ハクソク

世界を動かす技術を、日本語で。

年齢確認を用いた大規模監視インフラ

2026年4月6日原文(tboteproject.com)

概要

  • Persona のソースコード漏洩とSDK解析による監視インフラの実態
  • Peter Thiel がPalantirとPersona両社の支配構造を持つ事実
  • 世界各国での 年齢確認法 によるバイオメトリック認証市場の強制創出
  • SDKにおける 暗号鍵ハードコーディング や証明書ピンニング未実装などの重大なセキュリティ問題
  • 複数の分析サービス への同時データ送信と、政府機関へのレポーティング機能

年齢確認法とバイオメトリック監視インフラの現状

  • ブラジル、イギリス、アメリカ での年齢確認法施行により、バイオメトリックID認証インフラの市場強制創出
  • 監視と本人確認 の二重インフラ化が進行
  • Peter Thiel がPalantir（監視解析）とPersona（ID認証）の主要投資家として両輪を支配
  • 複数国で 立法パイプライン が連動し、国境を越えた市場需要を創出
  • AIエージェント基盤 との統合が進み、ネット上の自動取引の前提条件として本人確認が必須化

Personaソースコード漏洩・SDK解析の主な発見

  • 269種類の認証チェック を実装（年齢確認だけでなく、顔認証・政府ID・PEP照合・テロ等14カテゴリのメディアスクリーニング含む）
  • 政府レポート機能 （FinCEN, FINTRAC等への自動報告モジュール）を内包
  • ブラジル220万人分のバイオメトリックデータ が米加情報機関の監視パイプラインと合流
  • 最大3年間の顔リスト保持 など、OpenAI主張（1年制限）と矛盾するデータ保持仕様
  • 28種のトラッキングリスト （顔・端末・位置・ID・メール・電話・IP等）

SDKのセキュリティ問題と追跡体制

  • AES-256-GCM暗号鍵が全SDKにハードコーディング
    • すべてのテレメトリイベントはこの鍵で暗号化され送信
    • APKから容易に鍵抽出可能、復号も簡単
  • 証明書ピンニング未実装
    • MITM攻撃で全テレメトリが取得・復号可能
  • 同時多発的な7つの分析サービスへのデータ送信
    • Persona Telemetry, Sentry, Amplitude, Datadog RUM, FingerprintJS, Mixpanel, Firebase Analytics
    • 100%セッション追跡・ユーザー行動・デバイス指紋・広告ネットワーク連携

主要な影響・業界の反応

  • Discord ：Persona連携を即時停止
  • OpenAI, Roblox, Reddit, Substack, LinkedIn ：Persona利用を継続
    • Robloxでは NFCパスポート読取・退出不可フロー を子供向けゲームに実装
  • Discord ：7万人分の政府ID・自撮り流出でEFF賞受賞
  • Meta ：年齢確認法推進のために2630万ドルロビー活動

Palantir・Persona・ブラジルのデータ連携構造

  • Palantir ：グローバル監視解析企業（CIA, NSA, DHS, 英国MoD等と契約）
  • Persona ：Founders Fund（Peter Thiel主導）がシリーズC・Dで主投資
  • Palantirブラジル法人 ：Jive Investments（国内最大の不良債権ファンド）代表が兼任
    • Globo ：2PB超の消費者データ処理
  • Founders Fund ：ブラジル金融・法務・バイオメトリックデータにも投資

技術的詳細：Persona APK・Webバンドル解析

  • APK ：Persona Wallet v1.14.0（SDK v2.32.3）をjadxで逆コンパイル
  • 暗号化処理 ：イベントJSON→AES-256-GCM（12バイトIV）→Base64→POST送信
  • 証明書ピンニング未実装 ：OkHttpClient生成時にcertificatePinner()呼び出しなし
  • 追跡サービス ：Sentry（3プロジェクト/100%トレース）、Amplitude、Datadog、FingerprintJS、Mixpanel、Firebase

結論

  • 本人確認インフラのグローバル化と監視化が急速に進行
  • 一部投資家・企業による市場・法制度・技術支配の実態
  • SDK・システムのセキュリティ欠陥が深刻なリスクを生む
  • 個人情報・バイオメトリックデータの国際的な流通・監視体制の拡大

この調査はスポンサー・広告・企業資金なし、全て寄付で運営 Monero（XMR）やBitcoin（BTC）で支援可能

Hackerたちの意見

政府はこれから何を得るんだろう？広告や商業的な視点では理解できるけど、こんなに人気がないのにまだ実施されてるのが不思議だな。

└

政府の種類によるね。全体主義的な政府は、これで支配を強めるんだ。

└

ナニー国家の常態化だね。

└

そんなに人気がないわけじゃないよ。オーストラリアの世論調査では、子どもたちをSNSから排除することに賛成してる人が多かった。大手テック企業やSNSの害、依存メカニズムは、匿名性よりも一般の人にとってはるかに実感しやすいからね。

└

年齢確認はオンラインユーザーの間ではあまり人気がないけど、全体の投票人口は賛成してるよね。https://yougov.com/en-gb/daily-results/20250731-91334-2

└

免責事項: 機能する民主的な政府について話してる（明らかに権威主義的な政府は別）。私たちは人々、特に子供たちを守るために多くのことを規制してる。子供がアルコールを飲んだり、タバコを吸ったり、車を運転したりするのを違法にするのは一般的で、多くの人にとっては完全に自然なことだよね。「学校が子供にタバコやウィスキーを売るのは合法であるべきだ、なぜならそれは親の責任だから」なんて言わないし。インターネットも同じで、子供が店でポルノを買えないようにしたいのと同じように、インターネットでもアクセスできないようにしたい。最近ではソーシャルメディアもそう。だから、これを防ぐための明らかなアイデアは、店でやってることをすること、つまり年齢確認だよね。インターネットの問題は大規模監視で、間違った方法でやると年齢確認がそれに拍車をかける。技術的にはプライバシーを守る方法で年齢確認できるけど、 - 政治家は「正しい技術的な方法」を理解する能力がないし、テックジャイアンツは監視から利益を得てる。善意であっても、無能さから正しい決定を下すのは難しい。 - 技術基準を設定する大国（例えばアメリカ）では、多くの人が政府を完全に信頼してない。でも、プライバシーを守る解決策を実装することに興味がない民間企業も多いから、唯一の実現可能な方法は政府の規制の助けを借りることだと思う（政府がそのサービスを所有すべきだと主張したい）。 - 大多数の人々、特に大多数の政治家は、監視資本主義を理解してないし、気にもしてない。それは彼らにとって存在しないものだから。その状況下では、プライバシーを守る解決策を考慮する理由もないし、技術的にもっと複雑だからね。多くの国では、彼らは良いことをしようとしてると思う。ただ、問題を理解する能力がないだけで、理解してるテックジャイアンツに頼るけど、政治家が間違った実装をするように仕向ける利害関係がある。

└

これはHNではかなり不人気だね。つまり、現実世界では人気があるってことだ。

じゃあ、これを避けるためにはSNSをやめればいいのか？それならいいね。

└

それにオペレーティングシステムも…

└

基盤に浸透する普通さ: 「カリフォルニア（AB-1043）、コロラド（SB26-051）、ブラジル（Lei 15.211/2025）などの最近の法律に従って、年齢確認のためにユーザーの生年月日を保存します。」 [MERGED] https://www.theregister.com/2026/03/24/foss_age_verification... 親としての教訓は、実際に子供と一緒にいると、この脅威の表面が縮小するってことだね（聞いたり話したり教育したり）。

似たような取り組みがずっと進められてきたよ。これがうまくいかなかったら、似たような形でさらに努力が続くと思う。

プライベートじゃない年齢確認は、適切な暗号プロトコルで解決できるんじゃないかな。政府機関でデジタルIDを登録して、年齢証明書をもらう必要があるけど、ほとんどのヨーロッパの国ではデジタルIDがあって、税金やオンラインバンキングなど色々なことに使われてる。そしたら、その証明書を使ってウェブサイトとチャレンジ・レスポンスプロトコルで年齢を確認できるし、毎回新しいユーザーIDを作るけど、その証明書を特定できる情報は明かさないって感じ。逆に、ソーシャルメディアがデジタルIDで直接ログインを求めるようになるのが怖いな。

Hacker Newsで議論の続きを見る