--- title: "セレブライト、セルビアへの供給を25年に停止　それでも同社ツールは26年選挙まで＝3調査機関" description: "セレブライトは2025年2月、セルビアとの取引停止を公表した。だが3つの調査機関によれば、同社の端末抽出ツールはその後も2026年までセルビアで使われ続けた。以前にロシアでも供給停止後の使用が確認されており、この繰り返しは「悪い顧客が1社いただけ」の話ではなく、ビジネスモデルそのものへの指摘と読める。" publisher: "The Inference" section: "Security" published: 2026-10-27T14:36:03.266Z modified: 2026-10-27T14:36:03.266Z canonical: https://theinference.org/article/cellebrite-cut-off-serbia-in-2025-the-labs-say-its-tools-ran-through-the-2026-election-anyway/ja language: ja keywords: "Cellebrite, Spyware, Serbia, Citizen Lab, Surveillance, Elections" --- # セレブライト、セルビアへの供給を25年に停止　それでも同社ツールは26年選挙まで＝3調査機関 > セレブライトは2025年2月、セルビアとの取引停止を公表した。だが3つの調査機関によれば、同社の端末抽出ツールはその後も2026年までセルビアで使われ続けた。以前にロシアでも供給停止後の使用が確認されており、この繰り返しは「悪い顧客が1社いただけ」の話ではなく、ビジネスモデルそのものへの指摘と読める。 セルビア政府の情報機関、情報安全保障局（BIA）が警察の尋問の場で、イスラエルの端末解析企業[セレブライト](https://theinference.org/markets/companies/cellebrite)のハードウェアを使い、野党側の人物のスマートフォンのロックを解除してはスパイウェアを仕込んでいた。しかも、セレブライトが同国との取引停止を公表した後も使い続けられていた。シチズンラボ、アムネスティ・インターナショナルのセキュリティーラボ、ベオグラードのSHARE財団の3機関が[10月26日、同時に公表した](https://www.techtimes.com/articles/329516/20261027/three-labs-confirm-serbia-hacked-rector-prosecutor-pegasus-before-vote.htm)フォレンジック（デジタル鑑識）調査結果で明らかになった。公表は、14年間政権を担ってきたアレクサンダル・ヴチッチ氏が選挙の敗北を認めた翌日のことだった[1][2]。 ## 調査機関が裏付けた内容 フォレンジック調査が裏付けたのは、多層的な作戦だ。iPhoneにはイスラエルのNSOグループ製の遠隔操作型スパイウェア「ペガサス」、Android端末にはBIAが独自開発した侵入ツール「NoviSpy」。そして、押収した端末のロックを解除する尋問室用ハードウェアであるセレブライトの端末解析装置「UFED」（Universal Forensic Extraction Device）が、ロック解除からスパイウェアのインストールへと工程をつないだ。アムネスティは、この一連の侵入が[クアルコム](https://theinference.org/markets/companies/qualcomm)のカーネル脆弱性「CVE-2024-43047」を通じて行われたことを突き止めた。この脆弱性は深刻度スケール「CVSS」で7.8と評価され、修正は2024年10月になってようやく行われた[1]。 ![セレブライトの携帯型端末抽出装置「UFED Physical Pro」](https://storage.googleapis.com/theinference-public/img/01465a464f974a06.jpg) *セルビア当局が押収した端末のロック解除に使い、その後スパイウェアを仕込んだと調査機関が指摘する尋問室用ハードウェア、セレブライトの「UFED Physical Pro」。 (jon crel, CC BY 2.0)* 2026年に標的となったのは少なくとも15人に上る。その中には、3月に執務室の家宅捜索を受けたベオグラード大学のヴラダン・ジョキッチ学長や、クシュナー氏が絡むベオグラードのトランプタワー取引を捜査し、国営テレビでヴチッチ氏に「犯罪者」と呼ばれた検事のラデ・バイッチ氏が含まれる[1][7]。アムネスティの調査では、セレブライトは2025年2月に[一部のセルビア顧客による自社製品の使用停止を発表](https://en.wikipedia.org/wiki/Cellebrite)したが、その数週間後も同社ソフトはセルビアで稼働していた[2][3]。 ## 例外ではなく、繰り返される構図 そのことを最もよく物語るのがロシアでの前例だ。2026年6月、シチズンラボは、ロシア当局が2021年6月、活動家アンドレイ・ピボバロフ氏のiPhoneにセレブライトのUFEDを使用したと、[フォレンジック調査で確認](https://citizenlab.ca/research/russia-breaks-into-human-rights-activists-phone-with-cellebrite/)した。これは同社が[ロシアとの契約を解除して](https://theinference.org/article/a-russian-owned-phone-hacking-vendor-collapsed-and-cellebrite-waits-to-inherit-the-vacuum)数カ月後の出来事で、ロシア内務省自身の鑑識報告書も事実を裏付けている。セレブライト側は、契約解除後の使用は「まったく許可されていない」と回答した[4]。 シチズンラボは、その答えを設計上の欠陥に見出す。製品がオフラインモードで動き、基盤もレガシーなアーキテクチャーであるため、同社が実際に誰かの使用を断つのは難しい。契約解除は後追いの対応で、第三者による暴露があって初めて実行される[4]。セルビアもこれと同じ形だ。2025年2月に使用を停止したのに数週間後も稼働し、2026年の攻撃チェーンで再び確認された[1][2][3]。 *Chart: **売上高は伸び続ける一方、営業利益は直近2四半期で減少** セレブライトの四半期別売上高と営業利益の縦棒グラフ（8四半期分、単位は100万ドル）。売上高は106.9から131.1に増加する一方、営業利益は19.5から7.0に減少* *セレブライトが米証券取引委員会（SEC）に提出した資料に基づく四半期別の売上高と営業利益（単位：100万ドル）。売上高が増える中、営業利益は直近8四半期のうち5四半期で減少した。 [6]* ## 顧客基盤の価値 セレブライトの顧客と株主にとって、いま試されている資産はコンプライアンス体制だ。同社の売上はすべて、政府の法執行機関と情報機関という顧客に依存している。繰り返し記録される不正利用こそが、輸出規制、調達の見直し、ベンダー排除を招く。しかもそれが起きるのは、まさに販売先である民主主義国だ。財務面には、規制当局が動く前にすでにひずみが表れている。 SEC提出資料によると、2026年4～6月期の売上高は前年同期比15.8%増の1億3110万ドルに伸びた。だが、営業利益は51.8%減、純利益は67.3%減と急落した[6]。その一方で、同社の最大市場は買い続けている。米国土安全保障省は2025年9月、主に移民・関税局（ICE）が利用する1100万ドルの契約を更新した[3]。さらに8月13日、セレブライトは第2四半期決算とともに、[通年の売上高見通しを引き下げた](https://investors.cellebrite.com/news-releases)[5]。 ## 会社側の反論 セレブライト側の弁明は、それ自体としては筋が通っている。同社はセルビアとの契約を解除し、打ち切り前に販売したツールは会社の支援も同意もなしに動くと説明する。すべての販売を倫理委員会が審査しているともいう。記録の限りでは、いずれも事実だ。だが、記録に残っていないものがある。不正利用する顧客を同社が遠隔操作で無効化したという開示例は一件もなく、倫理委員会がどう判断を下すかを公開したこともない。シチズンラボは、そうした判断に関する詳細な公開情報は存在しないと指摘する[4]。 ## 決着の行方 セレブライトは11月12日に第3四半期決算を発表する[5]。この問題が企業価値の話にとどまるか、許認可をめぐる話に変わるかを分けるのは2点だ。不正利用の記録が膨らむ中で営業利益率が低下し続けるかどうか。そして、いずれかの民主主義国の輸出規制当局か調達部門が先に動くかどうか。契約解除で現実にツールが止まることを示す責任は、会社側が負う。 ## Takeaway 3調査機関によれば、セレブライトが2025年2月にセルビアへの供給を停止した後も、同社ツールは2026年まで野党側の端末のロック解除に使われた。ロシアで見えたのと同じ構図の再現だ。その歪みはすでに財務に表れ、2026年第2四半期は売上高が伸びる一方、営業利益が半減した。次の試金石は11月12日の決算発表と、いずれかの国の輸出規制当局が先に動くかどうかだ。 ## Sources 1. [Tech Times, Three Labs Confirm Serbia Hacked Rector and Prosecutor With Pegasus Before Vote, 27 October 2026](https://www.techtimes.com/articles/329516/20261027/three-labs-confirm-serbia-hacked-rector-prosecutor-pegasus-before-vote.htm) 2. [The Record, Serbian autocrat loses election following widespread reports of digital repression, 27 October 2026](https://therecord.media/serbia-election-spyware-vucic) 3. [Wikipedia, Cellebrite (accessed 27 October 2026), citing Amnesty International, 26 February 2025](https://en.wikipedia.org/wiki/Cellebrite) 4. [Citizen Lab, Russia Breaks Into Human Rights Activist's Phone With Cellebrite, 25 June 2026](https://citizenlab.ca/research/russia-breaks-into-human-rights-activists-phone-with-cellebrite/) 5. [Cellebrite Investor Relations, News Releases, accessed 27 October 2026](https://investors.cellebrite.com/news-releases) 6. [Cellebrite, quarterly figures from SEC filings, retrieved 27 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001854587) 7. [The Record, Two more Serbian opposition figures targeted with spyware, researchers say, 19 October 2026](https://therecord.media/serbia-spyware-pegasus-elections) --- セレブライト、セルビアへの供給を25年に停止　それでも同社ツールは26年選挙まで＝3調査機関 — The Inference. Canonical: https://theinference.org/article/cellebrite-cut-off-serbia-in-2025-the-labs-say-its-tools-ran-through-the-2026-election-anyway/ja