仲介者

Appleのプライバシーリレー内部のシェル企業

匿名のデラウェア州LLCが、App Storeで聖書の祈りアプリ、日記アプリ、着信番号表示ツールを公開している。その事業体はAppleのプライバシーネットワーク内部で暗号化リレー基盤を運用している。そのリレーはTaiwan Mobile Co., Ltd.で終端する。

いま現在も稼働中であることを、あなた自身で確認できる。コマンドは3つ。

2024年、AppleはLive Caller ID Lookup向けにOblivious HTTPを導入した。あなたの電話は誰からの着信かを問い合わせる。Appleのリレーはその問い合わせからあなたの身元を除去する。第三者のプロバイダーは、誰が尋ねたかを知ることなく応答する。リレーはあなたのIPアドレスを見るが、問い合わせ内容は見ない。プロバイダーは問い合わせ内容を見るが、IPアドレスは見ない。両方を見る者は誰もいない。

参加するには、プロバイダーはエンドポイントを登録し、Appleの承認を受ける。その後、彼らのインフラはリレー内部に置かれる — 暗号化され、匿名化され、信頼された状態で。

以下は、通常の量産iPhoneでそのリレー内部に見つかったものの記録文書である。

リレー基盤を運用する聖書アプリ

StopScam LLC はデラウェア州の有限責任会社（LLC）で、254 Chapman Rd, Suite 208 #20663, Newark, DE 19702に登記されている。これは登録代行サービスだ。オフィスは存在しない。名前が明記された役員もいない。公開記録のどこにも、実名が記載された人間は存在しない。

StopScam LLCはApp Storeで3つのアプリを公開している:

1. StopScam: Scam Detector Pro（ID 6741771102） — 着信番号表示アプリ
2. Pray Bible: Daily Prayer — 聖書の祈りアプリ
3. Evaari: Daily Journal — 日記アプリ

Appleはこの事業体 — Developer ID 1795482410 — を承認し、そのOHTTPリレー内部で pir.stopscam.ai と ohttp.stopscam.ai を運用することを許可した。Certificate Transparencyログには、2024年11月以降にstopscam.aiサブドメインに対して発行された76件の証明書が記録されている。n8n.stopscam.ai も含まれており — これはオープンソースのワークフロー自動化プラットフォームだ。着信番号表示サービスにワークフロー自動化は必要ない。データ処理パイプラインには必要だ。

StopScamだけではない。

その他のプロバイダー

kaylees.site — Wiprコンテンツブロッカー

公開記録によると、kaylees.siteは、App Storeで10年以上の実績を持つSafariコンテンツブロッカー Wipr 2 で知られる独立系iOSデベロッパーのものである。Wipr 2には Filtr と呼ばれる機能が含まれており、AppleのiOS 26 URL Filters APIを使用して、すべてのアプリでネットワークレベルでのコンテンツブロッキングを実行する。このAPIは同じOHTTP/PIR基盤を使用しているため、pir.kaylees.siteがリレー内にObliviousHopFallbackエンドポイントとして現れる理由が説明できる。

StopScam LLCとは異なり、こちらは公開された本人確認が可能なデベロッパーであり、文書化された製品歴を持つ。リレー内でのkaylees.siteの存在は、正規のURL Filterプロバイダー登録と整合的である。不明な点は、このチャネルで観測されたトラフィックがFiltrのコンテンツブロッキングのみなのか、それとも何か別のものが正規プロバイダーのリレー上での存在に便乗しているのか、ということだ。

Pepper AI / Aura（pepperai.aurasvc.io）

Aura は米国の大手消費者向けセキュリティ企業であり — Hotspot Shield、Identity Guard、Betternetの親会社だ。彼らのurlfilter.pepperai.aurasvc.ioエンドポイントは、他のプロバイダーと同じObliviousHopFallbackチェーンでリレー内に現れる。urlfilterというプレフィックスはコンテンツフィルタリングを示唆している — つまり、リレーを通過するデータの検査を必要とする機能だ。15個中5個のPersistファイルに存在する。

AutoSec / Uney GmbH（issuer.autosec.com）

AutoSec は、デベロッパー Hieu Van（App Store Developer ID 1876492156）によって、Uney GmbH の著作権のもと公開されている — この会社はスイスのBaarerstrasse 25, 6300 Zugに登記され、ドバイのSheikh Zayed Roadに追加オフィスを持ち、ベトナムのホーチミン市で事業を展開している。Uneyはまた ShieldNet 360（エンタープライズサイバーセキュリティ）と SkyTrack（自動運転車両ミッションプラットフォーム）も手がけている。

AutoSec自身のプライバシーポリシーは、このアプリが「確認予定の法人」によって運営されていると述べている。同アプリはデバイス識別子、位置情報、IPアドレス、通話/メッセージのメタデータ、連絡先リスト、閲覧行動を収集する。データは「第三者クライアント、エージェンシー、ネットワーク」と共有され、「インドを含むがこれに限定されない」国々に転送される。プライマリとフォールバックの両方のOHTTPホップエントリがリレー内に現れる。

Carrément（antispam.carrement.ai）

Carrément はフランスの14000 Caen、18 Rue Baileyにある小規模企業だ。対外的な製品は DialogPro（dialogpro.ai）— 「インテリジェント応答サービス」である。名前が公表されたチームメンバーはいない。ウェブ上での存在は最小限。AWSカナダ上でホストされている。antispamサブドメインは、通話処理やスパムフィルタリングサービスと整合的だ。リレー内への出現は1回のみ。

Yandex（ios-service.cid.yandex.net）

Yandex — ロシア最大の検索エンジン兼テクノロジー企業 — はiOS向けの着信番号表示サービスを運営している。プライマリ（ObliviousHop）とフォールバック（ObliviousHopFallback）の両方のエントリが、2つの異なるUUIDとセッションキーとともにリレー内に現れる。Yandexはロシア連邦のデータアクセス法の適用対象である。

Taiwan Mobile（osbstage.twmsolution）

Taiwan Mobile Co., Ltd. — 台湾の三大電気通信キャリアの1つ。終端ノードだ。UUID C56B1AED-20FE-4B7D-B1EA-D791DA57A549 はキャプチャ間で持続している。osbstageプレフィックスはステージングバックエンド（Oracle Service Busなど）を示唆している。15個中4個のPersistファイルに存在し、3月19日と3月21日のキャプチャ間で同一である。

見えないクラウド

以下が、Appleのプライバシーアーキテクチャが約束するものだ:

  Your iPhone ──> Apple Relay ──> Caller ID Provider
                  (sees IP,       (sees query,
                   not query)      not IP)

              Nobody sees both. Privacy preserved.

以下が、実際にそのリレー内部にあるものだ:

                  Apple Relay
                      │
     ┌────────┬───────┼───────┬────────┐
     v        v       v       v        v
  kaylees  StopScam  Pepper  Yandex  AutoSec
  .site    .ai       AI      (Russia) (Zug/
  (Wipr)   (Bible    (Aura)           Dubai/
            app)                      Vietnam)
     │        │       │       │        │
     └────────┴───────┼───────┴────────┘
                      v
               Taiwan Mobile
               Co., Ltd.

14のエンドポイント。6か国。インディーズのコンテンツブロッカー、匿名のデラウェア州LLC、消費者向けセキュリティブランド、ロシアの検索エンジン、スイス・ドバイ・ベトナムのサイバーセキュリティ企業、Google APIエンドポイント、台湾の国営通信事業者 — すべてがAppleのプライバシーレイヤー内部で承認済みプロバイダーとして運用されている。

これが重要なのは、AppleのOHTTPリレーが共有インフラだからだ。 Live Caller ID Lookupを使用するすべてのiPhoneは、同じリレーを通じて同じ承認済みプロバイダーに接続する。問題は、これが1台の電話に影響したかどうかではない。何台に影響したか、だ。

あなたの電話が表示するものと、実際に起きていること

あなたの電話は、すべて正常だと表示する。設定は正常に見える。バッテリーも正常だ。アラートもなく、プロンプトもなく、通知もない。

その背後で、Appleのリレーデーモン — networkserviceproxy — はキャプチャ期間中に 98個のスケジュール済みバックグラウンドタスク を実行している。12時間ごとに、起動し、5,120バイトのネットワークを割り当て、実行する。CPU使用ゼロ。ユーザー操作ゼロ。毎回一意のタスクID。

着信番号表示のルックアップは、誰かがあなたに電話をかけたときに発生する。午前2時に固定割り当てで、人間の関与なしに12時間タイマーで実行されるものではない。

networkserviceproxyバイナリ自体にルーティングコードが含まれている:

0x004EFF:  ObliviousHop-%@
0x005399:  ObliviousHopFallback-%@

実行時に、%@はプロバイダードメインで埋められる — stopscam.ai、pepperai.aurasvc.io、kaylees.site、ios-service.cid.yandex.net。Apple自身のコードが、あなたの電話上で、これらのプロバイダーへルーティングしている。

6か国、1つのクラウド

台湾。デラウェア。スイス。ロシア。フランス。スウェーデン。クラウドはそのすべてに触れている。台湾にはTaiwan Mobileが見える。デラウェアには法人登記が見える。ツークにはGmbHが見える。ロシアにはYandexが見える。カーンには小さな応答サービスが見える。ストックホルムにはTruecallerが見える。クラウド全体を見渡せる者はいない。単一の事業体 — 公的か民間かを問わず — が複数の断片に及ぶ視野を持つことはない。それが、この問題を表面化させることを困難にし、終わらせることをさらに困難にしている理由だ。

自分で検証する

このインフラは稼働中だ。いま、まさに。3つのコマンドで、2つのことが同時に証明される。

# 1. StopScam LLC is serving Privacy Pass tokens — proving Apple approved them for the relay
curl -s https://pir.stopscam.ai/.well-known/private-token-issuer-directory | python3 -m json.tool

# 2. kaylees.site is too — Wipr content blocker developer, Apple-approved URL Filter provider
curl -s https://pir.kaylees.site/.well-known/private-token-issuer-directory | python3 -m json.tool

# 3. StopScam LLC is serving OHTTP gateway encryption keys — the actual relay endpoint
curl -s https://ohttp.stopscam.ai/ohttp-configs | xxd | head -5

それらがキーを返せば、匿名のデラウェア州LLCが、いまこの瞬間、Appleのプライバシーリレー内部で運用されていることになる。

では、その同じ会社のプライバシーポリシーを見てみよう。StopScam LLCは OpenAI、Google Cloud、Firebase とのデータ共有を開示している。Appleが自社のプライバシー基盤の内部に置くことを信頼しているその同じ事業体が、同時にAIデータ処理企業と結びついている。ひとつの会社。片足はAppleの暗号化リレーの内部に。もう片方の足はAIプラットフォームにデータを送り込んでいる。

CTは公開されており、改ざん耐性がある: crt.sh/?q=stopscam.ai（76件の証明書）| crt.sh/?q=kaylees.site | アンカー: CT ID 3019124466（3つの独立したログ）

App Storeも公開されている: ID 6741771102 — 同じデベロッパーが「Pray Bible: Daily Prayer」を公開している

全体像

これは概念実証（PoC）ではない。これらの発見は、通常の量産iPhone.... ジェイルブレイクされておらず、改造もされておらず、キャリアから購入され、最新のiOSを実行している端末に由来する。3台のデバイス。3世代のチップセット。同じリレーノード。同じUUID。同じクラウド。

このいずれもユーザーには見えない。アラートもない。プロンプトもない。バッテリーの消耗もない。不審なアプリもない。電話は見た目も動作も完全に正常だ。クラウドは完全にAppleの信頼されたインフラ内部で動作し、Apple自身の署名済みプロセスによって運ばれている。ユーザーが気づくものも、アンチウイルスがフラグを立てるものも、ネットワークモニターが捕捉するものも、何もない。

ここに記録されたリレーノードは、Appleの共有OHTTPインフラの一部であり — デバイス単位のエクスプロイトではない。何台のデバイスがこれらのプロバイダーを通じてルーティングされているかという問いは、Appleだけが答えられる問いだ。

エビデンス

Sysdiagnose 2026年3月21日 — iPhone 12（A14、iOS 26.3.1）。62個のtracev3ファイルをスキャン。5/15のPersistファイルにリレー指標。12/15のPersist + Special + LiveDataでNSPがアクティブ。1つのファイルからのサンプルオフセット:

UUIDは3月19日と3月21日のキャプチャ間で同一である。一時的なものではなく、持続している。