モバイルネットワーク on Arpokrat

SMSによる二要素認証はもう何も守らない：代わりに使うべきもの

Tue, 08 Sep 2026 00:00:00 +0000

2024年1月9日、米国の金融市場規制当局である証券取引委員会（SEC）の公式Xアカウントが、市場が数か月にわたって待ち続けていた決定、すなわちビットコインETFの承認を発表した。数分のうちにビットコインは1枚あたり1,000ドル以上値上がりした。その後SECが否定する。アカウントが乗っ取られていたのだ。価格は2,000ドル以上下落した。

この事件が示唆に富むのは、相場の動きの大きさではなく、用いられた手段の平凡さである。米司法省の発表によれば、26歳のエリック・カウンシル・ジュニアは携帯型のカードプリンターで偽造身分証を印刷し、AT&Tの店舗に出向いて、そのアカウントに紐づく電話番号を自分の管理するSIMカードへ移すよう従業員を説得した。そしてパスワード再設定コードをSMSで受け取り、共犯者に渡した。2025年5月16日、彼は懲役14か月の判決を受けた。

ひとつ補足が要る。事件の読み方を変えるが、その教訓を弱めるものではない。SECの公式声明によれば、このアカウントの多要素認証は2023年7月、担当チーム自身の要請で無効化されていた。つまり事件当時、SMSは第二要素ではなく、アカウント復旧の経路だった。そしてまさにその点が、この例を有用にしている。第二要素であれ裏口であれ、電話番号は鎖が切れる箇所であり続けるのだ。

第二要素が保証するはずのもの

原理は一文で足りる。パスワードだけならあなたが知っているものであり、そこにあなたが持っているもの（電話、物理キー）またはあなた自身であるもの（指紋）が加わる。情報漏洩からパスワードを盗んだ者が、それによってあなたの物理的な品物まで手にするわけではない。

この理屈は、めったに明言されない前提の上に成り立っている。第二要素が本当にあなたの手元にある品物と結びついていること、そしてそれを提示することが、あなたがどこにログインしているかについて何かを証明すること。SMSはこの二点とも満たさない。

SMSは所持の要素ではない

SMSでコードを受け取ることは、あなたが端末を所持している証明にはならない。通信事業者が割り当て、その同じ事業者が変更できる電話番号が、ある端末を指しているという証明にすぎない。これは同じことではない。この隔たりを突く経路は三つあり、それぞれ塞ぎ方が異なる。

SIMスワップ

SEC事件で使われた攻撃であり、技術的な脆弱性には一切依存しない。攻撃者は標的の個人情報を集める。多くは公開済みの漏洩データから入手できる。そのうえで本人になりすまして事業者に連絡する。携帯をなくした、番号を新しいSIMに移してほしい、と。説得力があれば、あるいは従業員が共謀していれば、番号は移り、すべてのSMSが攻撃者に届く。FBIの通報センターIC3の2024年年次報告書は、この年だけでSIMスワップの通報982件、申告された被害額約2,600万ドルを記録している。しかもこれは実際に通報した被害者のみの数字だ。ソフトウェアの更新ではこの経路は塞げない。狙われているのはソフトウェアではなく、人間が回している業務プロセスだからである。

SS7による傍受

Signaling System 7は、世界中の電話網が互いに会話するためのプロトコルである。通話を経路制御し、ローミングを処理し、SMSをある事業者から別の事業者へ届ける。設計は1975年、事業者の集まりが閉じていて数も少なく、互いを構造上信頼できる相手とみなしていた時代のものだ。したがってネットワーク間の認証機構をまったく備えていない。正当に見える要求は、正当なものとして処理される。

これは理論上の弱点ではない。2014年12月、ドイツの研究者トビアス・エンゲルとカルステン・ノールがカオス・コミュニケーション・コングレスで公開実演している。電話番号だけを手がかりに、加入者の位置を特定し、そのSMSを傍受してみせた。2017年には現実の悪用が確認された。ドイツの事業者O2-Telefónicaは、攻撃者が海外事業者のネットワークへのアクセスを得たうえでSMSの転送を設定し、銀行の確認コードを奪ったことで、顧客の銀行口座が空にされたと認めている。

リアルタイムのフィッシング

三つ目の経路が最も重要である。通信事業者側のどんな欠陥にも依存せず、前の二つで修正しうるすべてを生き延びるからだ。

偽サイトがあるサービスのログインページを完璧に模倣する。あなたはそこにIDとパスワードを入力する。偽サイトはそれを即座に本物へ中継し、本物はあなたの電話にSMSを送る。SMSは確かにあなたに届き、しかも本物だ。あなたはコードを偽サイトに入力し、偽サイトは数秒でそれを転送する。セッションが開き、それを握っているのは攻撃者である。

これをadversary-in-the-middle攻撃と呼ぶ。すでに産業化している。2017年に登場したリバースプロキシEvilginxのようなツールや、月額課金で売られるキットが、特別な技能なしにこれを可能にしている。しかも盗まれるのはコードだけではない。セッションCookieが奪われ、以後は認証を一切経ずにログイン状態を保てるようになる。

問題はアーキテクチャにある。SMSで送られるコードには、それを要求したサイトについての情報が一切含まれていない。したがって本物と偽物を区別できない。入力された場所であれば、どこでも有効なのだ。

これはもう意見ではなく、公式な立場である

SMSに反対する最も強い論拠は、ソリューション提供企業ではなく、標準を書く機関から来ている。

2025年7月、米国NISTはSP 800-63B-4『Digital Identity Guidelines: Authentication and Authenticator Management』の最終版を公開した。この文書は制限付き認証器という明示的な区分を新設している。脅威の変化とともに耐性が低下した仕組みに充てられる区分だ。第3.1.3.3節は、公衆交換電話網の利用、すなわちSMSや音声通話で送られるコードをそこに位置づける。「Use of the PSTN for out-of-band verification is restricted as described in this section and SHALL satisfy the requirements of Sec. 3.2.9.」具体的には、なお使い続けるサービスは、制限のない代替手段を用意し、利用者にリスクを知らせ、移行計画を持たなければならない。

その前の2024年12月、米国のサイバーセキュリティ機関CISAは『Mobile Communications Best Practice Guidance』を公表していた。中国国家に連なる主体が複数の米通信事業者に侵入したスパイ活動、ソルト・タイフーンを受けてのものである。表現には解釈の余地がない。「Do not use SMS as a second factor for authentication. SMS messages are not encrypted」、そしてさらに率直に「Only FIDO authentication is phishing-resistant.」文書はYubicoとGoogle Titanを名指ししてFIDOのハードウェアキーを明確に推奨し、FIDOを有効にしたらSMSを無効化しなければならない、さもなければ悪用可能な代替経路として残る、と明記している。

認証アプリ：確かな前進、しかし部分的な解

Time-based One-Time Passwordの頭字語であるTOTPアプリは、30秒ごとに変わる6桁のコードを生成する。有効化時に共有した秘密と現在時刻から、端末内で計算される。電話網を通るものは何もない。

利点はすぐに現れる。番号が関与しなくなるためSIMスワップは無効になり、メッセージが運ばれないためSS7による傍受も同じく無効になる。それ以上に進めないアカウントについては、認証アプリへの移行はやる価値がある。

しかし三つ目の経路は手つかずのまま残る。偽サイトに入力されたTOTPコードは、SMSのコードとまったく同じように本物のサイトへ中継される。アプリはあなたがどこにログインしているかを知らない。数字を表示するだけであり、その数字は30秒の枠内に提示した者なら誰にでも有効だ。CISAも同じ言い方をしている。認証アプリのコードはSMSよりましだが、フィッシングには依然として弱い。

TOTPは誠実な中間段階であって、到達点ではない。

FIDO2キーが問題の性質そのものを変える理由

FIDO2/WebAuthnのハードウェアキーは、攻撃を難しくするだけでなく、その機構上の可能性を取り去る。

サービスに登録する際、キーはそのサービス専用の鍵ペアを生成する。公開側はサービスへ渡り、秘密側はチップから決して出ず、書き出すことも読み出すこともできない。複製しうる共有秘密もなければ、傍受しうる6桁のコードもない。

次に決定的な仕組みが来る。オリジンへの束縛である。ログイン時、ブラウザは表示中のページの実際のドメイン名をキーに渡す。この情報は署名対象のデータに含まれ、ブラウザがそれを強制する。ページのJavaScriptはそれを書き換えることも偽ることもできない。

FIDO2キーはフィッシングの成功を難しくするのではない。フィッシングの成果を使えなくするのだ。

adversary-in-the-middle攻撃をもう一度、今度はキーありで見てみよう。偽サイトは完璧で、被害者は何も気づかずキーに触れる。ブラウザはページの実際のドメイン、つまり詐欺サイトのドメインを渡す。キーはそのドメインに対応する鍵ペアが存在しないことを確認するか、そのドメイン向けに署名して、本物のサービスが拒絶する署名を生成する。いずれの場合も、攻撃者は使えるものを何も得られない。

性質の違いはここにある。SMSやTOTPでは、安全性は最終的に利用者の注意力に、急いでいてページも普通に見える瞬間にアドレスバーの偽ドメインを見抜けるかどうかに委ねられる。FIDO2では、この確認を機械が毎回行い、誰の注意力にも依存しない。暗号の強度よりも、この責任の移し替えこそが重要である。

効果は測定できる。Googleは2017年初めに従業員へのキー利用を義務づけ、8万5,000人を超える規模で2018年にアカウント侵害が一件も記録されていないと表明した。

ハードウェアキーの現実的な限界

これを完璧だと示すのは不誠実であり、本当の判断材料としても役に立たない。

費用はかかる。 モデルにより25〜60ユーロ程度、生体認証版はさらに高く、しかも二倍にして考える必要がある。

本当のリスクは紛失である。 重要なアカウントにキーが一つだけというのは設計上の誤りだ。重要なアカウントごとに二つ登録し、うち一つは別の場所、近しい人のところか金庫に保管する。二つ目は快適さのためではなく、一つ目を不安なく使えるようにするためのものだ。

対応範囲は不完全である。 多くのサービス、とりわけ欧州の銀行はまだFIDO2に対応していない。だからこそ次に述べる優先順位が要る。

キーは盗まれうる。 ゆえにキーにPINコードを設定するか、指紋対応のモデルを選ぶ必要がある。そうでなければ、拾った者にとっては品物そのもので事足りてしまう。

代替経路が最弱の環であり続ける。 SMSを無効にせずFIDO2を有効にしても何も守れない。攻撃者は開いたままの道を通るだけだ。移行が終わるのは、復旧オプションも含めて古い仕組みがアカウントから削除されたときである。

ハードウェアについては、YubiKeyシリーズが最も広いプロトコル範囲をカバーし、Google TitanはFIDOに限定される代わりに安価、NitrokeyとSoloKeysはファームウェアが公開され監査可能な選択肢を提供し、Token2はキーボードではなくキー本体でPINを入力できるテンキー内蔵モデルを作っている。FIDO2認証を受けたキーの中に悪い選択肢はない。プロトコルは同一で、違うのは付随的な用途だけである。

すべてを変えられないとき、どこから始めるか

移行の順序は好みの問題ではなく、アカウント間の依存関係から導かれる。

まずメインのメールボックス。 ほぼ他のすべてのリセットリンクを受け取るのはここだ。これを掌握した攻撃者は、他のアカウントを一つずつ、どれも直接攻撃することなく奪っていく。これより先に守るべきものはない。
パスワードマネージャー。 すべてのアクセスの第一要素を集約しているのだから、その保護は、そこに収まっている最も厳重なアカウントと同等でなければならない。マスターパスワードの質を見直す好機でもある。この主題はエントロピーとあなたの安全を支える科学の記事で詳しく扱っている。
金融口座と暗号資産プラットフォーム。 即座に価値を持つ標的であり、侵害は数分で取り返しのつかない損失に変わる。
読者のいるSNSアカウント。 SEC事件は、フォロワーを持つアカウントの発言の重みを示している。しかも損害は必ずしも本人に及ぶとは限らない。
残りは後回しでよい。 SMSの代わりにTOTPアプリを使えば十分だ。フォーラムや動画配信サービスに同じ手間をかける理由はない。

まだFIDO2に対応していないアカウントについては、可能な限りTOTPへ移行し、通信事業者に番号ポータビリティのロックを申し込むこと。多くの事業者では無料の選択肢である。

これがArpokratの考え方について語ること

この記事が扱っているのは、ある識別子をシステムの中心に据えたがゆえにのみ存在する問題である。電話番号は身元の証明として設計されたことなど一度もない。習慣の積み重ねでオンライン認証の背骨になっただけであり、ここまでに述べた三つの攻撃はいずれも、この用途のすり替えを突いている。

これがArpokrat Messengerのプロトコルを設計する際の考え方だった。電話番号も、メールアドレスも、アカウントもない。利用者は自分の端末に保管された暗号鍵の集合として存在し、つながりは使い捨ての招待リンクを通じて生まれる。論理はFIDO2と同じで、それを一段上に押し上げたものだ。第三者が保持していないものは、通信事業者への社会工学によっても、法的な要求によっても、その第三者から取り出せない。ゼロ知識アーキテクチャとのこの一貫性は、今収集し、後で復号するの記事で展開している。

秘密を一度も外に出さずに署名するハードウェアキーは、そもそもオフラインの暗号資産ウォレットの動作そのものでもある。コールドウォレット完全ガイドで詳述したとおり、秘密の部分を専用の物体に留め、外に出すのは署名だけ、という考え方である。

おわりに

SMSによる二要素認証は、設計が悪かったわけではない。2010年代初めに普及したとき、それはパスワード単独からの相当な前進であり、規模において唯一意味を持つ長所を備えていた。誰もがすでに電話を持っていたことだ。

問題は発明されたことではなく、生き延びたことである。SS7の実演は2014年、銀行での現実の悪用は2017年、リアルタイムフィッシングの産業化はその10年代の終わりに遡る。CISAは2024年にもう使うなと書き、NISTは2025年に制限を正式化した。欠陥が大規模に悪用可能になった時点と、機関がそれを文書に落とした時点との間には、およそ10年の隔たりがある。そしてSMSは今なお、一般消費者向けサービスの大半で既定の第二要素であり続けている。

この隔たりこそが、この記事の本当の情報である。安全の仕組みは、機能しなくなったときに消えるのではない。同じくらい簡便な何かが取って代わったときに消えるのであり、そちらのほうがはるかに長い時間を要する。だから問いは、SMSをやめるべきかどうかではない。それはもう何年も前に決着している。問いは、あなたが当然のものとみなしている他のどの防護が、まだ誰も書き記していないだけで、すでに同じ状況に置かれているのか、である。

出典

米国司法省、Alabama Man Sentenced to 14 Months in Connection with Securities and Exchange Commission X Hack that Spiked Bitcoin Prices、2025年5月16日
証券取引委員会、SECGov X Account、2024年1月22日の公式声明
NIST、SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management、2025年7月最終版
CISA、Mobile Communications Best Practice Guidance、2024年12月18日
FBI Internet Crime Complaint Center、2024 Internet Crime Report
Threatpost、Cellular Privacy, SS7 Security Shattered at 31C3、トビアス・エンゲルとカルステン・ノールによる実演、2014年12月
Help Net Security、Attackers exploited SS7 flaws to empty Germans’ bank accounts、2017年5月
Krebs on Security、Google: Security Keys Neutralized Employee Phishing、2018年7月
W3C、Web Authentication: An API for accessing Public Key Credentials、WebAuthn仕様

5G、位置情報、そして法が狙いを誤った場所

Tue, 18 Aug 2026 00:00:00 +0000

2011年、デトロイト市警はある携帯通信事業者に対し、ティモシー・カーペンターの携帯電話が基地局に接続した履歴を求めた。得られたのは127日間にわたる12,898件の位置点、一日あたりおよそ百件である。その7年後、合衆国最高裁判所は、この請求が捜索にあたり令状を要すると判断した。

この12,898件は第四世代の基地局から得られたもので、その一つひとつが数キロメートルの半径をカバーしていた。同じ請求を今日、都市部の5Gネットワークに向けたなら、数キロメートルの精度で一日百件が返ってくるのではない。数十メートルの精度で、はるかに大きな量が返ってくる。

技術は桁を変えた。法的な論理は、鎖の同じ場所にとどまったままである。

大西洋の両岸で裁判官が認めている法益

ほとんど誰もが認めながら、ほとんどどの条文も実効的に守っていない利益がある。どこかにいるという事実を記録されずにいる権利である。

欧州の判例はこれを明確に確立した。Digital Rights Ireland（併合事件C-293/12およびC-594/12、2014年4月8日）、続いてTele2 SverigeおよびWatson（併合事件C-203/15およびC-698/15、大法廷、2016年12月21日）において、欧州連合司法裁判所は、これらのデータは全体として見れば個人の私生活についてきわめて精密な結論を導きうると判示した。日常生活の習慣、滞在場所、移動、従事する活動、そして社会的関係である。

合衆国最高裁判所もCarpenter v. United States, 585 U.S. 296 (2018) で近い結論に達した。アメリカの学説が繰り返し論じてきた点、すなわちこの収集が不可避かつ自動的であるという性質を、判決は強調した。人は基地局に接続されることに同意するのではない。電源の入った電話を持っているがゆえに接続されるのである。

法益は存在し、この分野で重みを持つ二つの裁判所がそれを認めている。問題は別のところにある。

5Gが実際に変えたもの

よくある混同は、位置情報をメッセージや写真と同じように、電話が送信するデータとして扱うことである。そうではない。位置はネットワークの動作の物理的帰結である。事業者が端末の接続先の基地局を知っているのは、通話を経路制御するために知らなければならないからだ。この情報を暗号化する鍵は存在しない。それは内容ではなく、接続そのものの性質だからである。

5Gが技術面ではなく法的な面で重要になるのは、まさにこの点による。

従来のアーキテクチャは広いセルに依拠していた。4Gの基地局は通常数キロメートルの半径をカバーし、接続だけから推定される位置は都市部で数百メートル、農村部では数十キロメートルに及ぶこともあった。5Gは大規模な高密度化に立脚する。都市部のセルは通常数百メートルをカバーし、工学文献は1平方キロメートルあたり40から50基の基地局という密度を想定する。3G時代は4基か5基であった。

帰結は機械的である。エリクソンの5G測位に関するホワイトペーパーによれば、接続性のためだけに敷設されたインフラが屋外で20から50メートル、屋内で1から3メートルの精度に達し、条件の良い都市部では1メートルを下回る。どこかで有効にされた位置情報機能の話ではなく、アプリが一つも入っておらず、権限が一つも与えられていなくても、ネットワークが構造上知っている事柄である。これらの仕組みと、実際に効果のある対抗策については、携帯電話による恒常的な位置特定についての記事で詳しく扱った。

したがって侵襲の度合いは数桁増した。適用される法的枠組みは、2Gと3Gのために考えられたもののままである。この桁の変化に、規範上の適応は一切伴わなかった。

法はアクセスを守り、生成を守らない

欧州法は、誰が、いかなる条件で、いかなる監督の下で位置データにアクセスできるかを丁寧に定めている。指令2002/58/ECは通信の秘密の原則を置き、司法裁判所はLa Quadrature du Net（併合事件C-511/18、C-512/18およびC-520/18、大法廷、2020年10月6日）において、同指令15条1項を憲章7条、8条、11条および52条1項に照らして読むと、予防目的での通信トラフィックおよび位置データの一般的かつ無差別な保存は許されないと判示した。もっとも裁判所は、加盟国が現実かつ現在の、または予見しうる重大な国家安全保障上の脅威に直面している場合には、実効的な統制を条件として、枠づけられた例外を認めた。

これらは実在する保護であり、軽んじるのは不合理である。しかしそのいずれも事後に働く。データが存在し、保存されていることを前提としたうえで、その利用条件を定めているのである。

だが位置がネットワークの動作から避けがたく生じる副産物であるなら、介入すべき地点は秘密性ではない。残り続けることである。

通信の経路制御に必要で、その直後に消去される瞬間的な位置は、監視の道具ではない。数か月保存される位置の履歴は監視の道具である。それを取り巻くアクセス上の保障がどれほど厚くとも変わらない。

両者の違いは法的なものではなく、アーキテクチャ上のものである。そして欧州の日程が、この問いを理論ではなく喫緊のものにしている。欧州委員会は共同立法者間の合意が得られず、2025年にePrivacy規則案を撤回した。以来、刑事目的のデータ保存に関する別個の法文書に取り組んでおり、それは2026年に予定されている。2006年指令の無効判決以来ばらばらになった各国制度を調和させることを目的とする。言い換えれば、位置メタデータの制度を今後10年にわたって定める条文が、キロメートル級のセルの時代に組み立てられた論理を土台として、いま書かれているのである。

5G自身が作った先例

この件で最も興味深いのは、正しい答えがすでに技術標準の中にあり、ただ別の対象に適用されている、という点である。

4Gまで、加入者の恒久的識別子であるIMSIは、接続時に無線区間を平文で流れていた。これがIMSIキャッチャーを可能にした。電子フロンティア財団の標準的な解説によれば、正規の基地局より強く電波を出して端末を引き寄せ、その識別子を捕捉する偽基地局である。

2019年に公表された3GPP仕様のRelease 15以降、5Gは優雅な答えを用意した。いまやSUPIと呼ばれる恒久的識別子は、無線区間ではSUCIに置き換えうる。SUCIは、加入者固有の部分を、ホーム事業者の公開鍵を用いた楕円曲線暗号で暗号化して得られる秘匿識別子である。対応する秘密鍵を持つホームネットワークだけがこれを復号できる。計算のたびに結果が異なるため、セッションをまたいだ相関づけができない。

採られた論理は強調に値する。立法者が従うべき論理そのものだからである。技術的に不可能な位置の暗号化ではなく、身元を暗号化する。結びつけるべき身元を欠いた位置は、個人を狙った監視にとって価値がきわめて限られる。

欠陥は、この保護が任意であること

もっとも、無視できない留保がある。そしてそれが、この件全体で最も具体的な介入点だと私たちは考える。

米国国立標準技術研究所が2026年3月に公表したホワイトペーパーNIST CSWP 36Aは、これを率直に述べている。Release 15以降に準拠する端末およびネットワーク機能はSUCIをサポートする義務を負うが、その有効化は事業者の任意にとどまる。三つの条件がそろわなければならない。機器ベンダーが対応していること、事業者が自網で有効にすること、そしてSIMカードが計算に必要な要素を備えていることである。

そこに設定上の罠が加わる。標準はヌル保護方式を定めており、そこではSUCIの形式が形のうえでは用いられるが実際の暗号化は行われず、識別子は平文のまま流れる。NISTは、事業者は自網をヌルでない保護方式で構成する必要があると書き、連邦通信委員会の諮問機関CSRICの報告が2021年の時点で、ヌル方式はネットワークが知らない端末からの緊急通報に限るよう勧告していたことを想起させる。

この一文はそのまま置いておく価値がある。移動端末の追跡に対する現時点で最良の保護は、2019年から技術標準の中にある。それは事業者の裁量に委ねられた設定の選択に懸かっている。米国の連邦機関は2026年に、それを有効にすべきだと注意喚起する文書を出す意義を認めている。そして欧州のいかなる法的文書もそれを義務づけていない。

付け加えるなら、SUCIで話が終わるわけではない。5G SUCI-catchers: still catching them all? の題で発表された研究は、暗号化にもかかわらずセッションを再び相関づけうるリンク可能性攻撃を記録している。さらに、攻撃者が端末を旧世代へ落とすよう強いれば保護は完全に失われる。したがって法的義務がすべてを解決するわけではない。それでも、擁護しうる理由のない乖離、すなわち標準が許すことと商用ネットワークが実際に行うこととの乖離は解消されるだろう。

一貫した三つの介入

位置は事後に保護するのではなく設計段階で最小化すべきだという考えを真剣に受け取るなら、論理的に三つの措置が導かれる。

識別子の実効的な秘匿を義務化する。 SUCIの有効化を課し、緊急通報という残余の場合を除き、商用ネットワークでのヌル保護方式を禁じる。新技術を規定するのでも、敷設に資金を投じるのでもない。7年前に標準化され、機器にすでに備わっている機能を有効にせよと求めるだけである。
保存を既定ではなく例外として扱う。 通信の経路制御に必要な位置は、その役割を終えた時点で消去されるべきである。履歴の形成には固有の正当化が要求されるべきである。あなたがどこにいるかを知っているネットワークと、あなたがどこにいたかを覚えているネットワークとの違いがそこにある。
鍵の保管を連結点とする。 データを可読にする鍵が域外にあるなら、サーバーが域内にあることにさして意味はない。法的に意味のある基準は復号手段に対する実効的な支配であるべきで、この問いはData ActとCLOUD Actの衝突を論じた際に詳しく検討した。

Arpokratが取る角度

この論理は電気通信法に固有のものではない。私たち自身のアーキテクチャの選択に適用している論理であり、一文で言い表せる。生み出されなかったものは、守る必要がない。

だからこそArpokratOSは、GPS、Bluetooth、NFCをメニューで無効化するのではなく、カーネルの水準で取り除く。スイッチはポリシーである。特権を持つ構成要素に迂回され、更新によって再び有効にされ、侵害された系に無視されうる。コード経路そのものを取り除けば、問いは消える。これは、私たちが法の水準で求めているのと同じ転換を、一台の端末の水準に置き換えたものである。アクセスではなく生成に介入する、ということだ。

これが何をしないかも、ただちに述べておかねばならない。いかなるOSも端末をネットワークの幾何から引き離しはしない。SIMカードが有効であるかぎり事業者は接続中のセルを知っており、全通信をTor経由にしても何も変わらない。Torが守るのは内容と宛先であって、無線層ではないからだ。まさにそれゆえ、この主題は法的な主題なのである。個々人の設定では減らせない種類のリスクがあり、それについて使える変数は事業者に適用される規則だけである。

同じ関心が私たちの他の仕事も貫いている。存在しないデータは、押収されることも、転売されることも、外部に持ち出されることも、今日誰も持っていない機械によって10年後に復号されることもない。この問いはいま収穫し後で解読する暗号という角度から扱った。

結論

モバイル監視をめぐる公共の議論は、ほぼもっぱらアクセスに集中している。誰がデータを閲覧できるのか、いかなる根拠で、いかなる許可のもとに。この議論は正当であり、2014年以降に司法裁判所が下した判断は具体的な効果を生んだ。しかし、鎖のなかで介入する時点が遅すぎる。

それに先立つ、より決定的な問いは、そもそも履歴が存在すべきかどうかである。今日、正当な理由で作られたデータベースは、明日には別の理由のために利用可能なまま残る。そしてそれを取り巻く保障は、収集の時点では誰も左右できない後年の政治的決定に依存する。これは制度の安定性に対する賭けであり、その期間を定める者はいない。

5Gはこの情報の解像度を何倍にも高めたが、規範上の適応は一切なされなかった。同時に5Gは、SUCIという仕組みによって、実行可能な道はネットワークの物理的性質を暗号化しようとすることではなく、位置を身元から切り離すことにあると示した。技術標準は、法が問いを立てる7年前に答えを出していたのである。

データ保存に関する欧州の条文はいま書かれている。それはメタデータを、したがって位置を、したがって起草者が知らなかった精度で5Gがいま生み出しているものを対象とする。所与とみなされた履歴へのアクセスを整えるにとどまるのか、それともその履歴の必要性そのものを問う勇気を持つのか。それはおそらく、今後数年の欧州における最も重要なプライバシーの問いである。そしてそれは、技術の分野が今回にかぎっては、すでに正しい方向に決着させた問いでもある。

出典

欧州連合司法裁判所、Digital Rights Ireland、併合事件C-293/12およびC-594/12、2014年4月8日
欧州連合司法裁判所、Tele2 SverigeおよびWatson、併合事件C-203/15およびC-698/15、大法廷、2016年12月21日
欧州連合司法裁判所、La Quadrature du Net ほか、併合事件C-511/18、C-512/18およびC-520/18、大法廷、2020年10月6日
合衆国最高裁判所、Carpenter v. United States、585 U.S. 296、2018
米国国立標準技術研究所、Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI)、NIST CSWP 36A、2026年3月
エリクソン、5G positioning: Locating devices anywhere
Merlin Chlosta ほか、5G SUCI-catchers: still catching them all?、ACM WiSec、2021
電子フロンティア財団、Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights、The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online、Data Retention: Commission to present proposal by mid-2026

常時測位：止めたつもりでもスマートフォンがあなたを追跡し続ける仕組み

Sun, 02 Aug 2026 00:00:00 +0000

2024年、メリーランド大学の二人の研究者が、特別な権限も専用機材も持たないままアップルのWi-Fi測位サービスに繰り返し問い合わせを行い、1年で世界の20億を超えるWi-Fiアクセスポイントの正確な位置を再構築した。彼らの論文 Surveilling the Masses with Wi-Fi-Based Positioning Systems は、この地図が何を可能にするかを示している。ウクライナに出入りする機材を追跡すること、マウイ島の火災後の住民移動を観察すること、自宅のルーター経由で特定の個人を追うこと。

これらの機器はどれもGPSを有効にしていなかった。位置は別のところから来ていた。

これはモバイルのプライバシーをめぐる最も広く共有された盲点である。位置情報のスイッチが存在し、それを切れば端末は自分がどこにいるか分からなくなる、という思い込みだ。この思い込みは七つの異なる水準で誤っている。

位置情報は、端末が有効にする機能ではない。端末がそもそも何であるかという性質である。

GPS、つまり最も問題の少ない経路

誰もが名前を挙げられる唯一の仕組みは、同時に最も心配しなくてよい仕組みでもある。

米国のGPS、Galileo、GLONASS、BeiDouを包括する総称であるGNSSは、受信によって働く。衛星は時刻印を付した信号を絶えず送信し、受信機はそのうち複数を捉え、伝搬時間の差から自らの位置を計算する。遮蔽物のない屋外での一般的な精度は3〜5メートル、都市部では建物の壁面が信号を反射するため数十メートルになることが多い。

決定的なのは、この計算が受動的である点だ。端末は衛星に向けて何も送信せず、どの衛星事業者もあなたの存在を知らない。GNSSだけが問題であれば、GPSを切れば十分だっただろう。

ただし一点、含みがある。初回測位を速めるために端末は A-GPS を使う。SUPL プロトコル経由で、サーバーから衛星の軌道暦を取得するのだ。正しいデータを受け取るために、端末は接続中の基地局セルの識別子をそのサーバーへ送る。純粋なGNSSはあなたを売らないが、そこに接ぎ木された高速化の仕組みは売る。

携帯網：通信事業者が構造上知っていること

着信があなたに届くためには、網はあなたがどの区域にいるかを知っていなければならない。これは有効化できるオプションではなく、サービスが成立するための条件である。端末は最寄りのアンテナに絶えず自らを申告し、その登録は事業者側に記録を残す。アプリの導入も、権限の付与も不要だ。有効なSIMカードが一枚あればよい。

精度は方式によって異なる。

セルIDのみ：稠密な市街地で200メートル、一つのアンテナが非常に広い半径を覆う農村部では30キロメートル超。
拡張セルID。アンテナのセクター（多くの基地局は120度の三セクターに分割されている）と信号強度を加える方式で、100メートルから数キロメートル。
タイミングアドバンス。端末とアンテナの間の往復遅延を測る方式で、GSMでおよそ550メートル、LTEで78メートル前後。
三基以上のアンテナによる多点測位：市街地のLTEで50〜300メートル。

5G は二つの累積的な理由で桁を変える。第一に密度。5Gのセルははるかに短い半径しか覆わないため、接続しているという事実そのものが既に細かい情報になる。第二に標準化。Release 16以降、3GPPはネイティブな測位信号を組み込んでいる。商用目標は端末の80 %について屋内3メートル未満、屋外10メートル未満であり、Release 18 は一部の産業用途でセンチメートル級にまで踏み込む。

つまり、あなたを接続させている基盤設備そのものが、あなたが何も有効にしていないのにGPSと同等の品質を持つ測位システムになる。このデータは各国の規則に従って保存され、まちまちな手続で当局に開示される。これはホストされたデータに適用される管轄について論じたときと同じ根本的な論点だ。技術的な保護と法的な保護は重ならない。

Wi-Fi：ハードウェアアドレスでできた世界地図

すべてのWi-Fiアクセスポイントは、固有のハードウェア識別子である BSSID を絶えず発信している。この識別子は固定で、地理的にも安定している。家庭用ルーターは何年も同じ場所に置かれたままだ。

アップル、グーグル、そして少数の専門事業者は、各BSSIDを座標に対応づけるデータベースを保有している。それを作るのは彼ら自身の利用者の端末であり、見えているアクセスポイントの一覧をGNSS測位の結果とともに送り返す。その後、処理は反転する。既知のアクセスポイントを四つ見ている端末は、もはや衛星を一つも必要としない。稠密な市街地では精度は日常的に数十メートルに達し、屋内ではそれを下回る。

この仕組みを無効化しにくくしている性質が二つある。第一に、端末は Wi-Fiがオフに見えるときでもスキャンを続ける。Android 4.3以降、システムは測位精度の向上を目的とした周期的なスキャンを、クイックパネルのスイッチとは独立に維持している。この挙動は位置情報サービスの奥深くに埋もれた別個の設定に依存しており、ほぼすべての利用者が一度も開いたことがない。

第二に、このデータベースは外部から問い合わせ可能である。ライとレビンが突いたのはまさにこの穴だ。測位インターフェースは要求された位置だけでなく近隣のアクセスポイントの位置も返すため、その場所に一度も物理的に近づかないまま地図を刈り取ることができる。

BluetoothとBLE：他人の端末によって位置を特定される

Bluetooth Low Energy は近接の層を追加する。到達距離は数メートルから数十メートルで、携帯網よりはるかに細かい粒度を持つ。用途は二つ並存する。店舗、空港、商業施設に設置された商用ビーコンは識別子を発信し、端末上のアプリがそれを認識する。これによって、あなたがどの棚の前でどれだけ立ち止まったかが明らかになる。もう一つは協調型の位置特定ネットワークで、アップルのFind Myがその原型であり、その後グーグルとサムスンも同種の仕組みを採用した。

この第二の仕組みは、暗黙の前提を裏返す。ダルムシュタット工科大学の研究者がPETS 2021の論文集で発表した基準的な分析 Who Can Find My Devices? は、アップルのプロトコルをリバースエンジニアリングで再構成した。オフラインの機器がBLE信号を発すると、近くにある任意のアップル製端末がそれを受信し、自分の位置を添えて暗号化したうえでアップルのサーバーへ送る。その端末の持ち主にも、位置を特定される機器の持ち主にも知られることなく、である。

帰結は構造的だ。SIMカードもWi-Fiも、いかなるネットワーク接続も持たない機器が、依然として位置特定の対象であり続ける。ポケットに端末を入れた見知らぬ人が近くを通りさえすればよい。あなたの孤立は、もはやあなたの設定ではなく通行人の設定に依存する。

慣性センサー：位置情報の権限なしに位置を割り出す

端末には加速度計、ジャイロスコープ、磁力計、そして多くの場合気圧計が入っている。これらのセンサーは位置情報とは別の権限区分に属する。アプリはあなたがどこにいるかを一度も尋ねることなく、これらを読み取れる。

プリンストンの研究者が PinMe でそれを実証した。彼らのアプリはIPアドレスとタイムゾーンから大まかな位置を得たうえで、センサーを読む。加速度計は加速と制動の特徴を、ジャイロスコープは曲がる順序を、磁力計は進行方位を、気圧計は高度の変化を与える。ニューラルネットワークが移動手段を、徒歩、自動車、鉄道、航空機のいずれかとして判定し、経路は公開されている地図・標高・気象のデータに突き合わせられる。結果として、位置情報の権限なしに、GPSに匹敵する精度の軌跡が得られる。著者自身が記しているとおり手法には限界があり、道路のない地域では失敗し、多くの経路が同じ特徴を生む均質な格子状の街区では精度が落ちる。それでも、拒否した権限が閉じた扉を意味しないことの証明であり続けている。

気圧計はさらに、GNSSが不得手とする次元、すなわち垂直方向をもたらす。米国の緊急通報に関する要件は、屋内からの通報の80 %について上下3メートルの階層精度を課している。誰かが何階にいるかを知ることは、どの街区にいるかを知ることとは性質が異なる。

データ市場：最も平凡な経路

ここまでの仕組みは、位置がどう計算されるかを述べたものだ。残るのはそれがどこへ行くかであり、日常的なリスクの大半はそこで生じている。

数千のアプリが広告SDKを組み込んでいる。開発者が自分の仕事を収益化したり読者数を測ったりするために追加する、第三者提供のソフトウェア部品である。これらの部品はホストとなるアプリの権限を継承する。あなたの位置を正当に必要とする天気アプリが、あなたが名前を読んだこともない事業者へそれを渡すのだ。さらに広告入札のストリームが加わる。バナーが一度表示されるたびに、あなたのおおよその位置が数十の潜在的な買い手へ配信される。何も買わずに聞いているだけの相手も含めて、である。

この原材料が一つの産業を養っている。電子フロンティア財団は Fog Data Science の事例を記録した。同社は2億5000万台を超える端末に関する数十億件のデータポイントを保有すると称し、それを米国の地方警察に販売していた。ブライアン・クレブスは Locate X を紹介している。地図上に多角形を描き、その領域に出入りした端末の履歴を表示できる製品だ。

この経路に技術的な離れ業は要らない。誰かが金を払う気になりさえすればよい。値段は慎ましい。

IMSIキャッチャー：能動的な位置特定

ここまで見てきた仕組みは、正常な動作を利用するものだった。これに対し、網に介入する第三者が行う能動的な位置特定も存在する。

IMSIキャッチャー、別名セルサイトシミュレーターは、正規のアンテナになりすます機材である。到達範囲内の端末はそこに接続し、加入者識別子と、限られた範囲内にいるという事実を明かしてしまう。

5Gは、平文で送られる恒久的な識別子を暗号化された識別子SUCIに置き換えることで、この扉を閉じるはずだった。閉じ方は部分的である。5G SUCI-catchers: still catching them all? と題して発表された研究は、暗号化にもかかわらずセッションを再び相関づけられる連結攻撃を記録している。とりわけ、攻撃者が端末を旧世代へ、特に認証が一方向でしかない2Gへ降格させることに成功すれば、保護は完全に崩れる。5G対応の端末が1990年代の網向けに考案された攻撃に対して脆弱であり続けるのは、今なおそこへ降りることを受け入れているからだ。

対抗策と、その実際の効果

以下の各措置はいずれも何かをする。すべてをするものは一つもなく、実際に果たす役割と世間が期待している役割との落差が、誤った判断を生む。

機内モード

機内モードはセルラーモデム、Wi-Fi、Bluetoothの送信を止める。これは本物の効果であり、これほど小さい労力で得られる最良の結果だ。

しないこと。慣性センサーは止まらず、既にキャッシュされた位置は消えないので再接続時に送信される。さらに多くの端末では、機内モードを抜けないままWi-FiやBluetoothだけを再び有効にできる。そして最後に、これは電源の遮断ではなくソフトウェア上の状態にすぎない。その信頼性は、それを執行するシステムの健全性に依存する。

見落とされがちな細部がある。網からの離脱と再接続そのものが、事業者側では時刻印の付いた事象である。21時にあるセルから消え、23時に別のセルに再び現れた端末は、沈黙ではなく情報を生み出している。

MACアドレスのランダム化

今日のモバイルOSは、場所から場所への追跡を防ぐため、スキャン時にランダムなMACアドレスを送出する。意図はよいが、結果は不完全だ。Why MAC Address Randomization is not Enough をはじめとする基準的な研究は、探索フレームの中身だけで端末を再識別できる場合が多いことを示している。情報要素の数、その値、その並び順が一つの指紋を形づくるのだ。加えてシーケンス番号は増加する値であるため連鎖させられ、機種ごとに固有の時間的特徴も残る。少なくとも20分間、端末の半数を正しく追跡できたと報告する研究もある。

最後に概念上の限界がある。ランダム化が関わるのは探索の段階だけだ。ひとたびネットワークに接続すれば、使われるアドレスはそのネットワークに対して安定している。接続が機能するために、設計上そうなっている。毎朝通うカフェは、あなたを覚えている。

スキャンを本当に止める

これが最も費用対効果が高く、最も無視されている設定だ。AndroidではWi-Fi検索とBluetooth検索は二つの別個の項目であり、位置情報サービスの中にあって、クイックパネルのスイッチとは独立している。これらが有効なままなら、パネルからWi-Fiを切るだけでは足りない。スキャンは続く。

これらを無効にすれば収集の層が丸ごと一つ消える。代償は初回測位が少し遅くなることだけだ。大半の読者にとって、払う労力と得られる結果の比率はこれが最良である。

アプリの権限

明らかに必要としていないアプリから位置情報の権限を取り上げることは、依然として有効だ。近年のシステムは三段階を用意している。その都度の許可、使用中に限定した許可、そしてキロメートル単位の区域しか伝えないおおよその位置である。

ただしこれは、あなたの位置に正当にアクセスする理由を持つアプリの内部に同居するSDKからも、慣性センサーからも、そもそも権限を通らないネットワーク層からも守ってくれない。

VPNが守らないもの

明確にしておくべき点がある。逆の思い込みが非常に広まっているからだ。VPNはあなたの位置を隠さない。 隠すのは公開IPアドレスであり、したがってIPによる位置推定を狂わせる。もっともそれは、この一覧の中で最も粗い仕組みでしかない。

VPNはGNSS受信機にも、Wi-Fiのスキャンにも、Bluetoothにも、センサーにも触れない。あなたの通信事業者が知っていることも何一つ変えない。暗号化されたトンネルはその事業者のアンテナを経由し、セルへの接続は事業者から見えたままだからだ。位置情報の権限を持つアプリがトンネルの内側で正確な座標を送ることも妨げない。VPNは信頼できないネットワーク上で通信の内容と宛先を守る。それだけでも十分に大きい。位置はその守備範囲ではない。

物理的な限界

ファラデーポーチは文字どおりに機能する。送信も受信も遮断する。まだそれが可能な機種であればバッテリーを外すことも同様だ。専用の端末を用意すること、あるいは端末を別の場所に置いてくることが、最も堅牢な措置であり続けている。

これらの解決策には正面から見据えるべき共通の欠点がある。異常を作り出してしまうのだ。毎週火曜の夜に2時間黙り込む端末は、何かを語っている。瞬間の位置ではなくパターンを分析する敵に対しては、不在そのものがデータになる。

三つの敵、三つの戦略

これは本稿で最も重要な区別であり、そして最も読まれることの少ない区別でもある。

広告主やデータブローカーに対しては、この戦いは勝てる。権限の規律、スキャンの無効化、独自の位置情報サービスを持たないシステム、広告識別子のリセット。これらを合わせれば収集される量は非常に大きく減る。この敵が求めているのは安価な量であって、あなた個人の事情ではない。

あなたの通信事業者に対しては、いかなる設定も足りない。セルラー測位はサービスの条件そのものだ。実際の変数は法的なもの、すなわち法が何の保存と提供を認めるか、そして物理的なもの、すなわちどの端末を、どのSIMカードで、誰の名義で、どこで電源を入れるかに限られる。

標的を絞った国家的な敵に対しては、考え方はさらに変わる。事業者データへの合法的なアクセス、セルサイトシミュレーターによる能動的な位置特定、プラットフォームへの開示要求、そして必要に応じた端末そのものの侵害を組み合わせてくるからだ。ソフトウェア上の対抗策は攻撃面を減らすが、現実的な目標は消えることではない。何が露出したままなのかを正確に知ることである。

ArpokratOSのアプローチ

ArpokratOS はこの状況に対し、上の区別から導かれる選択で応じる。無力化すべきものはメニューの中ではなく、システムの水準で無力化する。

GNSS については、ハードウェアのドライバーが取り除かれている。端末は、アプリケーションに対しても、システム自身に対しても、そのチップが存在しないかのように振る舞う。設定画面のスイッチとの違いは表面的なものではない。スイッチはポリシーである。それを適用するのは一つの層であり、十分な権限を持つ部品に迂回されることも、更新によって再び有効化されることも、侵害されたシステムに無視されることもある。コード経路そのものを取り除けば、有効化すべきものがもう存在しないのだから、問いは消える。

Bluetooth も同じ論理でCore層で扱われる。設定でオフにされたBluetoothは、多くの端末で実際にはソフトウェアスタックを生かしたままにして、近接サービスや協調型の位置特定ネットワークを支えている。システムの水準で存在しなければ、店舗のビーコンと会話することも、Find My型のネットワークに参加することも、操作を要さない攻撃面になることもできない。

これが何をしないのかも、はっきり述べておかなければならない。ArpokratOSは端末を検知不能にはしない。 SIMカードが有効である限り、事業者は接続中のセルを把握しており、いかなるOSもそれを変えない。全通信をTorで流したとしても同じだ。経路制御が守るのは内容と宛先であって、電波の幾何ではない。不可視を約束する者は、物語を売っている。

このような設計がもたらすものはもっと控えめだ。実際の収集の大部分が通過するアプリケーション層と近接層を取り除くこと、そして残るものについて明示的な脅威モデルを持つこと。これはデスクトップ用のシステムを選ぶときの推論と同じであり、オペレーティングシステムの比較で詳述している。有用な問いは、ある道具が守ってくれるかどうかではなく、何から、どんな代償で守るのかである。

結論

本稿は消える方法を提供しない。その方法は存在せず、反対のことを主張する文章が主に生み出すのは偽の安心である。それは無防備であることより危険だ。人に危険を冒させるからである。

目的は、位置を特定されるかされないかという二択の問いを、有用な問いに置き換えることだった。誰に、どの精度で、相手にどれだけのコストを強いて、そしてそれは自分にとって重要か。答えは、情報源を守る記者、機微な法域に出張する経営者、面会予定そのものが戦略を漏らしてしまう弁護士、そして広告主に生活習慣を知られるのが不快なだけの個人とで異なる。

そもそも注目すべきは、これらの仕組みを個別に取り出したときの性能ではなく、それらが互いに重なり合っているという事実だ。50メートル精度の位置一つは大して面白くない。だが50メートル精度の位置が、15分ごとに、2年間続けば、住まいが、職場が、信仰が、健康状態が、交際が、情報源が描き出される。位置情報は、他のあらゆるデータを読み解けるものにするメタデータであり、だからこそ高値がつく。

出典

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Utiq：あなたのプライバシーを脅かす通信会社の新しい「スーパーCookie」

Mon, 01 Jun 2026 00:00:00 +0000

ウェブブラウザでのサードパーティCookieの廃止予定は、ターゲット広告業界に真の軍拡競争を引き起こしました。Googleが独自の基準（Privacy Sandboxなど）を課そうとしている中、別の予期せぬプレイヤーがパイの一部を掴むことを決定しました：**あなたのインターネットサービスプロバイダー（ISP）**です。

こうして誕生したのが、ヨーロッパの通信大手によって設立された合弁会社 Utiq（旧称プロジェクト TrustPid）です。「透明で敬意を持った」ソリューションとして一般に販売されているUtiqですが、実際にはサイバーセキュリティの専門家が最も恐れているもの、つまりネットワークレベルで動作する「スーパーCookie」なのです。

Utiqとは何か、どのように機能するのか？

従来、広告トラッキング（Cookie）はウェブブラウザ（Chrome、Firefox、Safari）によって管理されてきました。拡張機能（uBlock Originなど）やプライバシー重視のブラウザ（Braveなど）を使ってブロックすることができました。

Utiqは問題を一歩後退させます：あなたのネットワーク接続のレベルへと。

罠は次のように仕掛けられます：

ネットワークの傍受: モバイル接続（4G/5G）または光回線経由でインターネットを閲覧する際、UtiqはあなたのIPアドレスと通信の契約データを使用してあなたを識別します。
同意（偽りの選択）: 提携サイトに到着すると、ポップアップウィンドウがUtiqを受け入れるよう求めてきます。Cookieバナーに関連する疲労（Consent Fatigue）のため、何百万ものユーザーが読まずに「同意する」をクリックしています。
「Network Signal」: 同意が得られると、Utiqは通信事業者に直接連絡します。通信事業者は、広告主に送信する固有の仮名化された識別トークン（ネットワークシグナル）を生成します。

これで、あなたはコンピュータに保存されたファイルではなく、インターネットを提供するインフラストラクチャそのものによって、サイトからサイトへと追跡可能になります。

なぜUtiqはプライバシーの悪夢なのか（OPSEC）

この取り組みは、デジタル主権とデータの機密性に深刻な問題を引き起こします：

ソースでの追跡: 従来のCookieとは異なり、Utiqを取り除くために単に「履歴を消去」したり「キャッシュをクリア」したりすることはできません。識別トークンはISPによって生成されます。
プロファイルの集中化: 通信事業者はすでにあなたの名前、物理的な住所、銀行の詳細、およびリアルタイムの場所を知っています。Utiqを介したウェブ閲覧履歴をこれにリンクさせることで、彼らは恐ろしいほど正確な行動プロファイリングを作成します。
仮名化の欠陥: Utiqは平文で名前を共有しないことで自らを弁護し、「暗号化された」トークンを使用していると主張しています。しかし、サイバーセキュリティの世界では、仮名化が元に戻せることは証明されています。これらのトークンを他のデータベースと相互参照することで、個人を簡単に再特定できます。

どの通信事業者がUtiqを使用しているか？

Utiqはヨーロッパの4大通信事業者の連合によって設立されました。あなたが彼らのいずれか（またはその低コスト子会社）の顧客である場合、あなたの接続はすでにこのトラッキングと「互換性がある」可能性があります。

OPSECのヒント: Utiqはアクセスを無効にするための中央集権的な同意管理ポータル（consenthub.utiq.com）を提供していますが、最良の防御策は技術的なままです。

Utiqに対抗するためのゼロトラスト（Zero-Trust）アプローチ

Arpokratのようなエコシステムによって推進されるデジタル主権の哲学は、単純な原則に基づいています：ネットワークインフラストラクチャを決して信用しないこと。

Utiqのようなシステムを技術的に無力化するには、自分自身のインターネットプロバイダーからトラフィックを隠すことが解決策です：

主権VPNの使用: デバイスを離れた瞬間にトラフィックを暗号化することで、ISPにはVPNサーバーに向けられた解読不可能なデータストリームしか見えなくなります。Utiqトークンを注入したり読み取ったりすることはもうできません。
Torネットワーク（Orbot）: オニオンルーティングは、エンドツーエンドの識別を完全に防ぎます。
DNS暗号化（DoH/DoT）: 通信事業者があなたがどのウェブサイトにアクセスしようとしているかを知るのを防ぎます。

要約すると、Utiqはインターネットサービスプロバイダーがもはや単なる「土管」であることに満足していない証拠です。彼らはデータブローカーになりたいのです。トラフィックを暗号化することは、もはやセキュリティの選択肢ではなく、デジタルの沈黙を保つための絶対的な必需品です。