年齢確認法はグローバルな監視ネットワークを構築しつつある

年齢確認法はグローバルな監視ネットワークを構築しつつある

年齢確認法はオンラインにおける未成年者の保護を名目として、アメリカ、イギリス、ブラジル全土に広がっている。しかし、TBOTEプロジェクトによる詳細な技術調査は、これらの法律に準拠するために構築されているインフラが、はるかに広範な機能を持つものだと主張している。それは、未開示のデータ処理業者、無通知の電話認証、そしてコードに直接組み込まれた政府向け報告モジュールを備えた、国境を越えた生体認証監視システムである。

2026年4月に更新されたこの調査は、DNS分析、SDKの逆コンパイル、証明書透明性ログ、企業登記簿の記録、およびSEC EDGARの提出書類に基づいている。引用されているすべての情報源は公開されているものである。

ティール・ネクサス：データパイプラインの両側に関わる一人の投資家

調査の中心的な構造的発見の一つは、ピーター・ティールに関するものである。ティールは、世界中の政府や企業に監視分析ツールを販売するパランティア・テクノロジーズの共同創業者である。また、彼のベンチャーキャピタル部門であるFounders Fundは、ロブロックスからロビンフッドに至るまで様々なプラットフォームにSDKが組み込まれている本人確認会社、Personaの主要投資家でもある。

TBOTEプロジェクトはこれを「収集と分析」のネクサス（接点）と表現している。同一の財務的利害関係者が、生体認証データの取得とそのデータに対するダウンストリームの分析処理、両方から利益を得る構造である。この調査はPersonaとパランティアの間に製品レベルでの連携があるとは主張していないが、Personaの認証フローを利用するユーザーには開示されていない共同所有構造を、重要な事実として記録している。

調査の一環として検証されたPersonaの流出ソースコードには、269項目の認証チェック、43種類の認証タイプ、そしてそれぞれアメリカとカナダの金融情報機関であるFinCENおよびFINTRACに対応した政府向け報告モジュールが含まれているとされている。

技術分析が明らかにしたこと

SDKの逆コンパイルによる調査では、標準的なプライバシー上の懸念を超えるいくつかの具体的な発見があった。

Persona SDKにハードコードされたAES暗号化キーが発見された。この発見が開示された後、バージョン1.15.3でキーがローテーションされており、問題が確認・対処されたことが示唆される。また、SDKには、転送中のデータに対する中間者攻撃を防ぐ標準的なセキュリティ対策である証明書ピンニングが実装されていなかった。

通常の認証セッション中に、7つのアナリティクスサービスが同時に稼働していることが判明した。ベルギーの国営通信事業者Proximusが過半数株式を保有するTelesignという企業が、ユーザーへの通知なしに無通知のネットワーク認証を実施していることが確認された。また、Vonageを通じたキャリアレベルの電話認証も、ユーザーが明示的に認識しない形で実行されていることが判明した。

PersonaシステムにおけるAI顔認証コンポーネントは、米国国土安全保障省の生体認証精度評価で第1位にランクされたParavisionが提供している。調査によれば、ParavisionはPersonaが公開しているサブプロセッサーのページには記載されていない。TBOTEプロジェクトは、未開示のデータ処理業者を12社特定した。

withpersona.comのサブドメイン列挙により197のサブドメインが発見され、その中には65の検証環境が含まれており、内部の機械学習サービス、TigerGraphと特定されたグラフデータベース、そしてアメリカ各州の運転免許証データを管理するAAMVA（全米自動車管理者協会）へのゲートウェイが露出していた。

また、LinkedInでは4つの独立した本人確認ベンダーが同時に稼働しており、同じAndroid APK内に並行した中国の監視スタックが存在していることも記録されている。具体的には、芝麻信用（ゴマクレジット）のソーシャルスコアリング連携、ShanYanのキャリア認証、そして政府向けデバイス識別子が含まれていた。

子どものユーザーが多いプラットフォームであるRobloxでは、NFCパスポート読み取り機能を含むPersonaの完全なSDKが、ユーザーが完了せずには離脱できないとされる認証フロー内に組み込まれていることが判明した。

あなたにとっての意味

TBOTEプロジェクトの調査は、年齢確認そのものが不正であると主張しているわけではない。その主張はより具体的である。年齢確認を実装するために構築されているインフラは、特定の年齢制限という単一のユースケースをはるかに超えた技術的能力と所有構造を持っているということだ。

一般のインターネットユーザーにとって、これはゲームプラットフォーム、ソーシャルネットワーク、またはアダルトコンテンツサイトでの年齢確認プロンプトに応じることが、複数の未開示の第三者による生体認証データの処理、視覚的な通知なしに行われるキャリアレベルの認証、そして政府向け報告機能を持つシステムへのデータの流入を伴う可能性があることを意味する。

アメリカ25州以上、ブラジル、イギリスにおける法的義務化は、調査が「強制的な市場」と呼ぶものをこれらのサービスのために生み出している。報告書によれば、Metaはこの法律に関連するロビー活動に2,630万ドルを費やしたとされている。また、約2億2,000万人のブラジル市民の記録を保有するブラジルのSerproデータベースが、これらの認証システムが稼働するインフラ環境の一部として特定されている。

本人確認とAIエージェントインフラの融合は、新たな懸念事項として指摘されている。この調査は、本人確認が年齢制限コンテンツだけでなく、自動化されたインターネット取引への参加全般における前提条件として位置づけられつつあることを示唆している。

実践的な対処法

このインフラへの自らの関与を理解したいと考える読者は、いくつかの実際的な手順を踏むことができる。

まず、本人確認の完了を求めてきたプラットフォームのプライバシーポリシーとサブプロセッサーの開示内容を確認すること。顔認証ベンダーやキャリア認証サービスが記載されているかどうかを確認してほしい。

次に、あるプラットフォームでの「年齢確認」が、そのプラットフォームにのみデータが留まることを意味しないことを認識しておくこと。SDKベースの認証は、それぞれ独自のデータ保持・共有方針を持つ第三者の本人確認システムを通じてデータをルーティングする。

さらに、自分が所在する地域での法整備の動向を追うこと。年齢確認を義務付ける法律はプラットフォームに法的義務を課し、それがこの調査で述べられているインフラの普及を促進する。自分の州や国が何を義務付けているかを理解することは、特定のオンラインサービスを利用するために提出を求められる可能性のあるデータを把握するうえで重要である。

TBOTEプロジェクトの完全な調査報告書は、その方法論や原典とともに一般公開されている。この調査結果は、これまでに公開された年齢確認業界の技術的に最も詳細な分析の一つであり、開示のあり方、データの流れ、そして構造的な利益相反に関して提起された問題は、規制当局、ジャーナリスト、プライバシー研究者が今後も継続して検討する可能性が高い。