私の犬対エリートGDPR弁護士：誰も話題にしないValveのデータ漏洩
国際的な法律事務所が処理した日常的なGDPRリクエストが、どのようにしてSteamユーザーと未成年者の壊滅的なデータ漏洩につながったのか。
私の犬：請求時間0時間。データ漏洩0件。エリート企業弁護士よりもPDF処理が100%得意。
企業データプライバシーの領域における、不条理でありながら極めて実用的な疑問を探ってみよう。世界的なテクノロジー大手であるValve Corporationは、国際的な法律事務所であるTaylor Wessingの精鋭アタックドッグ弁護士たちを、標準的なGDPRデータリクエストの処理に起用すべきなのだろうか？
答えは、完全にあなたの状況次第です。
- もしあなたの会社が完全に無実で法令遵守しているなら：絶対にありません。
- もしあなたの会社に隠したい大規模な内部データの宝庫があるなら：ええ、間違いありません。すぐに彼らを雇いましょう。
なぜか？それは、これらのエリート企業弁護士が、無意識の二重スパイとして機能するからだ。彼らは喜んで、あなたが規制当局から必死に隠そうとしているあらゆる情報を、相手側に発見させる手助けをするだろう。唯一の技術的要件は、相手方が不十分に墨消しされたPDFを開く方法を知っていることだけだ。
まさにこの理由から、究極のデータ保護責任者（DPO）を決める戦いにおいて、私の犬は高額報酬の企業弁護士に完勝するのです。犬はイーサネットケーブルを噛み千切るかもしれませんが、あなたの最も機密性の高い企業秘密を銀の大皿に載せて提供し、GDPRデータ侵害を引き起こすことは決してありません。
官僚機構の武器化
これらのトップクラスの法律事務所の核心的な戦略は、秘密の知識を誇示する雰囲気を醸し出し、最初から相手を威嚇し、法的プロセスを人為的に引き延ばすことにある。EU法はGDPRへの対応を30日以内に要求しているのか？彼らは35日目に回答を送り、意味のない確認質問をして、期限をリセットする。目的はコンプライアンスではなく、企業に異議を唱える者を疲弊させることにある。
我々は、この官僚的なたらい回しの正確なタイムラインを把握している。8月15日、テイラー・ウェッシング法律事務所の弁護士（トビアス・シェリンスキー博士）が正式な書簡を送り、GDPRリクエストを遅延させるためにあらゆる手段を講じた。彼は追加の身分証明を要求し、ユーザーの使い捨てメールアドレス（文字通り「重要ではない」と訳される別名）に実名が明示的に含まれていないと主張した。その後、この人為的に作り出した遅延を利用して、問題のSteamアカウントを即座に永久停止処分とした。
彼らはこの単純なデータ要求を数か月にわたって引き延ばした。最終的に10月1日、別の弁護士（パトリック・ツアハイデ博士）が引き継ぎ、要求されたデータを提供した。
（そして、そう、Taylor Wessingさん、あなた方がこの記事についてどれほど心躍らせているか、私たちはよく分かっています。あなた方のエリート企業戦略を競合他社に暴露してしまい、本当に申し訳なく思っています。いや、待ってください。このレベルのデジタル無能さで、あなた方に競合他社など存在するのでしょうか？実際、気にしないでください。その質問に答える必要はありません。私たちがどうでもいいと思っている相手からの返信を、30日間も待つつもりはないので。）
しかし、遅延を武器化することは標準的な法廷戦術である一方、その後に起きたことは壊滅的な運用上の失敗だった。これらの番犬たちが柵に向かって吠えている間に、彼らは裏口を大きく開け放ったままにしていたのだ。
IT弁護士のためのIT基礎講座（モジュール101）
流出データを見る前に、これがどのようにして起こったのかについて話す必要があります。
どのような評価の高いIT法の法学修士（LL.M.）プログラムのシラバスを見ても、国際データ保護、サイバーセキュリティフレームワーク、GDPR第32条（「処理の安全性」）の法的解釈に関する広範なモジュールが見つかるだろう。教授たちは、個人データを保護することの理論上の必要性について、学生たちに何ヶ月もかけて徹底的に叩き込む。
しかし、大学は大学院生がすでにコンピュータの仕組みを理解していることを前提としている。「ファイルの保存方法」や「Adobe Acrobatの使い方」を教えることはない。そして、まさにこの点で、エリート企業法務システムは崩壊したのである。
こちらが専門家たちの目を逃れた技術的な現実である：
Portable Document Format（PDF）は平面的な写真ではありません。これは階層化されたデジタルコンテナです。基本的なPDFエディタを使用してテキスト行の上に黒いベクター長方形を描画しても、テキストを消去しているわけではありません。単にその上にデジタルの付箋を置いているだけなのです。
LibreOffice Draw、Adobe Illustrator、あるいは基本的なテキスト抽出スクリプトのようなプログラムでその文書を開く者は誰でも、黒いボックスの下にあるテキストレイヤーを選択し、コピーして、Notepadに貼り付けるだけで済みます。
適切な墨消し（レッドアクション）には「サニタイゼーション」が必要です。これは、文書コードからテキストオブジェクトとメタデータを恒久的に除去するプロセスです。黒い図形を描くことはサイバーセキュリティではなく、デジタル工作に過ぎません。
漏えいデータ：無能が危険になるとき
GDPR第15条に基づく標準的な開示請求に対し、Valveの法的代理人は、こうしたデジタル上の「工作物」で埋め尽くされた、膨大な830ページの文書を提出した。彼らは、何千行ものデータの上に黒いベクター図形を慎重に配置し——請求者に対して提出されたユーザー報告書（具体的には、その内容）だけを、自分たちの主張に都合の良い情報として見えるように残したのである。
一見すると、830ページにわたって黒いボックスを描き込むという徹底ぶりには、ある種の感心すら覚える。しかし、単にベクターを迂回して、実際に漏洩したデータに目を向ければ、そのユーモアは瞬時に消え去る。
大手企業によるGDPR第15条に基づく開示請求への対応を分析した結果、私たちは構造的な問題を特定しました。テクノロジー大手を代理する企業法務事務所は、しばしば攻撃的な広報部門や保険査定人のように機能しています。彼らの主な戦術は、威圧し、引き延ばし、申請者に圧力をかけてデータ開示を阻止することです。
しかし、最終的にデータの引き渡しを余儀なくされた際、彼らの技術的な無能さが露呈する。第三者の個人データや社内の機密情報を隠そうとする試みの中で、これらの弁護士たちは日常的に根本的に欠陥のあるPDF墨消し手法を用いている。
緊急の推奨事項を、すべてのユーザー、法的な相手方、およびプライバシー擁護者の皆様へ：
もしあなた自身、同僚、または知り合いが、これらの企業弁護士からデータを請求し、黒いボックスで覆われたテキストが含まれるPDFを受け取ったことがあるなら、すぐにそれらのファイルを確認してください。
基本的なエディタ（LibreOffice DrawやAdobe Illustratorなど）でPDFを開くか、単に黒い長方形の下のテキストをカーソルで選択してNotepadに貼り付けてみてください。テキストがコピーされる場合、大規模なデータ侵害が発生しています。この情報を、同様の法的闘争に直面しているすべての人に伝えてください。すべての文書を確認してください。彼らの威嚇戦術は虚勢であり、彼らの技術的な無能さは彼ら自身に不利に働きます——しかし、それは同時に無数の個人のプライバシーを危険にさらすことにもなります。
エリート弁護士たちが実際に漏洩させたもの：
- 非匿名化されたユーザーログイン： Steamのログインはしばしば非常に個人的なものであり、他のオンライン上のアイデンティティと結びついているため、その文書内のユーザーの60%以上が即座に完全に特定されました。
- 暗号化されていない生のチャットログと不条理なレポート： これらは単なる標準的なサーバーログではありませんでした。その文書は、完全に支離滅裂で荒唐無稽なユーザー報告の宝庫を暴露していました。極端な罵倒、純粋な嫉妬、そして抑制の効かない憎悪が色濃く含まれた、生の無修正メッセージの話です。文字通りの殺意、民族主義的な中傷、そしてロシア人ユーザーからウクライナ人ユーザーに向けられた深刻な地政学的悪意が含まれていました。この極めて機密性が高く有害なデータを適切に保護する代わりに、エリート弁護士たちは実質的にヘイトスピーチの生データベースをパッケージ化し、完全に露出した状態で引き渡したのです。
- 未成年者を危険にさらす行為： Valveがプライバシー権の抑制を試みていたウクライナ人ユーザーは、無作為に選ばれた10代の若者ではなかった。彼は高度な技術的能力を持つ個人である。弁護士らは基本的なPDFの墨消し（レッドアクション）を実行できなかったことで、彼を報告した人々の完全に匿名性が解除されたデータベースを彼の手に渡してしまった。これにより、それらのSteamユーザー（その多くは未成年者）は、直接的かつ物理的・デジタル的な危険にさらされることとなった。
うちの犬は絶対にこんなことはしない。うちの犬なら書類を食べるだけだ。データ漏えいはゼロだ。
偽善の傑作：8ページ目
技術的な失敗が面白いと思うなら、このリークに添付された公式のカバーレターは、状況を完全なる喜劇へと引き上げてくれる。
公式の法的回答の8ページ目において、ツアハイデ博士は、特定のアカウント詳細へのユーザーのアクセスを正式に拒否しています。情報の提供を差し控える彼の法的根拠は何か。私たちはドイツ語の文書から直接引用します：
「Steamプラットフォームの他のユーザーの個人データ保護のため、これ以上の詳細な情報を提供することはできません。」
（他のSteamユーザーの個人データ保護のため、これ以上の詳細な回答はできません…）
少しの間、そのことを噛み締めてみてほしい。Taylor Wessingの高給取りのSalary Partnerは、他のSteamユーザーのプライバシーを保護するために特定の詳細の提供を明確に拒否した…その一方で、まさに同じメールの添付ファイルとして、それらのユーザー本人たちの匿名性を解除した身元、チャットログ、生のヘイトスピーチを完全に漏洩させた830ページのPDFを同封していたのだ。
彼は、自らが積極的に流出させているまさにそのデータを保護していると、書き言葉で誇らしげに宣言した。
この書簡は、最後に古典的な企業の脅迫戦術で締めくくられている。ドイツ刑法（StGB）に基づく刑事訴追をユーザーに示唆しつつ、同時に、ユーザーが弁護士らに対して特定のアカウント行動を「説明」するまで、法的に保証されたGDPRデータの残りを人質に取るというものだ。これは、武器化されながらも完全に無能な官僚主義の見本市である。
「エリート」IT法務専門知識に対する5つ星レビュー
この失敗の重大さを理解するには、誰がこのデータを扱っているのかを見る必要がある。これはインターンが担当している話ではないのだ。
公開されている専門職プロフィールによると、この回答の責任者は、テイラー・ウェッシング法律事務所で最近シニア・パートナーに昇進した人物である。この専門家は、アバディーン大学で国際商法の法学修士号を取得しており、そして——皮肉なことに——まさにIT法の博士課程を修了している。
一流の国際企業で情報技術法の博士号を持つ専門家を雇うなら、機密性の高いユーザーデータを国境を越えて送信する前に、デジタル文書を適切にサニタイズする方法を知っていることを期待するだろう。
むしろ、この基本的なデジタルリテラシーにおける壊滅的な失敗は、Valveが長年にわたり強く否定してきた技術的現実を、結果的に裏付けることとなった。この驚くべき法的失態のおかげで、我々は現在、公式に文書化された証拠として以下を手にしている：
- 大規模アカウント連携： Valveは2019年まで遡ってSteamアカウントを関連付ける能力を有している。
- ディープテレメトリ： Valveは、その深度において国家情報機関に匹敵する、ユーザーに関する内部テレメトリおよびロギングシステムを維持している。
- 公式確認： エリート法務チームは、公式かつ検証可能な法的文書において、このすべてを好都合に確認した。
IT法教授への謙虚なお願い（そして現実認識のためのチェック）
アバディーン大学をはじめとする名門機関でIT法の学位を提供されている尊敬すべき教授方にお願いがあります。どうか、学生たちに対し、学位の「IT」の部分をもっと厳しく指導していただけませんでしょうか。
ベクターグラフィックスがどのように機能するかを教えろ。Adobe Acrobatでボックスを描いたからといって、その下にあるテキストコードが魔法のように消えるわけではないことを教えろ。これらは、PhDを授与される前、または機密性の高いGDPRユーザーデータに近づくことが許可される前に、誰もが習得すべき絶対的なデジタルの基本だ。
しかし、学術機関に対しては完全に公平でありましょう。大学は非常に権威があり、尊敬に値する組織です。我々は、評判の高い教授が、被害者を疲弊させるために法的に義務付けられたGDPR対応を人為的に遅延させる方法を学生に教えることは決してないという事実をよく知っています。
その特定のスキル——官僚機構の武器化と法的タイムラインの意図的な引き延ばし——は、いかなる大学のカリキュラムにも含まれていない。それは完全に社内の企業イニシアチブだ。それは、テイラー・ウェッシングのような法律事務所に入って初めて学ぶ、一種のダークアートである。
これは、現代の法曹界におけるキャリアパイプラインについての、過酷でありながら暗黙の了解となっている現実を浮き彫りにしている。実際のところ、テクノロジーを真に理解している卒業生たちは、現実世界で構築、保護、革新に携わる、普通で尊敬に値する仕事へと進んでいくようだ。
そして他の者たちは？高価なスーツを着て、バズワードを弄ぶことだけを望む連中は？彼らはテイラー・ウェッシングのような法律事務所に行き、高額報酬の企業フィクサーとして、テック大手の汚い秘密を、粗末に描かれたデジタルのブラックボックスの背後に埋没させる任務を負うのだ。
EUデータ保護監督機関への正式な請願
GDPR規制当局およびデータ保護監督機関の皆様へ。現在、この混乱の監督を任されている皆様が、まさに同じ類の「専門家」ばかりで構成されていないことを前提として、私たちは敬意を込めて、Taylor Wessingという名で活動しているそのサーカスを調査するようお願い申し上げます。
これらの専門家に対してデジタル再認定を義務付ける法的メカニズムは存在するのだろうか？あるいは、誰かが彼らの体温をチェックするべきなのだろうか？どうやら、これらの弁護士たちが名誉ある「博士」の肩書きを手にした瞬間、彼らの脳から基本的なコンピュータリテラシーを完全に消し去る深刻な企業熱に感染してしまうのは、本当に事実のようだ。
この単一のやり取りに含まれるGDPR違反の膨大な量を、あなたは認識していますか？彼らは法的に義務付けられた対応を人為的に遅延させ、「他者を保護する」という虚偽の名目でデータを留保し、官僚機構を武器化し、その上、まさにその同じ人々の生の、非匿名化されたデータを偶発的に漏洩させたのです。
一方、スコアボードを見てみましょう。私の犬は依然としてデータ漏えい件数はゼロです。確かに、彼女はGDPRリクエストを正常に処理できませんでした。しかし、彼女はクライアントに1時間あたり数百ユーロを請求しながら、大規模な越境データ漏えいを引き起こしたりもしませんでした。現代の企業エコシステムにおいて、何もしないで単に失敗しないことは、私の犬を文句なしの今月の優秀社員にしています。
Steamでゲームを変える時が来た
これは単に弁護士がPDFでミスを犯したという話ではない。数十億ドル規模のプラットフォームが、ユーザーの安全を組織的に軽視しているという問題なのだ。
私たちのプロジェクト「PhishDestroy」は、Valveがそのエコシステムを蝕む無制限のスパム、フィッシング、乗っ取られたアカウントにまったく関心を示さなかったために生まれました。私たちは、その企業責任の空白の中で成長してきたのです。
さて、Valveが選んだ法的代理人と、それに続く今回のデータ漏洩のおかげで、その幕は引き剥がされた。子供たちが搾取されている間、目を背ける方針、規制されていないスキン賭博を無視し、自らの利益を膨らませるためにユーザーのインベントリを永久凍結する行為——これらを今こそ打ち壊す時だ。
我々は証拠、企業の不合理な行動の時系列、そして彼らの失敗に関する完全な技術的詳細をまとめました。これは密度が高く、深刻な内容の読み物です。なぜなら、グローバル企業があなたのデータをどのように扱っているかという真実は、通常そうであるものだからです。
こちらで、Valveの慣行に関する完全かつ詳細な調査をお読みください：
PhishDestroy：Valveが盗まれたアカウントから利益を得る仕組み
Taylor Wessing及びDr. Zurheideに関する特別免責事項
私たちは、次に何が起こるかを正確に把握しています。おそらく、あなたは今まさに、この記事を削除させるために利用規約違反の申し立てや、差し止め請求書を起草していることでしょう。
その前に、公の記録として、いくつか明確にしておきたいことがあります。
まず、PhishDestroyは100%非営利の取り組みです。私たちはこれから一切の収益を得ていません。これは、あなたの競合他社（この特定レベルのデジタルアート＆クラフトにおいて、競合他社が存在するとしての話ですが）から依頼された中傷記事ではありません。私たちがこれを公開するのは、あなたの壊滅的な漏洩が、Valveに関する大規模な調査の基礎的証拠となるからです。
第二に、私たちはあなたの作品を心から称賛したいと思います。手作業で配置された830ページに及ぶ黒い長方形は、実に見事です。その正方形は深く、豊かで、驚くほど一貫性があります。それは、企業が費やす金銭が、その企業にとってまったく意味を持たないという事実の美しい証です。Taylor Wessingでのあなたの時間単価を考慮すると、これはゲーム史上最も高額な現代アートプロジェクトかもしれません。
(次のGDPR対応へのプロのヒント：すでにValveに800ページ以上に黒い四角を描く作業で何百時間もの請求をしているのだから、その下に可愛らしい小さな円も描いてみてはどうだろう？気分転換になるだろう。データの安全性は何も向上しないが、テキストを抽出する人間にとっては楽しいものになるだろう)。
最後に、これを丁寧な警告として受け止めてください。
本出版物に対する報告、削除申請、または法的脅迫の試みは、すべて合法的かつ非営利のセキュリティ研究への直接的な攻撃とみなします。当方は、インターネットの極めて単純なルールに基づいて活動しています。このリンクの削除を試みることは自由ですが、実行に移した場合、当方は常に同じ対応を取ります。すなわち、あなたが1つのリンクを破壊するごとに、新たに5つのリンクが出現することになります。
インターネットへようこそ。
テイラー・ウェッシングへの法的リマインド：72時間ルール
通常、私たちがあなたにビジネス上のアドバイスを提供することはありません。「店を畳め」以外にはね。しかし、サイバーセキュリティの専門家として、あなたの技術的失敗がもたらす法的現実を指摘する義務があると感じています。
グラフィックベクターオーバーレイを使用して適切な構造的文書サニタイゼーションを行わないという貴社の慣行は、GDPR第32条（処理のセキュリティ）への直接的な違反です。
我々は、これまでに相手方、申請者、またはクライアントに送信したすべてのPDFを徹底的に監査することを強く推奨します。これらの文書を基礎的なITレベル（メタデータや隠しレイヤーの除去）で確認していない場合、複数の継続的なデータ漏洩に積極的に関与している可能性が極めて高いです。
さらに、尊敬すべきIT法博士の皆様にGDPR第33条を改めてお伝えいたします。データ管理者は、個人データ侵害を認識した時点から、法的に72時間以内に所管の監督機関へ通知することが義務付けられています。
これらの漏えいの越境的な性質と、あなた方が不適切に取り扱っている大量の極めて機微な非匿名化データを考慮すると、この問題を隠蔽しようとすることは、最大級の規制上の罰則を招くだけです。あなた方は現在、この侵害について認識しています。時計は刻々と進んでいます。
もう一度、完全な調査はこちらでお読みください：
PhishDestroy：Valveが盗まれたアカウントから利益を得る仕組み
