米移民・関税執行局（ICE）、商用スパイウェア「Graphite」利用を認める

2026年4月19日

URLをコピーしました！

米国土安全保障捜査局（HSI）がイスラエルParagon Solutions製のスパイウェア「Graphite（グラファイト）」を使用していることを、米移民・関税執行局（ICE）が認めた。それは薬物取締の捜査を目的とした合法性な利用と主張されているものの、米国では市民に対する監視拡大への強い懸念が広がっている。

「Graphite」は、スパイウェアに関心のある方にとっては馴染み深い名前かもしれない。それは2025年のIT系メディアに何度も登場した話題だからだ。しかし日本の一般メディアで取り上げられる機会はほとんどなかったので、ここでは「そもそもGraphiteって何？」という点も確認しながら今回のニュースをお伝えしたい。

ようやく確認された「実際の運用」

「ICEが、Paragon Solutions（以下Paragon）のスパイウェアを取得したことを複数の議員に明かした」とBloombergが報じたのは2026年4月1日だった。この記事によると、2024年に約200万ドルの契約でGraphiteを取得した米政府は、「薬物（フェンタニル）取引の対策として」それを導入したと説明している。

さらに翌日の4月2日にはTechCrunchが、「HSIがすでにGraphiteを使っていること」まで確認できる書簡の存在について詳しく報じた。この書簡は、連邦下院の民主党議員Summer L.Leeから送られた質問への回答となっており、ICE長官代行のトッド・ライオンズが記名している。この文書によると、HSIは暗号化通信を悪用する組織に対抗するため「その最先端の技術ツールを調達し、運用することを承認した」という。

TechCrunchが入手した書簡
https://www.documentcloud.org/documents/27988741-ice-letter-response-to-congress/

運用の安全性に関しては以下のように説明されている。
「HSIによる当該ツールの運用が、セキュリティ上の、またはカウンターインテリジェンス上の、あるいは外国政府や外国人による不正使用の重大なリスクをもたらさなかったことを確認した」。分かりにくい文章だが、要するに「我々はGraphiteを使ってみたけど、大した問題はなかったよ」とあっさり言い切っている。どのような組織や人物を標的としてGraphiteを利用したという具体的な表記はない。

米国の法執行機関による商用スパイウェアの入手は、過去にも話題となってきた。しかし政府機関が「実際に運用したこと」を議会議員向けの文書で明確に認めたのは、おそらく今回が初めてのことだろう¹。

政府機関とスパイウェア

・これまでの「商用スパイウェア」

政府機関が導入するスパイウェアは、大きく二つに分けることができる。
一つは「自国で運用するために自国で開発したスパイウェア」だ。これらは主にロシアや中国、イランなどでの利用が確認されている。
もう一つは「世界各国の政府機関へ販売するために企業が開発した商用スパイウェア」で、このジャンルの開発元としてはイスラエルが突出した存在となっている。

こうした商用スパイウェアの存在や利用は過去に何度も確認されており、また「政府機関が法の手続きを回避して市民を監視する」という目的で悪用されたケースも指摘されてきた。特に有名なものが「Pegasus（ペガサス）」だろう。イスラエル企業のNSO Group Technologiesが2011年に開発したPegasusは、その優れた攻撃力や監視能力もさることながら「政府機関が市民の監視に利用できるツール」としても大いに知られた、おそらくは最も悪名高いスパイウェアである。

もともとNSO Groupは、イスラエル軍のサイバー部隊「Unit8200」の元隊員たちが設立したスパイウェア企業で、彼らが開発したPegasusは世界中の諜報機関にとっての垂涎ツールとして2016年頃から広く知られる存在だった。ゼロクリックでスマートフォンを攻撃できるPegasus²は、人権擁護団体やプライバシー保護団体を筆頭とした世界中の人々から非難の声を集め、またAppleやWhatsApp（当時）など複数の大手IT企業からも訴訟を起こされてきた。

同社はPegasusについて、あくまでも「命を救うためのツール（＝テロや凶悪犯罪の対策に活かすツール）」だと主張しているものの、実際には独裁政権下の政府機関が人権活動家やジャーナリスト、あるいは自身の対抗勢力の市民を監視して弾圧する（最悪のケースでは殺害する）ために利用してきたことが確認されている。

また、契約した国だけに大きな監視能力を提供できるPegasusは、イスラエルが国際的な軍事交渉に利用する「強力な武器」となっており、それを提供するNSO Groupは、一般の民間企業ではなくイスラエル政府のお抱え的な存在であるということも過去に指摘されてきた。

・新鋭スパイウェア「Graphite」とは

一方、今回のニュースでICEが導入を認めたGraphiteは、もともと「クリーンに使われるツール」のイメージを前面に押し出した新鋭のスパイウェアだった³。2019年にイスラエルで設立されたParagonは、自社の開発したGraphiteが「悪用を防ぐための安全対策」を講じたスパイウェアだと説明してきた。

つまり「うちの製品はPegasusのような恐ろしいものではありません。まともな政府が純粋に犯罪やテロを取り締まるためのスパイウェアです」といった差別化を図る形で、ParagonはGraphiteを世に出した。それはオーストラリアやカナダ、デンマークなど、少なくとも24カ国以上の政府機関に購入されたと伝えられている。

しかし2025年初旬、イタリアが「メローニ首相の政権を批判していたジャーナリストや活動家を監視するために」Graphiteを利用していた事実が発覚する。このニュースは世界的な注目を集め、特にイタリア国内では政治問題に発展する事件として扱われ、それを受けたParagon社はイタリア政府との契約を打ち切る結果となった⁴。

その後、Graphiteに関する調査を行ったシチズンラボは2025年3月、そのスパイウェアの主な攻撃対象がスマートフォンであること、メッセージアプリを攻撃経路に利用していること、そして優れたゼロクリック攻撃の機能を備えていることなどを確認しており（註：この三つの特徴はすべてPegasusと共通している）、また現在ではカナダのオンタリオ州の警察機関でGraphiteのエコシステムが拡大していることも報告した。

米国政府とGraphite

一方で米国は、このニュースが報じられるより前の2024年末にGraphiteの導入を停止していたと伝えられている。バイデン政権下にあった当時の米国政府は、Paragonとの契約を2024年に結んだものの、Graphiteの運用が市民の人権に及ぼす影響や、この製品と法的規制との適合性について確認する必要があるとの考えを示した。しかし2025年、第二次トランプ政権の米国政府はGraphiteの導入を再開する。

つまりGraphiteは、「まともな政府がクリーンな目的で利用するツールを謳っていたにも関わらず、やはり実際には政府が市民を弾圧する用途で利用されていたスパイウェア」で、それを米国がわざわざ再導入していたことが確認された。しかし今回のニュースで注目されるのは「米政府機関が（よりにもよってトランプ政権下で縦横無尽に活動しているICEが）実際にGraphiteを運用したこと」まで議会に認めたという点である。

現状のICE内の組織が、スパイウェアを運用することについては特に何の意外性もない。それ自体は「まあ、使えたら使うでしょうね」という話に過ぎない。しかし政府機関が「我々はイスラエル産の商用スパイツールを導入して実際に使った」という事実を隠すことなく堂々と議会に認めたという行動は、トランプ政権に対抗する市民や勢力を萎縮させるための公表だったという可能性もある。あるいは「米国やICEの感覚が麻痺していること」を如実に表す行動だったと捉えることもできるだろう。

いずれにせよ、あえて前向きに考えるなら、このニュースは「政府機関による商用スパイウェアの導入」について改めて考える機会を世界に提供したかもしれない。とりわけGraphiteは、Pegasusよりも倫理的なスパイウェアと謳われ、多くの国が契約しているツールだ。そのスパイウェアが自国の一般市民を標的として利用された場合、どんなことが可能になるのか。その武器を政府機関が導入・利用するまでに、国内ではどのような手順が踏まれる（踏まれた）のか。イスラエルが他国へ売り込んでいる商用スパイウェアに関し、導入される側の市民が問題意識や危機感を持つには、良いきっかけだったとも言えそうだ。

脚注

米政府の組織名が三つ出てきてしまうので念のため確認したい。この書簡は国土安全保障省（DHS）へ送られた質問状に対してICEが返答したもので、ICEはDHSの管轄下にあり、HSIはICE内の捜査部門である。つまり実際にスパイウェアを運用した組織は「DHS内のICE内のHSI」ということになる。
↩︎
ゼロクリックは「攻撃者がメッセージや通知などを送りつけるだけで、相手の端末側のソフトウェアの脆弱性を経由して感染する（受け取った人間が何かをクリックしなくても勝手に感染する）」という攻撃手法。Pegasusのゼロクリック攻撃はiMessageやWhatsAppなどのメッセージ基盤を利用したことが確認されており、そのために利用された具体的な脆弱性も過去に複数特定されている。一方、Graphiteが利用したゼロクリックに関しては、まだ多くのことが判明していない。
↩︎
とはいえParagonもNSOと同様イスラエルのスパイウェア企業であり、さらに創業者の一人はUnit 8200の元司令官である。「Pegasusとは全く異なるクリーンなスパイウェアを作っています」というのは少々無理があるようにも思われる。同社の顧客（政府の諜報機関や警察機関）がそれを知らないまま製品を導入するはずもないので、おそらくは最初から「織り込み済み」で契約していると考えるほうが自然だろう。
↩︎
念のため記しておくが、イタリア政府が市民の怒りを鎮めるためにGraphiteを手放したのではない。「ジャーナリストや社会活動家などの一般市民を標的にGraphiteを悪用したイタリアは、当社の規約に違反した」という理由で、Paragon側がイタリア政府との契約を打ち切っている。もしも「悪用を防ぐための安全対策」というものが万全だったら、このようなスキャンダルは最初から発生しなかったはずなのだが、その点に関するParagon側の説明は見つけることができなかった。 ↩︎