タグ: 個人情報

両親は子供たちの居場所を確認しようとGPS機能付きのスマートウォッチを買い与えるが、セキュリティー上の欠陥があると子供の居場所は赤の他人にも見られてしまう。

今年だけでも、研究者たちの手により子供の位置情報がトラッキングできる何種類ものスマートウォッチにいくつかの脆弱性が発見されている。しかし、米国時間12月18日に発表された新しい調査結果によると、数百万台ものセルラー対応スマートウォッチの機能を支える共用クラウドプラットフォームに深刻で有害な欠陥が内在しているという。

そのクラウドプラットフォームは、位置情報トラッキング機器の最大手メーカーである中国のThinkrace（シンクレース）で開発されたものだ。このプラットフォームは、Thinkrace製機器のバックエンドシステムとして働き、位置情報や機器からのその他のデータの保管と検索を行う。同社は、我が子の居場所を確認したい親たちに向けた、子供の位置情報をトラッキングできる自社製腕時計だけでなく、サードパーティー向けのトラッキング機器も販売している。それを購入した企業は、自社のマークを貼り付け、自社の箱に入れ替えて、自社ブランド製品として消費者に販売する。

直販されるもの再販されるものを含め、これらすべての機器は同じクラウドプラットフォームを使用しているため、Thinkraceが製造して顧客企業が販売したそのOEM機器はすべて脆弱ということになる。

Pen Test Partners（ペン・テスト・パートナーズ）のKen Munro（ケン・ムンロー）氏は、TechCrunchだけにその調査結果を教えてくれた。彼らの調査では、少なくとも4700万台の脆弱な機器が見つかった。「これは氷山の一角に過ぎません」と彼はTechCrunchに話した。

位置情報をリークするスマートウォッチ

ムンロー氏率いる調査チームは、Thinkraceが360種類以上の機器を製造していることを突き止めた。そのほとんどが腕時計とトラッキング機器だ。実際の販業者はラベルを貼り替えて販売するため、Thinkrace製品の多くは異なるブランド名になっている。「自分たちが売っている製品がThinkraceのプラットフォームを使っていることすら知らない業者も少なくありません」とムンロー氏。

販売されたトラッキング機器は、それぞれがクラウドプラットフォームと通信する。直接通信するのもあれば、再販業者が運営するウェブドメインがホスティングするエンドポイントを通して行われるものもある。調査チームは、コマンドがThinkraceのクラウドプラットフォームに送られることを突き止めた。彼らの説明によれば、これが共通の障害点だ。

調査チームによると、機器を制御するコマンドのほとんどは認証を必要とせず、コマンドの説明がしっかりついているので、基本的な知識のある人間なら誰でも機器にアクセスしてトラッキングができるという。また、アカウント番号はランダムではなく、アカウント番号を1ずつ増やすだけで大量の機器にアクセスできた。

この欠陥は、子供を危険にさらすばかりか、この機器を使う人全員にも危険が及ぶ。Thinkraceはスペシャルオリンピックスの参加者に1万台のスマートウォッチを提供したことがある。しかし、その脆弱性のために、アスリート全員の位置情報がモニターできたとはずだと調査チームは話していた。

子供の録音音声が漏洩する

ある機器メーカーがThinkrace製スマートウォッチの販売権を取得した。他の業者と同じくこの業者も、両親が子供の居場所を追跡できるようにし、両親が設定した範囲から出たときに警報を鳴らせるようにしてあった。

調査チームの話では、簡単に推測できるアカウント番号を1ずつ増やしていくだけで、この腕時計を装着しているすべての子供の居場所をトラッキングできたそうだ。

また、このスマートウォッチには、トランシーバーのように両親と子供とが会話できる機能もある。だが、その音声は録音され、セキュリティーの緩いクラウドに保存されていることを調査チームは発見した。その音声データは誰にでもダウンロードできてしまう。

スマートウォッチの再販業者の脆弱なサーバーに保存された子供の声（子供のプライバシー保護のために音声は削除している）

TechCrunchは、ランダムに選んだ音声をいくつか聞いてみたが、子供たちがアプリを通して親に話しているのがよく聞き取れる。調査チームはこの調査結果を、インターネットに接続して遊ぶテディベアのようなおもちゃCloudPets（クラウドペッツ）に例えていた。2017年、そのクラウドサーバーは保護されていなかったため、200万人の子供たちの声が漏洩してしまったのだ。業者が販売したスマートウォッチを利用している親と子供たちは、およそ500万人いる。

情報開示のモグラ叩き

この調査チームは、2015年と2017年にも、複数のOEM電子機器メーカーの脆弱性を公表している。Thinkraceもそこに含まれていた。一部の販売業者は、そのエンドポイントの脆弱性を修正した。中には、脆弱なエンドポイントを保護する修正を行ったものの、後に元に戻してしまった業者もある。しかし大半は、単に警告を無視し、調査チームに彼らの調査結果を公表しろと促しただけだった。

Thinkraceの広報担当者Rick Tang（リック・タン）氏は、我々の質問に応じなかった。ムンロー氏は、脆弱性が広く悪用されているとは思えないが、Thinkraceのような機器メーカーは、より安全性の高いシステムの構築能力を「高める必要がある」と話している。そうなるまで、それらの機器を持っている人たちは使用を中止すべきだとムンロー氏は言う。

関連記事：スマート家電メーカーは見聞きした情報を政府に開示するのか？

画像クレジット：Getty Images

[原文へ]

（翻訳：金井哲夫）

大規模なデータ漏洩や、企業が消費者の許可なく第三者と高度な個人情報を共有しているといった話は、繰り返し耳にするようになっているようだ。Tide Foundationはその状況を変えたいと思っている。彼らの手法は、消費者に個人毎のの暗号化キーを与えることで、ブロックチェーン上の個人データに対して消費者自身が完全なコントロールを行えるようにするというものだ。

さらに米国時間3月5日に発表された声明によれば、スタートアップはそのコンセプトを一歩進めて、ユーザーが自身の個人情報を、オープンマーケット上で売ることができるようにしようとしている。

Tideの共同創業者であるIssac Elnekave氏は、TechCrunchに対して「全体構想は、消費者があるビジネスと関わって個人特定情報を提供しようとする場合に、Tideプロトコルがその情報を暗号化し、消費者に対してそれを復号化できる個人用の唯一のキーを提供するというものです」と語った。

データを完全にコントロールしているため、消費者が最初に許可を与えない限り、企業は情報を第三者に転送することはできない。マーケットプレイスは、データを必要とする企業、そのデータを管理するベンダー、そして最終的にデータを所有している消費者が、そのデータにアクセスするための公正なマーケットバリューについて交渉する手段を提供する。さらに、データを購入する側の企業は、消費者に関する完全な知識と共に提供される、はるかに価値があり正確な情報を入手できることを理解している。

EquifaxやMarriottのような、大規模なデータ漏洩が発生した場合に、もし顧客がTideプロトコルを使っていたならば、ハッカーは手に入れたデータベースの中の個人情報を利用することはできない。なぜなら消費者自身がその情報を復号化するキーをコントロールしているため、データそのものがデータ泥棒にとって無意味なものとなるからだ。

技術的には、このプロトコルは一種の標準的ビジネスブロックチェーンスタイルで機能する。「Tideプロトコルは、事業者（ベンダー）が保管している暗号化された消費者データへの、許可されたアクセスを管理するために、分岐したEOSノード、スマートコントラクト、そして追加の独自分散レイヤーを使用しています」と同社は声明の中で説明している。

暗号化キーを管理する、消費者側に関しては、プロセスが誰の手にも届くように、キーの管理プロセスをシンプルなものにする特許取得済の技術を開発したと、同社は語っている。なおその技術は、彼らが“Grandpa Test”（おじいちゃんテスト）と呼ぶものに合格したものだという。

「私たちは、ブロックチェーンがウェブ上に広く普及するユーザー体験となるように、階層的で分散した手段を開発したのです」と説明するのはもう1人の共同創業者であるYuval Hertzog氏である。彼は、そのアイデアは非常に複雑なものを単純化して、キーの管理を典型的なウェブ操作にすることだと語った。

Elnekave氏は、同社は昨年施行されたEUの厳格なプライバシー規制である（忘却される権利も含む）GDPRに準拠する方法も提供できると語った。このプロトコルは消費者に対して暗号化キーへの完全なコントロールを与えるので、ユーザーは単に事業者へのアクセス権の付与をやめるだけでよく、基本的には暗号化キーを捨ててアクセスをブロックするだけだ、と彼は説明した。

Tideは3年前にオーストラリアのシドニーで創業し、2年前にそのブロックチェーンに基くデータプライバシーソリューションの基盤となるTideプロトコルを開発した。現在13人の従業員がいる。同社は昨年の11月にシードラウンドで200万ドルを調達した。

同スタートアップは、データの所有権は基本的人権であるべきだと信じている。これはTideと似たようなツールセットを提供し、医療情報に焦点を当てたスタートアップであるHu-manity.coと同様のスタイルである。

[原文へ]

（翻訳：sako）

プロダクトと企業を何もない所から立ち上げることは難しいことだ。新しい起業家たちやKickstarterの成功者たちもそのことをしばしば思い知る。そして、Andy RubinとそのモバイルスタートアップであるEssentialのような強打者たちでさえ、不愉快なレッスンを味わった。今回のケースのように、例えメーリングリスト設定のような些細な事柄でも会社自体を危機に陥れる可能性があるのだ。

この問題は、今週とある顧客が、注文を完了させるためにEssentialへ写真付き身分証明書を送るように依頼されたときに発生した。その依頼が行われたとき、不可解なことにその依頼を受けた約70人の顧客全員に同時に情報が送られたのだ。

このため、「購読解除」と書き込む代わりに、パスポートの写真を添付した返信たちが他の全員に届くことになった。大間違いだ！

この問題は解決されたものの、これは今日のモバイルおよびテクノロジー環境における多くの問題を解決すると主張している若い会社にとって、このような素人丸出しの間違いは幸先のよい始まり方とは言えない。他の重要項目の細部に対する、彼らの注意はどう考えれば良いのだろうか？

Rubinは、Essentialブログの投稿で、この信頼性に対する潜在的な危機に触れることに決めた。

会社を目的に集中させるため、創業者は「何千ものささやかな意思決定」を行わなければならないという前振りを述べたあと、Andy Rubinは謝罪内容に触れている。

昨日、私たちは顧客ケア対応における間違いを犯しました。その結果、およそ70人のお客様からの個人情報が、他の少数のお客様と共有されてしまいました。私たちは間違って設定されたアカウントを無効にし、今後このようなことが起きないように内部的な対策を講じています。私たちの間違いを心よりお詫び申し上げます。今回影響を受けたお客様にはLifeLock（ID保護サービス）のサブスクリプションを1年分ご提供致します。

そして彼は創業者であることはどのようなものかという話題に戻る。「時にはカラスを食べなければなりません。それは屈辱的で、味わいの良いものでもなく、しばしば気を滅入らせるような経験です」。

だが、必ずしもそれを味わう必要はない！

[ 原文へ ]
（翻訳：Sako）

おそらくここ丸1日の間に、InstagramやFacebookのフィードに流れた、Meitu（美图）アプリによるセルフィー写真を見たかもしれない。このアプリは、皮膚をスムースにし、顔をスリムダウンして、さらに仮想ブラシレイヤーやリップグロスまでも追加して、あなたの写真に美顔効果を追加する。このアプリは何年もの間、中国国内では人気があったが、アメリカ人ユーザーの心を捕らえたのはつい最近のことだ。Meituは先月香港で上場している。

しかしGoogle PlayやApp Storeから無料でダウンロードできるこのアプリに対して、セキュリティの専門家達はすぐに懸念を表明した。単純な写真アプリに必要とされる以上にユーザーの電話機に関する情報を集めるし、怪しいと言われているコードを含んでいると言うのだ。公平を期すならば、利用者自身のデータと引き換えに無償でダウンロードを許すアプリは、Meituだけではない。しかし、プライバシーを気にするユーザーは、そうしたアプリが収集するデータに関して慎重に考慮した方が良いだろう。

1つの写真アプリが、写真を撮影したり既にデバイスの上にある写真を編集したりするために、電話機のカメラとカメラロールへのアクセス許可を求めるのは普通のことだ。しかし情報セキュリティ研究者のGreg Linaresは、Andorid版のMeituはそれ以上のものを要求していると指摘した。このアプリが要求するのはユーザーが他に利用しているアプリ、電話機の正確な位置、デバイス識別番号（IMSI）、電話番号、キャリア、そしてWi-Fi接続に関する情報だ。

はっきり言わせて貰うけれど…あなたたちがインストールした中国の写真アプリってこんな許可を求めてくるんだよ？何が起きるか教えて欲しいね。

科学捜査の専門家であるJonathan Zdziarskiによれば、iOS版も同様にデータに飢えた代物だということだ。Appleはアプリが利用者のIMSIを取得できないような措置をとっているが、ZdziarskiはMeituが、携帯キャリアとiPhoneが脱獄済みかどうかの情報を収集していると指摘している。Zdziarskiは、Meituのコードの一部が、データ収集に対するApp Storeのポリシーに違反している可能性があること指摘している。Meituに対するコメントをAppleに求めたが、回答は得られていない。

結論：Meituは何やらカワイイもので皆を惹き付けて使わせようとしている、複数の分析やマーケティング、広告パッケージの寄せ集めだ。

Sudo Security Groupの社長であるWill Strafachも、MeituのiPhoneアプリを分析した。「iOSバージョンは、分析データの収集に関しては、おとなしい振舞しかしません。携帯キャリアといった『ある程度センシティブ』な情報を集めますが、分析パッケージとしては珍しいことではありません。沢山のアプリがこれを行っています」と彼は言った。Strafachは、ユーザーがお好みのアプリのプライバシー保護に関してチェックすることができるVerify.lyというサービスを運営している。

「この種のものが、どれほど普通に行われているかを意識しているひとは、ほとんどいないと思います。そして多くの人が、Androidバージョンの方がiOSバージョンよりも、より侵襲的であると言っています。とは言え、私はこうした議論が始まったことはとても良いことだと思っていますし、多くの情報セキュリティ関係者が、もっと多くのアプリをこじ開けて何が行われているかを見る気になると良いなと思っています」とStrafachは語る。

アプリの権限の濫用は、Meituに固有の問題ではない。多くの無料アプリが、核となる機能に必要なもの以上のデータを、ユーザーに対して要求している。そうした情報は、マーケティング担当者たちに販売されるか、利益を挙げるために他の目的に使われる可能性がある。

Linaresは侵襲的な無償アプリについて「これは新しい標準になりつつあります」と述べた。「これは私たちが現代社会の中で、いいね！やリツイートをしたがっているからなのです。こうしたアプリをダウンロードして、ソーシャルメディアでの存在感を得るためには、セキュリティには少しばかり目を瞑るのです」。

Meituは、アイデンティティの保護、サービスのアップグレード、犯罪捜査、そして顧客からのフィードバックに限定して顧客のデータを使用するとしているが、Linaresは、データが他の目的のために使用されることもあり得る、と注意を促している。AndroidバージョンでMeituに送信されるIMSI番号は、ユーザーが他のアプリやブラウザを使用する際に、ウェブ上でユーザーを追跡するために使用することができる。

「私たちはこのレポートに気がついていました。そして私たちのアプリがメディアや、有名人、そして消費者の注意を引いたなら、ある意味嬉しい問題です」Meituの広報担当者は、TechCrunchの問い合わせに対してこのように返信してきた。「私たちは、すべての製品リリースでAppleやGoogleと密接に協力しており、プライバシーポリシーに厳密に従っていることを保証したいと思います。また私たちのエンジニアはとても優秀なので、盗んだコードを使う必要もないと考えています」。

Meituは、なぜある種のユーザーデータを要求するのか、そしてその情報で何をするつもりなのかについての質問には回答していない。おそらくMeituは、中国の法律によってIMSI番号を収集することが要求されているのだろう、と指摘する研究者もいる。

「本当の質問は、あなたは知らない会社に喜んでそうしたデータを渡しますか？ということなのです。もし答えがノーなら私は渡しません。もしデータを渡さないオプションが与えられているならば、やはり私はノーと言うでしょう」とLinaresは語った。

[ 原文へ ]
（翻訳：Sako）

メッセージサービス大手のWhatAppは、今年の夏に広告目的の利用を含め、親会社のFacebookとユーザーデータを共有すると発表し物議を醸していたが、引き続きその件でヨーロッパの規制機関の怒りを買っている。

イギリスの個人情報保護監視機関であるICOの捜査を受け、この度Facebookはイギリス国内でのデータ共有を中断することに合意した。これにより製品や広告の開発にはユーザーデータが使われなくなる一方で、Facebookは今でもWhatsAppのデータをスパム対策やビジネスインテリジェンス（Facebookの傘下にある各サービスのユーザー数にWhatsAppのユーザー数を反映させるなど）の目的で利用していることが分かっている。

さらにFacebookは、イギリス以外のEUに加盟している27ヶ国でもWhatsAppとのデータ共有を中断しなければならない。

イギリスの個人情報保護担当コミッショナーであるElizabeth Denhamは、捜査の進展に関する詳細が厳しい表現で書かれたブログポスト内に、「私は消費者がきちんと守られていないことを心配しており、これまで私たちが行ってきた捜査を鑑みても、その思いに変化はありません。Facebookはユーザーの情報を使って何をするかについて、ユーザー自身に十分な情報を与えていないばかりか、WhatsAppがユーザーから受け取ったとする、情報共有に関する同意にも効力がないと私は考えています。さらに現状ユーザーは、自分の情報の扱いについて30日間で判断しなければいけませんが、いつでもその判断を変更できるようにするべきです」と記している。

さらに彼女は「私たちはFacebookに対してハッキリと法的根拠を示してきました。その結果、FacebookがイギリスのWhatsAppユーザーから集めたデータを、広告や製品改善の目的で利用するのをやめると決定し、嬉しく思っています」と付け加えた。

またDenhamは、「曖昧なサービス規約」のせいで消費者が「私たちが求めているレベルの保護」を受けられていないと強調した。

WhatsAppの更新版のプライバシーポリシーによれば、ユーザーはFacebookとのデータ共有を拒否することができるが、デフォルト設定では自動的にデータが共有されるようになっている。そのため、ユーザーはプライバシーポリシーをクリックして詳細を読み込み、その中のスイッチが何を意味するのか理解して、初めて情報共有オプションをオフにできるのだ。さらにユーザーがデータ共有に合意した場合でも、その後30日間であればアプリ内の設定からキャンセルできるが、その期間を越えると設定が変更できなくなってしまう。ICOはこのプロセス全てに不満を持っている。

また、Denhamはブログポストの中で、ICOがFacebookとWhatsAppに対して「データがどのように利用されるかについて顧客に分かりやすく説明すること、さらには彼らにいつでもデータ共有を停止する権限を与えること」を確約する書類にサインするよう求めたほか、現状のアプローチを変えなければ法的な手段に出ると警告したと記している。

「さらに私たちは、Facebookがユーザーデータを利用し始める前に、ユーザーひとりひとりがデータ共有について暫定的な判断を下し、その後いつでもそれを変更できるような仕組みが導入されるよう求めています。消費者にはもっと多くの情報が与えられると共に、しっかりとした保護を受ける資格があると私たちは考えていますが、これまでのところFacebookとWhatsAppはそうは考えていないようです。今後Facebookがユーザーの有効な同意無しにデータを利用していることが判明すれば、ICOの取り締まりを受けることになるかもしれません」と彼女は続ける。

Facebookの広報担当者は、ICOの対応に関する声明の中で、同社がデータ共有に関してWhatsAppユーザーに分かりづらい説明を行っているという批判を否定した。TechCrunchの取材に応じた同担当者は、「WhatsAppは、ユーザーにサービス内容を簡潔で分かりやすく説明し、データ利用に関する選択肢を与えるために、プライバシポリシーとサービス規約のアップデートを行いました。このアップデートの内容は関連法に準拠していると共に、ICOの最新の指導内容に沿って作られています」と話す。

さらに同担当者は「私たちは、ICOやその他の関連当局との対話を継続していきたいと考えていますし、彼らが問題視している事項についても一緒に解決していきたいと思っています」と付け加えた。

Facebookは、本件についてこれまで何度もICOとミーティングを行っているほか、この問題を案じているヨーロッパの他の規制機関からもいくつか質問を受け取っている。また、現在のところEU加盟国全てで、WhatAppとFacebook間のデータ共有は中断されている。

9月にもFacebookとWhatsAppは、ドイツの個人情報保護機関からユーザーデータの共有をやめるよう命じられたが、当時Facebookは控訴すると話していた。

また、スペインの個人情報保護機関も、両社のデータ共有に関する捜査を行っていくと発表していた。

さらに現在、EU加盟各国の個人情報保護機関の代表者から成るEU全体の個人情報保護監視機関、Article 29 Working Partyも本件を捜査中だ。彼らは10月に、各メンバー（ICOなど）が「強調して」問題解決にあたると共に、必要があれば連動して法的な手段をとっていくと話していた。

Denhamは、欧州各国の関係機関と共に、ICOは今後もFacebookを”プッシュ”していくつもりだと語る。彼らのゴールは、Facebookの手に渡ったデータがどのような目的で使われるかについて、WhatsAppユーザーにもっと多くの情報が与えられること、データ共有に関して今よりも分かりやすい選択肢がWhatsAppユーザーに与えられること、さらには一旦ユーザーがデータ共有に合意しても後から変更できるようにすることだ。

また、彼女は同じブログポストの中で、企業買収に伴うユーザーデータの局所集中という、もっと広い意味での個人情報保護に関する心配点を挙げている。これは今年に入ってからEUの競争政策担当コミッショナーも懸念を表明していた問題で、最近ではMicrosoftによるLinkedIn買収への反対の論拠としても用いられていた。

「これは、膨大な数の顧客情報が売買の対象となるような企業合併で特に問題になります。実際に、顧客情報の獲得を主な目的とした買収が行われていて、買収する側が既に持っている情報と新たに手に入れた情報が組み合わさると、データセットがまとめられ、知りたくもないような詳細が明らかになっていき、消費者は自分の情報をコントロールできなくなってしまう可能性があります」とDenhamは記す。

彼女によれば、ICOは来年本件に関するレポートを発行する予定だ。

「これはもはや個人情報保護の域を超えた問題で、私たちは業界団体や競争政策機関、消費者団体との対話を通して、どうすれば関連法規制を人々に理解してもらえるのかを検討しています。来年には本件についてのレポートが発行され、その中には私たちが心配している点やその対策に関する議論が掲載される予定です」

［原文へ］

（翻訳：Atsushi Yukutake/ Twitter）

時折ある企業がある市場でそれ以外にないというタイミングで事業を展開することがある。政府のスパイ活動や、データ漏洩、ハッキングや個人情報の盗難などオンライン上での脅威が次々と明らかになったことをうけ、今では4000以上もの顧客を抱えるメール・ファイル暗号化サービスのVirtruが、米国時間8月22日にシリーズAで2900万ドルを調達したと発表した。

Bessemer Venture Partnersがリードインベスターとなった今回のラウンドには、New Enterprise Associates（NEA）やSoros Fund Management（億万長者のジョージ・ソロスをトップとする投資会社。彼はさらに、透明性が高く寛容な民主主義を推し進める人権主義団体Open Society Foundationsの理事も務めている）のほか、Haystack Partners、Quadrant Capital Advisors、Blue Delta Capitalらが参加した。

投資ラウンド以外にも、Sonatypeの現CEOかつSourcefireの元CEO Wayne JacksonがVirtruの取締役に就任することが発表された。彼は今後、BVPのパートナーでありVeriSign、Good Technology、Defense.netといったサイバーセキュリティ企業を共同設立してきたDavid Cowanや、Authentic8のCEOであり過去にメールセキュリティ企業Postiniを設立したScott Petryらと取締役を務めることとなる。

Virtruを2014年に設立したAckerly兄弟（John AckerlyとWill Ackerly）は、どちらも公共セクターでテクノロジーに関わる仕事をしていた。具体的には、WillはNSA（アメリカ国家安全保障局）でクラウドセキュリティエンジニアとして勤務しており、Johnはプライベート・エクイティ・ファンドに参加する前にホワイトハウスに対してデジタルプライバシーを含む、テクノロジー関連の問題のアドバイザーを務めていた。

ふたりは当初、日常的に使われているアプリケーションのセキュリティやプライバシー保護機能を向上させるというアイディアを持っており、一般ユーザーが簡単に実装できるような方法を模索していた。彼らにとってのデビュー作となる製品は、Gmailなどの人気メールサービスに対応したChromeとFirexfox用の拡張機能だった。これによってユーザーは、メールのエンドツーエンド暗号化のほか、メールを受け手の受信箱から一定期間の後に自動削除することや、送信したメールを転送できなくすることができたのだ。

その後Virtruは、自社の暗号化やアクセス制限、データ損失防止（DLP）といった技術をGmail、Google Drive、Yahoo、Outlook（2010、2013、2016に対応）などのサービスへ組み込んでいった。さらに同社はスタンドアローンのメールアプリをGoogle PlayとiTunes App Store上で配布している。今回調達した資金は、Microsoft Office 365のようなクラウドプラットフォームへのサービス拡充のほか、ソフトウェアディベロッパーが自分たちのアプリにVirtruを組み込めるようSDKやAPIの開発に利用される予定だ。

Virtuの「サービスとしての暗号化」アーキテクチャは、Willが開発したオープンソーステクノロジーであるTrusted Data Format（TDF）上に成り立っており、ユーザーはTDFでコンテンツオブジェクトを包み込むことで、アクセス権を持つ人にだけファイルの中身を公開することができる。さらにユーザーは自分で暗号キーを管理することができ、ファイルが開封・共有された後でも受け手のアクセス権を無効化することができる。

今年に入ってから同社は新機能を導入し、メールやファイル内の暗号化されたコンテンツの秘匿検索や、ハードウェアベースの暗号鍵などがサービスに追加されたほか、SDKの配布もスタートした。

Virtruのテクノロジーが評価されている理由は、セキュリティの度合いではなく（John自身、オンラインコミュニケーションにおいてもっとセキュリティを高める方法があると以前認めていた）その使いやすさと価格にある。Virtruは誰でも使い方を理解できるくらいシンプルで、かつ様々なプラットフォームに対応している。さらに個人利用の場合は無料で、プロ・商用についても良心的な価格設定（月額5ドル）がされている。

そもそもの製品アイディアは、一般ユーザーのために情報セキュリティを簡素化するというものであったが、現在Virtruは個人に加えて多くの企業に利用されている。企業はVirtruを使って簡単にGmail、Google Drive、Google Appsなどのセキュリティや暗号化機能を向上させることができるほか、知的財産の保護やCJIS、CFPB、HIPAAなどの規制対応にもVirtruを利用している。また、現在Virtruは、メディア、エンターテイメント、政府、医療、金融、製造などの業界にサービスを売り込んでいる。

スタートアップの資金調達に影響を与える引き締めが行われている中での今回のラウンドは、特に今年のはじめに投資資金が「枯渇する」と言われていた競争の激しいサイバーセキュリティ業界での出来事だったため注目に値する。BVPのCowanは当時、同業界に参入してくるスタートアップの多くが、既に市場に出ている技術を真似ているか、ハッカーが既に回避方法を知っている製品を販売していると語っていた。結果としてスタートアップ各社は資金調達に時間がかかり、支出を抑えるかイグジットを模索せざるを得なかったのだ。しかし、Virtruはしばらくの間そのような問題に悩まされなくて良さそうだ。

「銀行や病院、学校、雇用主そして政府に個人情報を渡した途端、私たちのプライバシー保護は彼らの情報セキュリティ頼みになってしまいます。Virtruのメール・ファイル暗号化サービスの成功は、ビジネスシーンでのプライバシー保護に新たな基準が生まれようとしていることを表しているのです」とCowanは声明の中で述べていた。

［原文へ］

（翻訳：Atsushi Yukutake/ Twitter）