データブローカーのRadaris、プライバシー訴訟でドメインを失う – Krebs on Security

消費者データブローカーのRadaris.comは、個人情報削除の依頼を無視し続けることで長年悪名を轟かせてきました。この評判が最近、同社に不利な形で跳ね返ってきました。Radarisがニュージャージー州のプライバシー法に違反しているとして訴訟を起こされたのです。同州法は、州の法執行機関職員に関する個人情報を公開するデータブローカーに対して高額な罰金を科すことを定めています。Radaris側の弁護士による度重なる引き延ばしと不誠実な対応を受けて、担当裁判官はradaris.comを含む十数個のデータブローカー系ドメインを原告側に譲渡するよう命じました。

2024年2月、RadarisはAtlas Data Privacy Corpという企業から提訴されました。Atlasは、ニュージャージー州法「Daniel’s Law」に違反しているとされるデータブローカーを追及してきた企業です。この法律は、州の法執行機関職員、政府職員、裁判官およびその家族が商業的データブローカーや人物検索サービスから自分たちの情報を完全に削除させる権利を認めており、削除依頼を無視した企業には違反1件につき1,000ドルの罰金を科すと定めています。

Atlasの提訴からひと月も経たないうちに、KrebsOnSecurityはRadarisの共同創業者であるIgorおよびDmitry Lubarsky兄弟(Lybarskyとも表記)を深く掘り下げた詳細記事を公開しました。マサチューセッツ州在住のロシア生まれの兄弟である2人は、数多くの人物検索企業に加え、ロシア語圏向けの複数の出会い系サービスやアフィリエイトプログラムも運営しています。

Lubarsky兄弟の代理人弁護士は、記事を削除して謝罪しなければ名誉毀損で提訴すると通告してきました。彼らの弁護士は、われわれの報道はまったくの不正確であり、実際の同社所有者はウクライナ在住のウクライナ人だと主張していました。

KrebsOnSecurityはさらに踏み込み、Lubarsky兄弟が架空のCEOの名前を使ってRadarisや他のデータブローカー企業を運営してきた実態を明らかにしました。続報では、Radarisの代理人弁護士でBoston Law Groupに所属するVal Gurvits氏が、依頼人らが「Gary Norden」という架空のCEOの名前をでっち上げたことを認めたと報じています。Radarisはこれまで、この架空CEOの名を引用した複数のプレスリリースを発行し、潜在的な投資家から資金を募っていたのです。

Radaris側の弁護士は、原告側に有利な欠席判決がほぼ確実となる直前まで裁判所への出頭を引き延ばし、その後になってAtlasがRadarisおよびその系列データブローカー企業数社の実際の所有者・運営者に対する送達を怠っていたと裁判所に主張しました。

Atlasは2025年6月に訴訟を再提起し、Daniel’s Law違反の疑いがあるとされるRadaris系列データブローカーの数を大幅に拡大しました。Atlasの社長兼CEOであるMatt Adkisson氏によれば、Radarisは実績のある常套手段に頼ったといいます。法廷での引き延ばしを可能な限りぎりぎりまで続け、Radarisの実際の所在国や所有者・運営者として登録される人物をめぐって貝殻ゲームのような目くらましを繰り返したのです。

「私たちはこの期間を『島渡り期』と呼んでいます。プライバシーポリシーは絶えず変更され、マーシャル諸島、英領バージン諸島、セーシェルといった場所から新たな法人が次々に現れました」とAdkisson氏はKrebsOnSecurityに語りました。「舞台裏では、まさに貝殻ゲームのようでした。被告側弁護士は、特定の法人がドメインを運営しているだけで、その法人こそが訴訟の適切な相手だと裁判所に主張します。しかし判決が近づく頃には、その法人は切り捨てられ、新たな法人が現れる。一方で弁護士たちは、実際にドメインを所有する他の法人には責任がないと主張していました」

Adkisson氏によると、被告側が利用規約を更新し、Radarisが突如マーシャル諸島の企業によって管理されていると記載した際、Atlasはその国で調査員を雇いました。すると、Radarisが管理会社だと主張していたその新設法人が、まだ実在すらしていないことがすぐに判明したといいます。

Gurvits氏は、Radarisが2017年に一度敗訴した集団訴訟で代理人として名乗り出ました。この訴訟でRadarisは法廷で一切争わなかったため敗訴していました。原告側が750万ドルの欠席判決を回収できないと裁判所に伝えると、裁判所はドメインレジストリのVerisignに対し、radaris.comのドメイン名を原告側に移管するよう命じました。

Gurvits氏はこの判決を不服として控訴し、訴訟ではRadarisドメインの実際の所有者であるキプロス企業Bitseller Expert Limitedが被告として名指しされていなかったため、ドメインを取り上げることはデュープロセス(適正手続き)の権利を侵害すると主張しました。

2017年の訴訟を担当した裁判官はRadaris側の主張を認め、ドメイン移管を差し止めたうえで、原告側に訴状を再提出できると伝えました。その後まもなく、Radarisの運営主体はBitsellerから、2020年10月にマーシャル諸島で設立された(PDF)法人Andtop Companyに変わりました。原告側はその後、訴訟を再提起することはありませんでした。

「それが彼らの常套手段のようでした」と、ニュージャージー州のPEM Lawのパートナーで、Atlasの Daniel’s Law関連訴訟のほとんどを担当するRaj Parikh氏は述べています。「過去には、彼らは消耗戦で勝ってきました。原告側弁護士が手続き上の駆け引きに疲れて諦めてしまうのです。この戦略は10年にわたって通用してきましたし、今回のケースでも恐らく同じように機能したでしょう。海外の関係者から金銭を回収するのは困難だからです。しかし私たちは、このウェブサイトがニュージャージー州の法執行機関職員やその他の公務員にもたらす脅威を強く認識していました。だからこそ、この脅威を取り除くために必要な時間とリソースをすべて投じることを早い段階で決めていたのです」

8月26日、ニュージャージー州の裁判を担当する裁判官は、被告側に出頭して訴えに反論する機会が複数回与えられていたにもかかわらず、それを怠っていたと認定しました。Gurvits氏は本件について、担当が別の弁護士であるVictor Worms氏に引き継がれたとしてコメントを控えました。質問に対しWorms氏は、ニュージャージー州の裁判所が欠席判決の一環としてRadaris.comをAtlasに移管したものであり、Radaris.comは法人格を持たないと主張しました。

「私たちは、この欠席判決を無効とするための申し立てを行いました。法人格のない主体は訴訟の当事者となる法的能力を持たないため、判決自体が無効であるという理由からです」とWorms氏は回答しました。「また、Radaris.comの移管はさまざまな憲法上の原則に違反する財産没収に相当すると考えており、あらゆる適切な控訴手続きを追求していく所存です」

radaris.comは今もなお、米国居住者を名前で検索した際の結果に目立って表示されますが、このドメインはもはや何百万人ものアメリカ人に関する詳細な個人情報ファイルを販売していません。ホームページには現在、Atlasからの通知と、Radarisに関するこれまでの当サイトの報道記事へのリンクが表示されています。

メールによる裏付け

Atlasは、訴訟手続きの過程で1万通を超えるメールと文書を入手したとKrebsOnSecurityに語りました。これらのメッセージは、Radarisおよびその数多くの関連会社の所有者・運営者に関するわれわれのこれまでの報道内容を裏付けているといいます。

Atlasによれば、これらのメールは、Radaris America, Inc.、Bitseller Expert Limited、Digital Orbit Corp、Core Solutions Group Inc、Lucky Solutions Inc、Virtura Corp、Veripages Inc.、Nuform Solutions Inc.、Growth Data Advisors Inc.、Property Experts, Incといった名目上の法人が、いずれも同じ3~4人の人物によって同じメールボックスから管理され、単一の銀行口座または決済カードを共有し、すべて単一のバーチャルオフィス住所から運営されていることを明確に示しているといいます。

Atlasが共有した概要には次のように記されています。「銀行、決済処理業者、ホスティングプロバイダ、レジストラ、SaaSベンダー、そして運営者自身のシステムから独立して生成された文書証拠により、radaris.comを含む少なくとも25以上の人物検索ウェブサイトが、ボストン近郊の小規模グループによって運営される単一の事業体であることが立証されています。管理・財務・技術面のすべての機能は、difive.comのメールドメインおよびその後継ドメイン(centerex.com、scienteco.com、eprofit.com、realmo.com、pub360.com)上に置かれています」

Atlasによれば、これらのメールはRadaris.comが月あたり約42,000ドルの収益を上げている一方、Veripages.comはLifetime Value Companyとのパートナーシップを通じて月あたり約45,000ドルを稼いでいることを示しています。Lifetime Value Companyは、PeopleLooker、PeopleSmart、NumberGuru、そして車歴サイトのBumperなどのブランドを展開するマーケティング・広告企業です。

Atlasによると、これらのメールはさらに、Radaris系列のウェブサイト群がOnerepとのパートナーシップを通じて毎月最大25,000ドルの収益を得ていることも示していました。Onerepは、人々が人物検索サイトから自分の情報を削除する手助けをすると謳う企業です。2024年3月、KrebsOnSecurityは、Onerepのベラルーシ人創業者が長年にわたって数十もの人物検索サイトを立ち上げ運営してきたことを暴露しました。同人物はそのうちの1つ(Nuwber)を今なお運営し続けており、実質的に病気をばらまきながらその治療薬を売るような構図になっていたのです。

これまでのところ、ニュージャージー州の裁判所はRadaris系列企業から計14件のドメイン名をAtlasに移管する判断を下しています。radaris.comは現在、裁判所命令によるドメイン移管の通知ページにリダイレクトされます。

今後の展望

Radaris系列企業は依然として、Daniel’s Law違反の疑いがある1件につき1,000ドルの罰金を科される可能性に直面しています。しかしDaniel’s Law自体は現在、Atlasから提訴されている他の消費者データブローカー企業150社のほぼすべてから憲法上の異議申し立てを受けている状況です。

データブローカー業界はこれに対抗し、Atlasが起こした訴訟のうち少なくとも70件を連邦裁判所に移送させ、ニュージャージー州法が過度に広範であり修正第1条に違反すると主張しています。米連邦第3巡回控訴裁判所はこの憲法上の異議申し立てについてまだ判断を示していませんが、いずれにせよこの訴訟は最終的に連邦最高裁まで争われると広く予想されています。

一方、ニュージャージー州法をモデルとした法律はすでに少なくとも14の州で可決されており、同様の法整備を検討する州はさらに増えています。ただし、ウェスト・バージニア州版のDaniel’s Lawについては、2025年8月に連邦地方裁判所が修正第1条のもとで文面上違憲との判断を下しています。

Justin Sherman氏は、データブローカー業界が現代の監視社会をどのように支えているかを検証する近刊書「The Middlemen」の著者であり、プライバシー分野の専門家です。Sherman氏によれば、連邦議会議員はこれまで長年にわたり、より厳格な米国データプライバシー法に反対するテクノロジー業界からの激しいロビー活動にさらされてきましたが、現在では包括的なデータプライバシー法制の成立に反対する強力な業界がさらに増えているといいます。

「近年では連邦レベルにおいて、ソーシャルメディア企業やビッグテック、暗号資産企業からのこうした法律に反対する激しいロビー活動に加え、今やAI推進派までもがこの議論に加わっています。彼らは、自分たちのデータスクレイピングを制限すれば米国経済全体が崩壊し、中国の支配下に陥ってしまうかのような主張をしているのです」と同氏は述べています。

Sherman氏は、連邦議会が21世紀の生活に即した実効性のある消費者プライバシー・データ保護法を制定しない限り、人物検索企業は繁栄を続けるだろうと指摘しています。というのも、ほとんどの州のプライバシー法は、有権者登録簿、不動産登記書類、婚姻証明書、自動車登録記録、犯罪歴、裁判所文書、死亡記録、職業免許、破産申請書類など、「公的」または「政府」文書とみなされ得る記録を適用除外としているからです。

少なくとも25の州が、アダルトコンテンツへのアクセスを求める住民に対して年齢確認を義務付ける法律を可決または施行していますが、すべての人の運転免許証をスキャンしている企業がそのデータをどのように利用・共有・保管できるかを制限する連邦法は存在しません。こうした制限が法律として明文化されていれば、IDScan.netで最近発生した侵害は避けられていたかもしれません。この事件では、1億5,300万人を超えるアメリカ人の運転免許証情報が流出し、これらの記録がダークウェブ上で一時的にクリックひとつで使える成りすまし用サービスへと変貌していました。

「一般の人がDaniel’s Lawを見れば、ごく普通の反応をするはずです。つまり、警察官や裁判官だけでなく、すべての人が保護対象に含まれるべきだ、という反応です」とSherman氏は語ります。「しかし、私たちにこれ以上の警鐘は必要ありません。より良いプライバシー法の必要性については、これまで八百万回もの警鐘がすでに鳴らされてきたのです。包括的な連邦プライバシー法が存在しないのは、知識不足のせいではありません。そうではないと主張する者は、ニュースを読んでいないか、自分自身を欺いているかのどちらかです」