Blackout — Blackout公式公開FAFOリポジトリ
「研究者をブロックすることはできても、証拠をブロックすることはできない。」
2025年11月25日、ZoomInfoのCEOであるHenry Schuck氏は、LinkedInでGTM Studioのプロダクトデモを投稿しました。GTM Studioは、「個人レベルでのウェブサイト訪問を識別する」ことを謳う同社のAI搭載プラットフォームです。
あるセキュリティ研究者がGTM Studioのランディングページを分析し、同意取得前の広範なトラッキング基盤を記録しました。その調査結果は、CEOのLinkedIn投稿へのコメントとして公開されました。
数分のうちに、研究者はブロックされました。
訂正もなく、説明もなく、ただ沈黙だけがありました。
この証拠パックは、調査結果が握りつぶされないことを保証します。
| 調査結果 | 証拠 |
|---|---|
| 同意前のトラッキングリクエスト50件以上 | ネットワークキャプチャで、同意バナーが読み込まれる前にトラッキングが発動することを確認 |
| Sardine.aiの生体認証が有効 | デコードされた設定で enableBiometrics: true |
| PerimeterXのフィンガープリンティング | コレクターがリクエスト#79（同意前）で発動 |
| DNSフィンガープリンティングが有効 | Sardine設定で enableDNS: true |
| 118の固有トラッキングドメイン | 単一ページの読み込みで接続 |
| セッションフィンガープリンティング | 不正検出APIが同意前にセッションを作成 |
{
"enableBiometrics": true,
"enableDNS": true,
"partnerId": "zoominfo",
"dBaseDomain": "d.sardine.ai",
"environment": "production"
}
この設定は、コレクターのiframe URL内にあるbase64エンコードされたペイロードからデコードされました。
解釈：
ZoomInfoはGTM Studioを「個人レベルでのウェブサイト訪問を識別する」ツールとして販売しています。
ところが、この製品の自社ランディングページで彼らが展開しているのは：
来訪者識別ベンダーでさえ、来訪者識別のために自社製品を信頼していないのです。
あなたはプライバシー法の弁護士ではありません。パイプラインの目標達成に追われているでしょう。では、なぜ気にする必要があるのでしょうか？
同意前トラッキングが記録されているベンダーに費やす1ドル1ドルは、将来の法的責任につながりかねない支出です。この分野で集団訴訟が起きれば、「知らなかった」という抗弁はしばしば認められず、過失とみなされることがあります。
検討すべき問い：このデータは訴訟で争点となり得るでしょうか？
適切な同意なしに収集されたデータは、法的に処理できない可能性があります。つまり、次のような事態が考えられます：
これは法務チームと一緒に評価する価値があります。
同意なくトラッキングされている人々？ それは、あなたがコンバージョンさせようとしている人々と同一です。彼らがその事実を知ったとき（そしてこうした慣行の蔓延はますます公然のものとなっています）、あなたは取引を失うだけでなく、法的立場を持った敵対者を生み出すかもしれません。
すべての訪問者は潜在的な原告です。すべてのページビューは潜在的な証拠です。
GDPR第26条。CCPA 1798.100。あなたの契約書には「ベンダーはコンプライアンスを保証する」と書かれているかもしれません。しかし裁判所は、それに関係なく連帯責任を認定してきました。ベンダーの慣行が公の記録となったとき、あなたの法務チームはこう問うでしょう：「このベンダーを承認したのは誰か？」
その答えは証拠開示の対象になります。
見込み客のセキュリティチームがあなたのマーテックスタックを調査したために、エンタープライズ案件を失うことを想像してみてください。RFPでの質問を想像してみてください：「同意前トラッキングが記録されているベンダーを利用していますか？」
あなたのベンダー選定は証拠開示の対象になります。それに応じて選択してください。
マーケティングは15年間、「まず動いて、あとで謝る」モードで運営されてきました。その時代は終わりつつあります。
「何が何でも成長」というプレイブックを支えてきたトラッキング基盤は、今や：
あなたにできることは、次のいずれかです：
ベンダーはあなたを守ってくれません。契約書もあなたを守ってはくれないかもしれません。あなたを守るのは、あなた自身の選択だけです。
zoominfo-gtm-studio/
├── FINDINGS.md # Full technical analysis
├── TIMELINE.md # CEO post → comment → block sequence
├── code/
│ ├── sardine-config.json # Decoded biometrics configuration
│ ├── perimeterx.md # PerimeterX infrastructure details
│ └── tracking-sequence.md # Complete request timeline
├── methodology/
│ └── how-we-tested.md # Reproduction instructions
└── legal/
├── gdpr-analysis.md # EU regulation analysis
├── ccpa-analysis.md # California privacy law analysis
└── cipa-exposure.md # California wiretapping exposure analysis
https://www.zoominfo.com/products/gtm-studio に移動するcollector-pxosx7m0dx.px-cloud.net — PerimeterXのフィンガープリンティング*.d.sardine.ai/bg.png — Sardineの行動生体認証gw-app.zoominfo.com/gw/ziapi/fraud-detection — セッションフィンガープリンティング
文書化された証拠を突き付けられたとき、その内容は：
上場企業のCEOが選んだ対応は：
ZoomInfoは、これらの調査結果に関するコメントの要請に応じていません。
これは法的助言ではありません。
この証拠パックに含まれる情報は、情報提供および教育目的のみで提供されています。本書のいかなる内容も法的助言を構成するものではなく、本書にアクセス、閲覧、または使用することによって弁護士・依頼者関係が生じることもありません。
ここに示された情報に基づいて何らかの行動を取る前に、お住まいの地域で資格を持つ弁護士に相談してください。プライバシー法は複雑で、管轄によって異なり、変更される可能性があります。ある管轄で違反となる行為が、別の管轄では適用されないこともあります。
Blackoutは法律事務所ではありません。 私たちは技術的な調査結果を記録するセキュリティ研究者です。私たちは以下について何らの表明も保証も行いません：
すべての調査結果は、テスト時点で公に観測可能な挙動に基づいています。 ネットワークキャプチャ、デコードされた設定、リクエストのタイムラインは、ある時点のスナップショットを表しています。ベンダーは公開後に慣行を変更する可能性があります。
同意前トラッキングまたは監視慣行によって影響を受けたと思われる場合は、プライバシー弁護士に相談するか、お住まいの地域のデータ保護当局に連絡してください。法的権利または救済手段を評価する際に、本書のみに依拠しないでください。
この証拠パックにアクセスした時点で、お客様は本書の免責事項を読み、理解したことを認めたものとみなされます。
この証拠パックは公共の利益のために公開されます。
ベンダーのトラッキング基盤は透明かつ検証可能であるべきであり、文書化されたからといって抑圧されるべきではありません。
公開者： Blackout Research
日付： 2025年11月25日
無料フォレンジックスキャン。100ドメイン。24時間。
あなたのベンダーが何をしているのかを確かめてください。
「研究者をブロックすることはできても、
証拠をブロックすることはできない。」