FAA職員をはじめとする連邦政府職員に導入が義務付けられた140万ドルのホワイトハウス製アプリに、ロシア製Elfsightのコードが組み込まれていた

FAA(連邦航空局)をはじめとする連邦政府職員は現在、ロシア発祥のベンダーであるElfsightが開発したコードを含む140万ドル規模のホワイトハウス製アプリの導入を義務付けられています。

Elfsightは2016年、ロシアの都市トゥーラで最高経営責任者のAndrey Yusupov氏と最高技術責任者のVladimir Fedotov氏によって設立されました。

同社は現在、アンドラに本社を置く欧州のソフトウェアプロバイダーとして自社を売り込んでいますが、設立時のロシア法人は今も存続し、事業を拡大し続けています。

今も続く事業上のつながり

2025年、このロシア法人は約1億2,650万ルーブル(約160万ドル)の売上を計上し、前年比71%増となりました。

同社の従業員数も61人に増加しており、求人情報からは2026年に入ってもロシア人開発者の採用を続けていることがうかがえます。

2026年に掲載されたある求人では、モスクワを拠点とするサポート担当者を募集しており、フルタイム勤務で月給6万〜10万ルーブルを提示していました。

ロシアの法律では、ユーザーデータを扱う企業に対し、そのデータを国内に保存し、当局に提供することを強制できるとされています。

しかし、Elfsightのカスタマーサポート担当者は、ユーザーデータやアクセスに関してロシア当局から要請を受けたことは「一度もない」と主張しています。

セキュリティ企業Atomic Computerによるネットワーク分析により、Elfsightのサーバーがホワイトハウス製アプリ内で実行されるJavaScriptファイルを決定していることが判明しました。

同じセッションでは、Elfsightから10個以上のクッキーが送られていたほか、アプリのYouTubeセクション経由でGoogle DoubleClickの広告ドメインも読み込まれていました。

ホワイトハウス報道官のOlivia Wales氏は、このアプリは「ユーザーの位置情報を要求・収集することは一切ない」とし、アプリが扱う情報はすべて「安全かつセキュア」だと述べました。

その後、ホワイトハウスの当局者は、Elfsightに残っている唯一のスクリプトは、クッキーやファイルから切り離されたサンドボックス化されたウェブビュー内で税額計算機を読み込むためのものだと説明しました。

同当局者はさらに、Elfsightは完全なセキュリティ審査を通過しており、UFC、FIFA、NBA、Cartierといったブランドでも広く利用されていると付け加えました。

しかし、こうしたセキュリティ上のお墨付きは、Elfsightの創業者らが制裁対象のロシアの銀行に口座を保持し続け、ロシアへの渡航も続けていたという記録と、いまひとつかみ合いません。

創業者の一人は、別の投資プラットフォームに関連してロシアの税務当局から事情聴取のため呼び出しを受けたと、プライベートメッセージに記していました。

この法的リスクを踏まえると、ロシアに根を持つベンダーが、連邦政府機関の端末で導入が義務付けられているアプリ内で動くコードを、事実上今なお管理していることになります。

2022年にロシア・ウクライナ紛争が始まって以降、米国とその同盟国は数多くのロシア企業や個人に制裁を科してきました。

そもそも、これほどロシアと関係の深いアプリが、なぜホワイトハウスや連邦政府機関の端末での利用を認められたのかは、依然として不明です。

これまでのところ、Elfsight・ホワイトハウスのいずれも、この承認判断について明確な説明を示していません。