年3月に公表したホワイトペーパーNIST CSWP 36Aは、これを率直に述べている。Release 15以降に準拠する端末およびネットワーク機能はSUCIをサポートする義務を負うが、その有効化は事業者の任意にとどまる。三つの条件がそろわなければならない。機器ベンダーが対応していること、事業者が自網で有効にすること、そしてSIMカードが計算に必要な要素を備えていることである。

そこに設定上の罠が加わる。標準はヌル保護方式を定めており、そこではSUCIの形式が形のうえでは用いられるが実際の暗号化は行われず、識別子は平文のまま流れる。NISTは、事業者は自網をヌルでない保護方式で構成する必要があると書き、連邦通信委員会の諮問機関CSRICの報告が2021年の時点で、ヌル方式はネットワークが知らない端末からの緊急通報に限るよう勧告していたことを想起させる。

この一文はそのまま置いておく価値がある。移動端末の追跡に対する現時点で最良の保護は、2019年から技術標準の中にある。それは事業者の裁量に委ねられた設定の選択に懸かっている。米国の連邦機関は2026年に、それを有効にすべきだと注意喚起する文書を出す意義を認めている。そして欧州のいかなる法的文書もそれを義務づけていない。

付け加えるなら、SUCIで話が終わるわけではない。5G SUCI-catchers: still catching them all? の題で発表された研究は、暗号化にもかかわらずセッションを再び相関づけうるリンク可能性攻撃を記録している。さらに、攻撃者が端末を旧世代へ落とすよう強いれば保護は完全に失われる。したがって法的義務がすべてを解決するわけではない。それでも、擁護しうる理由のない乖離、すなわち標準が許すことと商用ネットワークが実際に行うこととの乖離は解消されるだろう。

一貫した三つの介入

位置は事後に保護するのではなく設計段階で最小化すべきだという考えを真剣に受け取るなら、論理的に三つの措置が導かれる。

識別子の実効的な秘匿を義務化する。 SUCIの有効化を課し、緊急通報という残余の場合を除き、商用ネットワークでのヌル保護方式を禁じる。新技術を規定するのでも、敷設に資金を投じるのでもない。7年前に標準化され、機器にすでに備わっている機能を有効にせよと求めるだけである。
保存を既定ではなく例外として扱う。 通信の経路制御に必要な位置は、その役割を終えた時点で消去されるべきである。履歴の形成には固有の正当化が要求されるべきである。あなたがどこにいるかを知っているネットワークと、あなたがどこにいたかを覚えているネットワークとの違いがそこにある。
鍵の保管を連結点とする。 データを可読にする鍵が域外にあるなら、サーバーが域内にあることにさして意味はない。法的に意味のある基準は復号手段に対する実効的な支配であるべきで、この問いはData ActとCLOUD Actの衝突を論じた際に詳しく検討した。

Arpokratが取る角度

この論理は電気通信法に固有のものではない。私たち自身のアーキテクチャの選択に適用している論理であり、一文で言い表せる。生み出されなかったものは、守る必要がない。

だからこそArpokratOSは、GPS、Bluetooth、NFCをメニューで無効化するのではなく、カーネルの水準で取り除く。スイッチはポリシーである。特権を持つ構成要素に迂回され、更新によって再び有効にされ、侵害された系に無視されうる。コード経路そのものを取り除けば、問いは消える。これは、私たちが法の水準で求めているのと同じ転換を、一台の端末の水準に置き換えたものである。アクセスではなく生成に介入する、ということだ。

これが何をしないかも、ただちに述べておかねばならない。いかなるOSも端末をネットワークの幾何から引き離しはしない。SIMカードが有効であるかぎり事業者は接続中のセルを知っており、全通信をTor経由にしても何も変わらない。Torが守るのは内容と宛先であって、無線層ではないからだ。まさにそれゆえ、この主題は法的な主題なのである。個々人の設定では減らせない種類のリスクがあり、それについて使える変数は事業者に適用される規則だけである。

同じ関心が私たちの他の仕事も貫いている。存在しないデータは、押収されることも、転売されることも、外部に持ち出されることも、今日誰も持っていない機械によって10年後に復号されることもない。この問いはいま収穫し後で解読する暗号という角度から扱った。

結論

モバイル監視をめぐる公共の議論は、ほぼもっぱらアクセスに集中している。誰がデータを閲覧できるのか、いかなる根拠で、いかなる許可のもとに。この議論は正当であり、2014年以降に司法裁判所が下した判断は具体的な効果を生んだ。しかし、鎖のなかで介入する時点が遅すぎる。

それに先立つ、より決定的な問いは、そもそも履歴が存在すべきかどうかである。今日、正当な理由で作られたデータベースは、明日には別の理由のために利用可能なまま残る。そしてそれを取り巻く保障は、収集の時点では誰も左右できない後年の政治的決定に依存する。これは制度の安定性に対する賭けであり、その期間を定める者はいない。

5Gはこの情報の解像度を何倍にも高めたが、規範上の適応は一切なされなかった。同時に5Gは、SUCIという仕組みによって、実行可能な道はネットワークの物理的性質を暗号化しようとすることではなく、位置を身元から切り離すことにあると示した。技術標準は、法が問いを立てる7年前に答えを出していたのである。

データ保存に関する欧州の条文はいま書かれている。それはメタデータを、したがって位置を、したがって起草者が知らなかった精度で5Gがいま生み出しているものを対象とする。所与とみなされた履歴へのアクセスを整えるにとどまるのか、それともその履歴の必要性そのものを問う勇気を持つのか。それはおそらく、今後数年の欧州における最も重要なプライバシーの問いである。そしてそれは、技術の分野が今回にかぎっては、すでに正しい方向に決着させた問いでもある。

出典

欧州連合司法裁判所、Digital Rights Ireland、併合事件C-293/12およびC-594/12、2014年4月8日
欧州連合司法裁判所、Tele2 SverigeおよびWatson、併合事件C-203/15およびC-698/15、大法廷、2016年12月21日
欧州連合司法裁判所、La Quadrature du Net ほか、併合事件C-511/18、C-512/18およびC-520/18、大法廷、2020年10月6日
合衆国最高裁判所、Carpenter v. United States、585 U.S. 296、2018
米国国立標準技術研究所、Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI)、NIST CSWP 36A、2026年3月
エリクソン、5G positioning: Locating devices anywhere
Merlin Chlosta ほか、5G SUCI-catchers: still catching them all?、ACM WiSec、2021
電子フロンティア財団、Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights、The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online、Data Retention: Commission to present proposal by mid-2026

常時測位：止めたつもりでもスマートフォンがあなたを追跡し続ける仕組み

Sun, 02 Aug 2026 00:00:00 +0000

2024年、メリーランド大学の二人の研究者が、特別な権限も専用機材も持たないままアップルのWi-Fi測位サービスに繰り返し問い合わせを行い、1年で世界の20億を超えるWi-Fiアクセスポイントの正確な位置を再構築した。彼らの論文 Surveilling the Masses with Wi-Fi-Based Positioning Systems は、この地図が何を可能にするかを示している。ウクライナに出入りする機材を追跡すること、マウイ島の火災後の住民移動を観察すること、自宅のルーター経由で特定の個人を追うこと。

これらの機器はどれもGPSを有効にしていなかった。位置は別のところから来ていた。

これはモバイルのプライバシーをめぐる最も広く共有された盲点である。位置情報のスイッチが存在し、それを切れば端末は自分がどこにいるか分からなくなる、という思い込みだ。この思い込みは七つの異なる水準で誤っている。

位置情報は、端末が有効にする機能ではない。端末がそもそも何であるかという性質である。

GPS、つまり最も問題の少ない経路

誰もが名前を挙げられる唯一の仕組みは、同時に最も心配しなくてよい仕組みでもある。

米国のGPS、Galileo、GLONASS、BeiDouを包括する総称であるGNSSは、受信によって働く。衛星は時刻印を付した信号を絶えず送信し、受信機はそのうち複数を捉え、伝搬時間の差から自らの位置を計算する。遮蔽物のない屋外での一般的な精度は3〜5メートル、都市部では建物の壁面が信号を反射するため数十メートルになることが多い。

決定的なのは、この計算が受動的である点だ。端末は衛星に向けて何も送信せず、どの衛星事業者もあなたの存在を知らない。GNSSだけが問題であれば、GPSを切れば十分だっただろう。

ただし一点、含みがある。初回測位を速めるために端末は A-GPS を使う。SUPL プロトコル経由で、サーバーから衛星の軌道暦を取得するのだ。正しいデータを受け取るために、端末は接続中の基地局セルの識別子をそのサーバーへ送る。純粋なGNSSはあなたを売らないが、そこに接ぎ木された高速化の仕組みは売る。

携帯網：通信事業者が構造上知っていること

着信があなたに届くためには、網はあなたがどの区域にいるかを知っていなければならない。これは有効化できるオプションではなく、サービスが成立するための条件である。端末は最寄りのアンテナに絶えず自らを申告し、その登録は事業者側に記録を残す。アプリの導入も、権限の付与も不要だ。有効なSIMカードが一枚あればよい。

精度は方式によって異なる。

セルIDのみ：稠密な市街地で200メートル、一つのアンテナが非常に広い半径を覆う農村部では30キロメートル超。
拡張セルID。アンテナのセクター（多くの基地局は120度の三セクターに分割されている）と信号強度を加える方式で、100メートルから数キロメートル。
タイミングアドバンス。端末とアンテナの間の往復遅延を測る方式で、GSMでおよそ550メートル、LTEで78メートル前後。
三基以上のアンテナによる多点測位：市街地のLTEで50〜300メートル。

5G は二つの累積的な理由で桁を変える。第一に密度。5Gのセルははるかに短い半径しか覆わないため、接続しているという事実そのものが既に細かい情報になる。第二に標準化。Release 16以降、3GPPはネイティブな測位信号を組み込んでいる。商用目標は端末の80 %について屋内3メートル未満、屋外10メートル未満であり、Release 18 は一部の産業用途でセンチメートル級にまで踏み込む。

つまり、あなたを接続させている基盤設備そのものが、あなたが何も有効にしていないのにGPSと同等の品質を持つ測位システムになる。このデータは各国の規則に従って保存され、まちまちな手続で当局に開示される。これはホストされたデータに適用される管轄について論じたときと同じ根本的な論点だ。技術的な保護と法的な保護は重ならない。

Wi-Fi：ハードウェアアドレスでできた世界地図

すべてのWi-Fiアクセスポイントは、固有のハードウェア識別子である BSSID を絶えず発信している。この識別子は固定で、地理的にも安定している。家庭用ルーターは何年も同じ場所に置かれたままだ。

アップル、グーグル、そして少数の専門事業者は、各BSSIDを座標に対応づけるデータベースを保有している。それを作るのは彼ら自身の利用者の端末であり、見えているアクセスポイントの一覧をGNSS測位の結果とともに送り返す。その後、処理は反転する。既知のアクセスポイントを四つ見ている端末は、もはや衛星を一つも必要としない。稠密な市街地では精度は日常的に数十メートルに達し、屋内ではそれを下回る。

この仕組みを無効化しにくくしている性質が二つある。第一に、端末は Wi-Fiがオフに見えるときでもスキャンを続ける。Android 4.3以降、システムは測位精度の向上を目的とした周期的なスキャンを、クイックパネルのスイッチとは独立に維持している。この挙動は位置情報サービスの奥深くに埋もれた別個の設定に依存しており、ほぼすべての利用者が一度も開いたことがない。

第二に、このデータベースは外部から問い合わせ可能である。ライとレビンが突いたのはまさにこの穴だ。測位インターフェースは要求された位置だけでなく近隣のアクセスポイントの位置も返すため、その場所に一度も物理的に近づかないまま地図を刈り取ることができる。

BluetoothとBLE：他人の端末によって位置を特定される

Bluetooth Low Energy は近接の層を追加する。到達距離は数メートルから数十メートルで、携帯網よりはるかに細かい粒度を持つ。用途は二つ並存する。店舗、空港、商業施設に設置された商用ビーコンは識別子を発信し、端末上のアプリがそれを認識する。これによって、あなたがどの棚の前でどれだけ立ち止まったかが明らかになる。もう一つは協調型の位置特定ネットワークで、アップルのFind Myがその原型であり、その後グーグルとサムスンも同種の仕組みを採用した。

この第二の仕組みは、暗黙の前提を裏返す。ダルムシュタット工科大学の研究者がPETS 2021の論文集で発表した基準的な分析 Who Can Find My Devices? は、アップルのプロトコルをリバースエンジニアリングで再構成した。オフラインの機器がBLE信号を発すると、近くにある任意のアップル製端末がそれを受信し、自分の位置を添えて暗号化したうえでアップルのサーバーへ送る。その端末の持ち主にも、位置を特定される機器の持ち主にも知られることなく、である。

帰結は構造的だ。SIMカードもWi-Fiも、いかなるネットワーク接続も持たない機器が、依然として位置特定の対象であり続ける。ポケットに端末を入れた見知らぬ人が近くを通りさえすればよい。あなたの孤立は、もはやあなたの設定ではなく通行人の設定に依存する。

慣性センサー：位置情報の権限なしに位置を割り出す

端末には加速度計、ジャイロスコープ、磁力計、そして多くの場合気圧計が入っている。これらのセンサーは位置情報とは別の権限区分に属する。アプリはあなたがどこにいるかを一度も尋ねることなく、これらを読み取れる。

プリンストンの研究者が PinMe でそれを実証した。彼らのアプリはIPアドレスとタイムゾーンから大まかな位置を得たうえで、センサーを読む。加速度計は加速と制動の特徴を、ジャイロスコープは曲がる順序を、磁力計は進行方位を、気圧計は高度の変化を与える。ニューラルネットワークが移動手段を、徒歩、自動車、鉄道、航空機のいずれかとして判定し、経路は公開されている地図・標高・気象のデータに突き合わせられる。結果として、位置情報の権限なしに、GPSに匹敵する精度の軌跡が得られる。著者自身が記しているとおり手法には限界があり、道路のない地域では失敗し、多くの経路が同じ特徴を生む均質な格子状の街区では精度が落ちる。それでも、拒否した権限が閉じた扉を意味しないことの証明であり続けている。

気圧計はさらに、GNSSが不得手とする次元、すなわち垂直方向をもたらす。米国の緊急通報に関する要件は、屋内からの通報の80 %について上下3メートルの階層精度を課している。誰かが何階にいるかを知ることは、どの街区にいるかを知ることとは性質が異なる。

データ市場：最も平凡な経路

ここまでの仕組みは、位置がどう計算されるかを述べたものだ。残るのはそれがどこへ行くかであり、日常的なリスクの大半はそこで生じている。

数千のアプリが広告SDKを組み込んでいる。開発者が自分の仕事を収益化したり読者数を測ったりするために追加する、第三者提供のソフトウェア部品である。これらの部品はホストとなるアプリの権限を継承する。あなたの位置を正当に必要とする天気アプリが、あなたが名前を読んだこともない事業者へそれを渡すのだ。さらに広告入札のストリームが加わる。バナーが一度表示されるたびに、あなたのおおよその位置が数十の潜在的な買い手へ配信される。何も買わずに聞いているだけの相手も含めて、である。

この原材料が一つの産業を養っている。電子フロンティア財団は Fog Data Science の事例を記録した。同社は2億5000万台を超える端末に関する数十億件のデータポイントを保有すると称し、それを米国の地方警察に販売していた。ブライアン・クレブスは Locate X を紹介している。地図上に多角形を描き、その領域に出入りした端末の履歴を表示できる製品だ。

この経路に技術的な離れ業は要らない。誰かが金を払う気になりさえすればよい。値段は慎ましい。

IMSIキャッチャー：能動的な位置特定

ここまで見てきた仕組みは、正常な動作を利用するものだった。これに対し、網に介入する第三者が行う能動的な位置特定も存在する。

IMSIキャッチャー、別名セルサイトシミュレーターは、正規のアンテナになりすます機材である。到達範囲内の端末はそこに接続し、加入者識別子と、限られた範囲内にいるという事実を明かしてしまう。

5Gは、平文で送られる恒久的な識別子を暗号化された識別子SUCIに置き換えることで、この扉を閉じるはずだった。閉じ方は部分的である。5G SUCI-catchers: still catching them all? と題して発表された研究は、暗号化にもかかわらずセッションを再び相関づけられる連結攻撃を記録している。とりわけ、攻撃者が端末を旧世代へ、特に認証が一方向でしかない2Gへ降格させることに成功すれば、保護は完全に崩れる。5G対応の端末が1990年代の網向けに考案された攻撃に対して脆弱であり続けるのは、今なおそこへ降りることを受け入れているからだ。

対抗策と、その実際の効果

以下の各措置はいずれも何かをする。すべてをするものは一つもなく、実際に果たす役割と世間が期待している役割との落差が、誤った判断を生む。

機内モード

機内モードはセルラーモデム、Wi-Fi、Bluetoothの送信を止める。これは本物の効果であり、これほど小さい労力で得られる最良の結果だ。

しないこと。慣性センサーは止まらず、既にキャッシュされた位置は消えないので再接続時に送信される。さらに多くの端末では、機内モードを抜けないままWi-FiやBluetoothだけを再び有効にできる。そして最後に、これは電源の遮断ではなくソフトウェア上の状態にすぎない。その信頼性は、それを執行するシステムの健全性に依存する。

見落とされがちな細部がある。網からの離脱と再接続そのものが、事業者側では時刻印の付いた事象である。21時にあるセルから消え、23時に別のセルに再び現れた端末は、沈黙ではなく情報を生み出している。

MACアドレスのランダム化

今日のモバイルOSは、場所から場所への追跡を防ぐため、スキャン時にランダムなMACアドレスを送出する。意図はよいが、結果は不完全だ。Why MAC Address Randomization is not Enough をはじめとする基準的な研究は、探索フレームの中身だけで端末を再識別できる場合が多いことを示している。情報要素の数、その値、その並び順が一つの指紋を形づくるのだ。加えてシーケンス番号は増加する値であるため連鎖させられ、機種ごとに固有の時間的特徴も残る。少なくとも20分間、端末の半数を正しく追跡できたと報告する研究もある。

最後に概念上の限界がある。ランダム化が関わるのは探索の段階だけだ。ひとたびネットワークに接続すれば、使われるアドレスはそのネットワークに対して安定している。接続が機能するために、設計上そうなっている。毎朝通うカフェは、あなたを覚えている。

スキャンを本当に止める

これが最も費用対効果が高く、最も無視されている設定だ。AndroidではWi-Fi検索とBluetooth検索は二つの別個の項目であり、位置情報サービスの中にあって、クイックパネルのスイッチとは独立している。これらが有効なままなら、パネルからWi-Fiを切るだけでは足りない。スキャンは続く。

これらを無効にすれば収集の層が丸ごと一つ消える。代償は初回測位が少し遅くなることだけだ。大半の読者にとって、払う労力と得られる結果の比率はこれが最良である。

アプリの権限

明らかに必要としていないアプリから位置情報の権限を取り上げることは、依然として有効だ。近年のシステムは三段階を用意している。その都度の許可、使用中に限定した許可、そしてキロメートル単位の区域しか伝えないおおよその位置である。

ただしこれは、あなたの位置に正当にアクセスする理由を持つアプリの内部に同居するSDKからも、慣性センサーからも、そもそも権限を通らないネットワーク層からも守ってくれない。

VPNが守らないもの

明確にしておくべき点がある。逆の思い込みが非常に広まっているからだ。VPNはあなたの位置を隠さない。 隠すのは公開IPアドレスであり、したがってIPによる位置推定を狂わせる。もっともそれは、この一覧の中で最も粗い仕組みでしかない。

VPNはGNSS受信機にも、Wi-Fiのスキャンにも、Bluetoothにも、センサーにも触れない。あなたの通信事業者が知っていることも何一つ変えない。暗号化されたトンネルはその事業者のアンテナを経由し、セルへの接続は事業者から見えたままだからだ。位置情報の権限を持つアプリがトンネルの内側で正確な座標を送ることも妨げない。VPNは信頼できないネットワーク上で通信の内容と宛先を守る。それだけでも十分に大きい。位置はその守備範囲ではない。

物理的な限界

ファラデーポーチは文字どおりに機能する。送信も受信も遮断する。まだそれが可能な機種であればバッテリーを外すことも同様だ。専用の端末を用意すること、あるいは端末を別の場所に置いてくることが、最も堅牢な措置であり続けている。

これらの解決策には正面から見据えるべき共通の欠点がある。異常を作り出してしまうのだ。毎週火曜の夜に2時間黙り込む端末は、何かを語っている。瞬間の位置ではなくパターンを分析する敵に対しては、不在そのものがデータになる。

三つの敵、三つの戦略

これは本稿で最も重要な区別であり、そして最も読まれることの少ない区別でもある。

広告主やデータブローカーに対しては、この戦いは勝てる。権限の規律、スキャンの無効化、独自の位置情報サービスを持たないシステム、広告識別子のリセット。これらを合わせれば収集される量は非常に大きく減る。この敵が求めているのは安価な量であって、あなた個人の事情ではない。

あなたの通信事業者に対しては、いかなる設定も足りない。セルラー測位はサービスの条件そのものだ。実際の変数は法的なもの、すなわち法が何の保存と提供を認めるか、そして物理的なもの、すなわちどの端末を、どのSIMカードで、誰の名義で、どこで電源を入れるかに限られる。

標的を絞った国家的な敵に対しては、考え方はさらに変わる。事業者データへの合法的なアクセス、セルサイトシミュレーターによる能動的な位置特定、プラットフォームへの開示要求、そして必要に応じた端末そのものの侵害を組み合わせてくるからだ。ソフトウェア上の対抗策は攻撃面を減らすが、現実的な目標は消えることではない。何が露出したままなのかを正確に知ることである。

ArpokratOSのアプローチ

ArpokratOS はこの状況に対し、上の区別から導かれる選択で応じる。無力化すべきものはメニューの中ではなく、システムの水準で無力化する。

GNSS については、ハードウェアのドライバーが取り除かれている。端末は、アプリケーションに対しても、システム自身に対しても、そのチップが存在しないかのように振る舞う。設定画面のスイッチとの違いは表面的なものではない。スイッチはポリシーである。それを適用するのは一つの層であり、十分な権限を持つ部品に迂回されることも、更新によって再び有効化されることも、侵害されたシステムに無視されることもある。コード経路そのものを取り除けば、有効化すべきものがもう存在しないのだから、問いは消える。

Bluetooth も同じ論理でCore層で扱われる。設定でオフにされたBluetoothは、多くの端末で実際にはソフトウェアスタックを生かしたままにして、近接サービスや協調型の位置特定ネットワークを支えている。システムの水準で存在しなければ、店舗のビーコンと会話することも、Find My型のネットワークに参加することも、操作を要さない攻撃面になることもできない。

これが何をしないのかも、はっきり述べておかなければならない。ArpokratOSは端末を検知不能にはしない。 SIMカードが有効である限り、事業者は接続中のセルを把握しており、いかなるOSもそれを変えない。全通信をTorで流したとしても同じだ。経路制御が守るのは内容と宛先であって、電波の幾何ではない。不可視を約束する者は、物語を売っている。

このような設計がもたらすものはもっと控えめだ。実際の収集の大部分が通過するアプリケーション層と近接層を取り除くこと、そして残るものについて明示的な脅威モデルを持つこと。これはデスクトップ用のシステムを選ぶときの推論と同じであり、オペレーティングシステムの比較で詳述している。有用な問いは、ある道具が守ってくれるかどうかではなく、何から、どんな代償で守るのかである。

結論

本稿は消える方法を提供しない。その方法は存在せず、反対のことを主張する文章が主に生み出すのは偽の安心である。それは無防備であることより危険だ。人に危険を冒させるからである。

目的は、位置を特定されるかされないかという二択の問いを、有用な問いに置き換えることだった。誰に、どの精度で、相手にどれだけのコストを強いて、そしてそれは自分にとって重要か。答えは、情報源を守る記者、機微な法域に出張する経営者、面会予定そのものが戦略を漏らしてしまう弁護士、そして広告主に生活習慣を知られるのが不快なだけの個人とで異なる。

そもそも注目すべきは、これらの仕組みを個別に取り出したときの性能ではなく、それらが互いに重なり合っているという事実だ。50メートル精度の位置一つは大して面白くない。だが50メートル精度の位置が、15分ごとに、2年間続けば、住まいが、職場が、信仰が、健康状態が、交際が、情報源が描き出される。位置情報は、他のあらゆるデータを読み解けるものにするメタデータであり、だからこそ高値がつく。

出典

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense