インドのCellebrite調達、押収スマートフォンの捜査規則に残る空白を浮き彫りに

4億9800万ルピーの調達、プライバシーをめぐる広範な懸念

2026年1月20日付の内務省書簡には、アミット・シャー内相が国家捜査局（NIA）に対し、「メーク・イン・インディア」の調達要件の適用を免除し、スマートフォンのロック解除とデータ抽出を目的とするツール「Cellebrite Premium」を購入することを承認したと記されている。契約はNextechno Gen Private Limitedに発注され、金額は4億9799万515ルピー、約4億9800万ルピーだった。

この調達は、デジタル権利団体のインターネット・フリーダム財団（IFF）が指摘する、より広範な傾向の一部だ。同団体が調達記録を調べたところ、2026年の11件の入札でCellebrite製品を名指しした案件が15件見つかった。中央政府の捜査機関、軍当局、州警察や鑑識部門が関わっていた。

記録には、パスワードの復元、パスコードの突破の試み、対応機器からのデータ複製といった強力な機能が記載されている。一部の保護フォルダーに保存されたデータも対象となる。インドには、押収、復号、電子証拠に関する法律はあるものの、スマートフォンからの鑑識データ抽出の全手順を定めた専用法令や規則、公表済みの手順書はない。

端末を押収された人にとって、影響は通話やメッセージを利用できなくなるだけにとどまらない。端末が返却された後も、鑑識用の複製データには写真、会話、位置情報、アプリのデータが残る可能性がある。IFFが確認した調達記録には、保存期間や削除要件、ジャーナリスト、弁護士、犯罪を問われていない人に対する具体的な保護措置が記されていない。

ユーチューバーのドルブ・ラティ氏が、2026年10月の身柄拘束時にデリー警察がiPhoneのデータを複製しようとしたと主張したことで、議論は一層切迫したものとなった。この主張は確認されておらず、警察も公に回答していない。一方、調達文書からは、各機関が何を購入しようとしたのか、また承認にどのような行政手続きが使われたのかが詳しく分かる。

内務省が承認した内容

内務省の書簡の文書番号は80016/2026/ADMIN NIA-HQ。警察近代化局が発行し、調達担当のビノード・クマール・ドゥベイ副委員が署名して、NIA長官宛てに送付した。書簡は、2025年8月20日付のNIAの書類に言及している。

書簡には、2017年公共調達（メーク・イン・インディア優先）命令と、2024年7月19日付の改定に対する個別の適用免除が承認されたと記されている。これらの調達規則は国内生産を優先する。免除により、同機関は指定された海外製品の購入を進められることになった。

承認された提案は、3年間のライセンス付きCellebrite Premiumツール1台で、提案価格は4億9815万ルピーだった。内務省の統合財務局は2026年1月13日に同意し、書簡には1月17日に内相の承認を得たと記されている。

最終契約額は提案額を1万5485ルピー下回った。このわずかな差額によって、中心的な問題は変わらない。記録にはツール購入の許可が説明されている一方、ツールで取得できる個人情報へのアクセスを規制するルールは未整備のままだ。

入札書類に食い違い

NIAは2026年2月6日、入札GEM/2026/B/7172473を公示した。5社が参加し、Nextechno Gen Private Limitedが契約を獲得した。入札書類では、調達免除を認めた権限者として内相の名前が挙げられている。

書類には2つの食い違いがある。内務省の書簡と技術仕様書にはライセンス期間が3年とある一方、入札書類ではサブスクリプション期間が1年とされている。また、証明書に記載された承認日は2025年8月13日だが、内務省の書簡では2026年1月17日が承認日となっている。

IFFが確認した調達記録では、こうした不一致は解消されていない。ライセンス期間は、購入したアクセス権がいつまで有効か、追加費用がいつ必要になるかを左右するため重要だ。

NIAの書類は、同じ名称と仕様のソフトウェアを製造する企業はほかにないとしている。しかし、インド製品が同じ機能を果たせるかどうかを評価した記録は示していない。製品名を特定して比較することと、必要な捜査業務を遂行できる代替製品を比較することは、別の調達手続きだ。

調達の経緯

デリー警察は少なくとも2020年12月までにCellebriteのツールを導入しており、ドワルカの国家サイバー鑑識研究所でUFEDとPhysical Analyzerを使用していた。同警察の鑑識機材には、ほかの企業の製品も含まれていた。

2025年3月20日付の内務省命令は、デリー警察犯罪捜査局が調達する海外製鑑識製品19品目の適用免除を承認した。そのうち3品目がCellebrite製品で、UFED 4PC、Digital Collector、MacBook Proと組み合わせたInspectorだった。

記録と法的手続きは数年にわたる。

• 2019年：IFFは、情報技術法第69条と関連する傍受規則・認可をめぐり、最高裁に申し立てを行った。
• 2023年12月：中央政府は最高裁に対し、デジタル機器の捜索・押収に関する指針を策定する委員会を設置すると伝えた。
• 2025年3月20日：内務省は、Cellebrite製品3品目を含むデリー警察の調達免除を承認した。
• 2025年8月20日：NIAは、後の内務省承認書簡で言及された書類を提出した。
• 2026年1月13～20日：財務部門の同意、内相の承認、内務省の書簡発行が続いた。
• 2026年2月6日：NIAはCellebrite製品の入札を公示した。
• 2026年10月10日：ラティ氏は、抗議活動を前に身柄を拘束され、本人の説明によると携帯電話を押収された。

2026年の入札はNIAにとどまらない。深刻不正調査局がTNS Networking Solutionsに発注した契約、カルナータカ州とヒマーチャル・プラデーシュ州での購入・更新、携帯電話からのデータ抽出を含むケララ州の施設管理サービスがあり、Alibi Globalが受注企業として記載されている。軍務局の入札では、複数の携帯電話のロック解除が求められていた。

IFFの広範な追跡データベースには、2025年7月以降に公示された監視関連の入札が約100件ある。ブランド名を入札段階で明示していない携帯電話の鑑識データ抽出案件も25件あった。入札の記載だけでは、最終的な納入企業や製品は特定できない。

スマートフォンから抽出できる情報

Cellebriteはイスラエルのデジタル鑑識企業だ。同社のツールは、対応機器へのアクセスと、調査用情報の収集を支援する。NIAの仕様書によると、アクセスの可否は機種、ソフトウェア、セキュリティ状態によって異なる。

仕様書は、指定されたAndroid端末と一部の旧型iPhoneについて、総当たり方式によるパスコード解読を求めている。総当たり方式とは、ツールの能力や端末の保護機能の範囲内で、正しい組み合わせが見つかるまでパスコード候補を繰り返し試す方法だ。

iPhone 11からiPhone 14までの機種については、起動後に少なくとも一度ロック解除された端末から、ファイルシステム全体を抽出するよう仕様書に記されている。最初のロック解除後は端末のセキュリティ状態が変化し、鑑識ソフトウェアがアクセスできる範囲に影響することがある。

求められた機能には、Samsung Secure Folder、Huawei Private Space、Xiaomi Second Spaceなどの保護された保存領域や、指定されたアプリのデータも含まれる。これらは購入側が求めた仕様であり、特定の端末から実際に抽出できるかどうかは、設定や対応ソフトウェアによる。

ファイルシステム全体の抽出では、チャット、写真、連絡先、通話履歴、位置情報の履歴、アプリのデータなどを収集できる。捜査員は端末とは別に、その複製データを調べることができる。そのため、端末が返却されても、「複製された情報を誰が管理し、どれだけの期間保管するのか」という実務上の問題が残る。

10月の押収が重要な理由

ラティ氏によると、警察は10月10日、デリーのジャンタル・マンタルで予定されていた抗議活動を前に同氏を拘束した際、本人と両親の携帯電話を押収した。抗議活動は選挙管理委員長の辞任を求めるもので、警察は開催を認めていなかった。

ラティ氏は後に、コメディアンのクナル・カムラ氏のポッドキャストに出演し、疑念を語った。同氏によると、返却された端末を専門家が調べたところスパイウェアは見つからず、iOSのバージョンがツールの対応範囲より新しかったため、Cellebriteによる抽出の試みは失敗したと考えているという。また、警察の拘束下にあった間、端末の充電履歴には数時間にわたって充電された記録が残っていたとも述べた。

DIGIPUB News India Foundationは、記者証を提示した記者を含め、抗議活動を取材していたジャーナリストが身柄を拘束されたことを記録した。一部の記者は携帯電話も押収された。IFFは10月12日、端末の返却と押収記録の公表を求めた。

IFFの説明によると、拘束から約1カ月後も一部の携帯電話は警察の手元にあり、所有者には端末をどう扱ったのか説明されていなかった。ジャーナリストの端末には、未発表の取材内容、私的な会話、情報源の身元が含まれる可能性がある。家族の端末には、別の人が拘束された理由とは無関係な個人情報が大量に保存されていることもある。

現行法の対象範囲

インドの刑事訴訟法であるバーラティヤ・ナガリク・スラクシャ・サンヒタ（BNSS）は、捜索と押収に関する権限を定めている。第106条は犯罪に関係する財産の押収を扱い、第105条は捜索・押収の手続きを音声と映像で記録するよう定めている。

これらの規定は、財産の占有と手続きの記録を定めるものだ。スマートフォンのロック解除、複製するファイルの選定、その後のアクセスの制限、調査後の情報削除について、包括的な条件を定めてはいない。

バーラティヤ・サクシャ・アディニヤム第63条は、電子記録を法廷で証拠として使う際の認証を定めている。認証は、電子証拠の取り扱いや提示に関するものだ。捜査員がそもそも何を収集できるのかを規律するには、独自の法的根拠と保護措置が必要となる。

情報技術法第69条は、コンピューター資源内の情報について、傍受、監視、復号を命じる権限を定めている。この枠組みでは、原則として中央または州の内務次官に当たる権限者による書面命令が必要だ。IFFは、10月の抗議活動で押収された携帯電話に関し、そのような命令の存在を把握していないとしている。

デジタル個人データ保護法第17条第1項(c)は、犯罪捜査に関連するデータ処理を適用除外としている。この適用除外があるため、自身の情報の利用に制限を求める人にとって、刑事捜査のルールがとりわけ重要となる。

最高裁の2件の訴訟が問う制度の空白

IFFの申立てW.P. (C) 44/2019は、第69条、2009年の傍受規則、中央政府が10機関に情報の傍受・監視・復号を認めたことに異議を唱えている。審理は継続中だ。

別件のW.P. (Crl.) 395/2022は、Foundation for Media Professionalsが申し立てたもので、デジタル機器の捜索・押収を扱う。2023年12月、中央政府は最高裁に対し、指針を策定する委員会を設置すると伝えた。IFFによると、その指針は最高裁に提出されていない。説明の中では、次回期日や提出期限も示されていない。

特に深刻な制度上の空白があるのは、予想される事態の防止を目的とした予防拘束中に携帯電話が押収された場合だ。その端末は刑事捜査の証拠ではない可能性があるが、それでもアクセスの理由、範囲、期間を説明する公表済みの手続きなしに、内容が複製されるおそれがある。

IFFが確認した調達記録には、保存期間、削除、監査、ジャーナリストや弁護士、犯罪を問われていない人の情報の特別な取り扱いに関する要件が見当たらなかった。保管経路を記録すれば、誰がいつ端末や複製データを扱ったかが分かり、裁判所や所有者が情報の取り扱いを把握しやすくなる。

海外事例が示すアクセスのリスク

アムネスティ・インターナショナルは、セルビア警察がジャーナリストの携帯電話のロックをCellebriteで解除した後、スパイウェアをインストールした事例や、活動家の端末からデータを抽出した事例を記録した。ロック解除とデータ抽出によって捜査員は保存情報にアクセスできる。スパイウェアはインストール後も継続的なアクセスを可能にする。

Citizen Labは、ヨルダンの活動家や、ケニアの活動家ボニファス・ムワンギ氏の携帯電話に対するCellebriteの使用を記録した。研究者らは、ロシア、香港、ボツワナ、バングラデシュでのジャーナリストや活動家に関する事例も報告している。

Cellebriteは、香港と中国、ロシアとベラルーシ、および該当するセルビアの顧客を対象に、販売制限や撤退を発表している。研究者らは、一部の発表後も再販業者やオフラインで稼働するシステムを通じて使用が続いたことを記録した。今後の販売を規制することと、すでに流通している機器を管理することでは、執行上の課題が異なる。

インドでIFFは、押収書類、鑑識用ワークステーションのログ、Cellebriteのライセンスやアクセス記録、第69条に基づく命令の有無、NIAの調達ファイル、内相の承認書類など、デリー警察と内務省の記録の開示を求めている。

同団体はさらに、抗議活動で押収された携帯電話が抽出ツールに接続されたかどうかの開示、警察が保管中の端末の返却、起訴されていない人の複製データを削除したとの証明を求めている。拘束中の人、ジャーナリスト、弁護士の携帯電話へのツール使用を拘束力のある規則が整うまで停止し、約束された指針を最高裁に提出することも要求している。

要点

• NIAは、内務省が「メーク・イン・インディア」の調達規則の適用を免除した後、4億9799万515ルピーのCellebrite契約を発注した。
• IFFは2026年の11件の入札でCellebrite製品の記載を15件確認したほか、ブランド名のない携帯電話データ抽出の入札を25件特定した。
• NIAの記録には、ライセンス期間と承認日に食い違いがある。
• 求められた技術は、対応する携帯電話のロックを解除し、一部の保護されたアプリ内の保存データを含む広範な個人情報を複製できる。
• ラティ氏がデータ抽出を試みられたとする主張は確認されておらず、デリー警察も公に回答していない。
• 現行法は押収、復号、電子証拠を対象とするが、データ抽出、保存、削除に関する公的な専用規則は整備されていない。
• 関連する権限や機器の捜索を扱う最高裁の訴訟が2件係属中だ。IFFによると、約束された捜索・押収指針は最高裁に提出されていない。