インターネット接続を貸し出すことがナイジェリアで法的なトラブルにつながるのかをめぐる議論を、1件のX投稿が再燃させた。「今日になって初めて、ホットスポットの共有が自分を犯罪に巻き込みかねないと知った」とTalk2veeeとして知られるユーザーが8月25日にXへの投稿で書き、見知らぬ人にホットスポットを共有すると「追跡されたときに表示されるのは、あなたのIPアドレスやそのすべてだ」と付け加えた。

この主張に対する反応は割れた。投稿への返信でSam Ivereは、共有ホットスポットの利用者は提供側のIPアドレスまで遡って追跡されうるとの見方に同意し、提供側が自動的に有罪になるわけではないとしながらも、「警察や通信網は真っ先にあなたの電話番号に来るかもしれない」と警告した。一方、John Obiefunaはこの見立ての一部に反論し、ナイジェリアの通信大手の多くが使うキャリアグレードNAT(ネットワークアドレス変換)により、ホットスポット共有の有無にかかわらず、複数の加入者が同じIPアドレスを同時に共有する状況がすでに存在しており、問題となるのは個人専用のIPではなく共有された公開IPだと指摘した。

多くのナイジェリア人にとって、これは抽象的な話ではなく現実的な問題だ。固定回線ブロードバンドの普及率は依然として低く、大半の人はモバイルデータ経由でインターネットに接続しており、友人、同僚、見知らぬ人へのホットスポットの貸し出しは日常的な光景である。その一方で、インターネット詐欺に対するEFCC(経済金融犯罪委員会)の起訴により、サイバー犯罪は報道を賑わせ続けている。

意見が割れたことを受け、Technextは神話と実際の仕組みを切り分けるため、この疑問を2人の通信エンジニアと1人のデジタル権利弁護士に投げかけた。

ホットスポット共有の実際の仕組み

インターネットに接続するすべてのデバイスにはIPアドレスが必要で、これはデータの行き先と戻り先を示す、デジタルの住所のようなものである。通信エンジニアのChukwuka Chijioke Jerryによると、ホットスポットに接続したデバイスには通常、スマートフォンから独自のプライベートIPアドレス(例えば192.168.x.xのようなアドレス)が割り当てられる。そしてスマートフォンはルーターとして動作し、ネットワークアドレス変換(NAT)と呼ばれるプロセスを使って、そのデバイスの通信を自分のセルラー接続経由で転送する。

接続したデバイスが訪れるどのウェブサイトから見ても、その通信はゲスト側のプライベートIPアドレスではなく、スマートフォンの公開側IPアドレスから来たものとして現れる。

電気・電子工学の学位を持ち、無線、RF/マイクロ波、通信工学を専門とするArinzechukwu Miracle Okoliは、建物に例えてこの概念を説明する。公開IPアドレスは建物の表向きの住所のようなもので、外部の世界から見えるものだ。家庭内やホットスポット内の各デバイス――自分のスマートフォン、ノートPC、あるいはホットスポットにつないだ友人のスマートフォン――には、建物の中でしか意味をなさない内部の部屋番号のような、それぞれのプライベートIPアドレスが割り当てられる。

スマートフォンは建物のドアマンとして働く。接続したデバイスがウェブサイトにリクエストを送ると、ドアマンはそれに公開アドレスを貼り替えてから外へ送り出し、返信が戻ってくれば正しい「部屋」へ届ける。外から見ると、ホットスポットを共有するすべてのデバイスは同じに見える。つまり、だれもがあなた本人が閲覧しているように見えるのだ。

ここからは話がさらに複雑になる。2人のエンジニアは、MTNやAirtelを含むナイジェリアのモバイルネットワークが、限られた公開IPアドレスのプールを節約するためにキャリアグレードNAT(CGNAT)を使っていることを確認した。CGNATは同じドアマンの動きを通信事業者のレベルで行うもので、1台のルーターが自分のデバイス間でアドレスを共有する代わりに、ネットワーク事業者が1つの公開IPアドレスを多数の無関係な加入者で一度に共有する。

Chukwukaは、正確な共有比率は公表されておらず、事業者やネットワーク負荷、設定によって異なるものの、根本的な論点は一貫していると指摘した。だれかがホットスポットに接続する前の段階で、ある時点でスマートフォンに紐づく公開IPアドレスは、すでに他の加入者と共有されている可能性があるということだ。

公開IPアドレスだけではほとんど何も証明できない理由

2人のエンジニアは重要な点で見解が一致した。公開IPアドレスだけでは加入者が1人特定できず、ましてや個人が1人特定できるわけではない。捜査当局が公開IPを単一のアカウントまで絞り込むには通常、正確なタイムスタンプや「ポート番号」(共有アドレス上でセッション同士を区別するのに役立つ、各接続に付く技術的な識別子)といった追加の詳細が必要だ。この絞り込みは通信事業者の記録管理に依存する。サイバー犯罪(禁止、予防等)法2015年の第38条では、ナイジェリアのサービスプロバイダーは通信データと加入者情報を2年間保持する義務があり、これが捜査当局がアドレス、タイムスタンプ、ポートをアカウントと突き合わせる際にたどる足跡になる。それでも特定できるのはアカウントであって、当時にデバイスを使っていた人物とは限らない。

ChukwukaとOkoliは、通信事業者は一般的に、顧客の個人ホットスポットにどの特定のデバイスが接続されているかを見ることはできないと双方が指摘した。その情報は、たとえ存在するとしても、ネットワーク事業者のシステムではなく提供側のスマートフォンに保存されている。

法律の定め

技術的な側面は物語の半分にすぎない。Internet for Rightsの創設者でMagamba NetworkのNAFASIプロジェクトオフィサーを務めるMuhammed Bello Buhariは、経済金融犯罪委員会(EFCC)や警察のサイバー犯罪部門を含むナイジェリアの法執行機関は、捜査がSIMやインターネット契約まで遡れば、違法行為に一切関与していなくても契約者に事情を聞くことがあり、実際に聞いていると述べた。この特定可能性自体は、ナイジェリアのSIM登録制度に支えられている。ナイジェリア通信委員会(NCC)の規則では、SIMカードはアクティベーション前に登録が必須で、その後、加入者の国民識別番号(NIN)とリンクされ、各モバイル契約は確認済みの身元に紐づけられている。

しかし、法律が契約者に罪を自動的に転嫁することはない。「ナイジェリアの刑事法学は、インターネット契約を所有しているというだけでは代理的な、あるいは自動的な刑事責任を認めない」とBuhariは述べ、第36条(5)項に基づく憲法上の無罪推定を指摘した。有罪評決を得るには、検察は身体的行為と犯罪の故意の双方を証明しなければならず、通常は証拠法第84条が定めるコンピュータ生成証拠の認証要件に沿って、デバイスのフォレンジック解析、ログイン記録、その他のデジタルな痕跡を特定の個人と突き合わせることになる。

Buhariはさらに、身元の確認できない業者から中古のスマートフォン、ノートPC、ルーターを購入するという、日ごろからある関連リスクにも言及した。デバイスにはIMEI番号(各スマートフォンを識別する一意のシリアル番号で、モバイルネットワーク上での識別に使われる)のようなハードウェア識別子が備わっており、以前に盗難に遭った、または詐欺に使われたデバイスは、セキュリティデータベース上でフラグが付いたままになっている可能性がある。Buhariによると、そうしたデバイスに自分のSIMカードを挿したり、家庭のネットワークに接続したりした心ない購入者は、多くの場合、領収書や売買証明書などでデバイスを正当に、しかも事後に取得したことを証明できるまで、捜査当局から質問を受けるおそれがあるという。

実際の運用では、とBuhariは言う、登録された契約者であることで、それ自体は違法行為への責任を立証するものではないにもかかわらず、捜査当局が接触する最初の人々の1人になる可能性がある。

結論

ホットスポットを共有しても、他の人がそれを使って行った行為に対して自動的に法的責任を負うわけではない。しかし、法執行機関が最初に事情を聞く相手になる可能性はあり、疑いを晴らすまでには時間がかかることもある。この出来事は同時に、デジタル識別子――IPアドレス、ポートログ、IMEI――は有罪の証拠ではなく捜査の出発点であり、それらを特定の個人へ結びつけることこそ検察がなお証明すべきことだと思い出させるものでもある。2人のエンジニアと弁護士は、ホットスポットへのアクセスを信頼できる人に限定すること、強固なパスワードを使うこと、不要になったデバイスは切断することを助言した。

出典:TechNext24