アリアナ・グランデ、関係者を狙って未発表曲を盗んだ匿名ハッカーらを提訴
2026年7月29日 23:43
アリアナ・グランデは、自身の未発表曲や写真を盗み出したとして、匿名のハッカーらを提訴した。訴状によると、ハッカーはグランデ本人ではなく、写真家やプロデューサーなど仕事上の関係者のアカウントや端末を標的にしていたとされる。ハッカーの身元は現時点で判明しておらず、原告側は証拠開示手続きを通じて特定を進める方針だ。
■導入
今週提出された訴状によると、ハッカーはアリアナ・グランデ自身のアカウントには侵入していない。代わりに侵入したのは、彼女の写真家が使用していたDropboxだった。
月曜日にロサンゼルス郡上級裁判所へ提出された訴状には、匿名の被告らがポップスター本人を避け、その仕事を支える写真家、プロデューサー、デジタル技術者を15年にわたって組織的に標的にしてきたとされる手口が記されている。こうした関係者は未発表素材に日常的にアクセスできる一方、多くの場合、仕事を依頼したアーティスト本人ほど強固なセキュリティ対策を講じていなかった。グランデの8枚目のスタジオアルバム『petal』が7月31日（金）に発売される予定であることを踏まえると、この時期の提訴には明確な意味がある。グランデは、発売前コンテンツの盗難によって10年以上にわたり創作活動を妨げられてきたことを公の記録に残し、誰に責任があるのかを明らかにしようとしている。
この訴訟では、「ジョン・ドウ1」および「ジョン・ドウ2から100」が被告とされている。これは、被告の身元がまだ判明していない民事訴訟で用いられる標準的な仮名である。訴状は被告らについて、プライバシー侵害、カリフォルニア州包括的コンピュータデータアクセス・詐欺防止法（刑法第502条）違反、および他人の財産を不当に支配・処分する行為に対する不法行為である「コンバージョン」を主張している。グランデは陪審裁判を求めている。
■侵入の手口：制作サプライチェーンを標的に
訴状が描く技術的な構図は、著名人本人のアカウントがハッキングされたというものではない。制作サプライチェーンが一つずつ切り崩されたというものだ。
訴状によると、2019年、被告らは以前グランデと仕事をした写真家のDropboxアカウントのログイン認証情報を入手し、保存されていた未発表写真をダウンロードした。翌年には、プロデューサーのモバイル端末をハッキングし、制作中のマスター音源、デモ音源、レコーディングセッションの映像にアクセスしたとされる。訴状は、2023年だけでグランデの未発表曲45曲が盗まれ、その後流出したと主張している。さらに、「2011年の音楽デビュー以来、同様の流出が数百件発生している」としている。
訴状に記された2024年の事案には、ソーシャルエンジニアリングの手口も加わっている。被告らは偽のGmailアカウントを作成し、グランデの写真家の1人になりすますためのドメイン名を登録したうえで、その身元を利用してデジタル技術者をだまし、未発表写真を送信させたとされる。日常的な業務連絡を装ったビジネスメール詐欺（BEC）攻撃である。訴状は、2024年1月と2月に起きた別のフィッシング事案2件も挙げている。
被告らは、PayPalやCash Appなどの第三者決済サービスを通じて盗んだコンテンツを販売し、その後、購入者が公開プラットフォーム上でコンテンツを公開したとされる。
厳重に保護された本人を避け、周辺の協力者を侵害するこのパターンは、典型的なサプライチェーン攻撃である。現代のポップミュージック制作には、写真家、ミキシングエンジニア、共同作曲者、プロデューサー、スタイリスト、アシスタントなど、発売前の機密素材を日常的に扱う数十人が関わっている。その一人ひとりが、一元的なセキュリティ管理の及ばないアクセスポイントになり得る。アーティストが著名になるほど周囲の協力者が増え、分散した攻撃対象領域も広がる。
■訴訟の真の目的
訴状の中心的な戦略目標は、損害賠償ではなくディスカバリー（証拠開示手続き）にある。被告が匿名であるため、グランデの弁護団は、訴訟手続きそのものによって被告を特定するための情報を得ようとしている。
CBSニュースの法律解説者ジェシカ・レビンソンは、「アリアナ・グランデは召喚状を出すことになる。つまり、インターネットサービスプロバイダーをはじめ、彼女に対してこうした不正行為を行ったとされる人物について情報を持っている可能性のある、事実上あらゆるテクノロジー企業に情報提供を求めるということだ」と説明した。訴状には、この訴訟の目的について、「現在身元が不明で、良心を欠いたこれらの人物を特定し、侵害的かつ非難に値する行為の責任を負わせるため」と明記されている。
「ジョン・ドウ」という仮名を使う訴訟は、まさにこのような場合に用いられる確立された手段だ。裁判所が証拠開示を認めれば、グランデの弁護士はDropbox、Google、インターネットサービスプロバイダー、PayPal、Cash Appに対し、侵害や販売に関係するとされるアカウントデータ、IPアドレス、取引記録の提出を召喚状によって求めることができる。記録から実名が判明した段階で、訴状を修正して被告の実名を記載することが目標となる。PayPalやCash Appの取引記録が残っており、召喚状によって取得できれば、特に有用な手掛かりになる可能性がある。仮名のオンラインアカウントでは残らない痕跡が、金融取引の経路には残るからだ。
訴状は金額を明示していない損害賠償に加え、盗んだコンテンツを返還し、今後の配布を停止するよう被告らに命じることも求めている。
■音楽業界で強まる法的・刑事的な取り締まり
グランデの訴訟は、盗まれた音楽を扱う地下市場に対して2024年以降急速に強まっている、より広範な法的・刑事的な取り締まりの一環に位置づけられる。
これまでで最も注目された訴追事例は、フロリダ州パームコースト出身で、当時20歳だったノア・アーバンに関するものだ。アーバンは「King Bob」の名でオンライン活動を行い、サイバー犯罪集団Scattered Spiderの中核メンバーだった。2025年8月20日、連邦刑務所での禁錮10年と、59人の被害者に対する1300万ドル（約21億3200万円、1ドル＝164円換算）の賠償を命じられた。アーバンは、グランデ、プレイボーイ・カルティ、リル・ウージー・ヴァートなどの未発表曲を入手して流出させたことで、ファンコミュニティーで悪名を知られていた。サイバーセキュリティ企業Bitdefenderの研究者は、アーバンがSIMスワップ攻撃によって音楽業界幹部のアカウントへアクセスした可能性が高いと結論づけた。SIMスワップ攻撃とは、攻撃者がソーシャルエンジニアリングによって携帯電話会社をだまし、被害者の電話番号を攻撃者の管理する端末へ移させることで、SMSで送られる認証コードを傍受し、クラウドアカウントなどにアクセスする手法である。1300万ドルの賠償は59人の被害者から盗まれた暗号資産に関するものであり、アーバンの事件では、音楽の流出そのものを具体的に対象とした正式な罪状はなかった。
SIMスワップが注目されるのは、強固なパスワードや多くの二要素認証を迂回できるためだ。システムそのものを破るのではなく、電話番号の行き先を変更し、すべてのSMS認証コードを攻撃者が受け取れるようにする。アーバンとScattered Spiderの仲間が暗号資産ウォレットから資金を盗み出す際に使ったのも同じ仕組みであり、音楽の窃盗と金融詐欺は共通の技術的基盤を持っていた。
FBIも、業界規模でこの問題を記録している。FBIナッシュビル支局が2026年3月に公表した注意喚起は、2024年1月上旬から2025年9月下旬までのインターネット犯罪苦情センターのデータを対象としている。それによると、音楽業界の関係者から、犯行者が申告者の端末から未発表曲を入手したり、宣伝用ソーシャルメディアアカウントにアクセスしたりしたデータ侵害について、55件の申告が寄せられていた。同じFBIの調査では、盗まれた個人データや未発表素材を利用した恐喝未遂に関する申告も、別に64件確認された。
■グランデは以前から公に警告していた
今回の訴訟に先立ち、グランデは問題について公に発言していた。2024年初頭にZach Sang Showへ出演した際には、テレビ企画のために書いた未発表曲「Fantasize」が盗まれ、その後TikTokで拡散したことについて語った。「それで『Fantasize』が“出た”んだけど――“出た”っていうのもおかしいけど――盗まれたの」と彼女は述べた。「泥棒、海賊、犯罪者、違法よ。本当に刑務所で会うことになるから」
2024年後半にHot Onesへ出演した際には、積み重なった経験を「落胆させられる」「人間性を奪われるようだ」と表現した。「私はずっと、みんながどうやって素材を手に入れているのか突き止めようとしている」と彼女は語った。「映像でも写真でも音声でも、曲でも」。こうした不満と、ファンが自身の作品に関心を寄せることへの感謝との間に葛藤があることを認めつつも、盗難をいつまでも受け入れるつもりはないと明確にした。
訴状は、相次ぐ流出について、商業的な損害にとどまらない言葉で表現している。「これらの素材を権限なく不正に取得し、開示することは、グランデ氏のアイデンティティーと芸術性、そして彼女とファンの間に存在する直接的で神聖な関係に対する侵害である」。弁護士らはさらに、「グランデ氏に限らず、公人であれ私人であれ、影に隠れ、処罰を受けることなくテクノロジーを使って混乱を引き起こす加害者による、このような侵害に苦しめられるべきではない」と述べている。
■この事件が1人のアーティストを超えて意味するもの
訴状は、今回の提訴を抑止手段として明確に位置づけている。「この訴訟は、アリアナだけでなく、同様の侵害に直面してきた多くのアーティストを狙う将来の同種行為に対し、抑止力として機能することを意図している」
この位置づけは、単に1人のアーティストが自身を守るだけではない意味を示している。グランデが利用している民事上の証拠開示の仕組み、すなわち刑事捜査によって事前に被告が特定されるのを待つのではなく、召喚状を使って匿名の被告を特定する方法は、連邦当局による刑事訴追よりもアーティストが直接利用しやすい。刑事訴追には、法執行機関が捜査を優先し、必要な人員や予算を割り当てる必要があるためだ。この戦略が機能して実在する人物を特定できれば、同じような立場に置かれたほかのアーティストが利用できる先例となる。
しかし、この事件が浮き彫りにした構造的な問題は、訴訟だけでは解決しない。現代の制作工程に関わるすべての協力者、すなわちDropboxフォルダを持つ写真家、未発表のマスター音源をモバイル端末に保存するプロデューサー、電子メールでファイルを受け取るデジタル技術者の一人ひとりが、個々のアーティストには管理できない攻撃経路となり得る。このリスクに体系的に対処するには、音楽業界が企業のIT環境で使われるものに近いセキュリティ対策を導入する必要がある。具体的には、アカウントを持つすべての第三者を対象とした認証情報の監査、SMSコードではなくハードウェアキーを使う二要素認証の義務化、ログイン認証情報を共有するクラウドストレージに代わるエンドツーエンド暗号化ファイル転送、発売前素材を扱うすべての関係者に対する契約上のセキュリティ義務などだ。
訴訟によって、こうした隙を悪用した人物を特定し、責任を負わせられる可能性はある。しかし、隙そのものをふさぐことはできない。
■注目ポイントQ&A
●ハッカーはアリアナ・グランデのアカウントに侵入せず、どうやって未発表曲を入手したのですか？
訴状によると、被告らは、グランデの仕事上の関係者であり、未発表素材を日常的に扱う写真家やプロデューサーのアカウントや端末を標的にしました。写真家のDropboxアカウントに侵入したり、プロデューサーのモバイル端末をハッキングしたり、偽のメールアドレスやドメイン名を使って信頼されている連絡先になりすましたりすることで、グランデ本人を直接狙った場合には得られなかったコンテンツへアクセスしました。本人の制作サプライチェーンに含まれる、比較的セキュリティの弱い第三者を狙うこの方法は、標的本人のシステムへ侵入せずに実行できる、サプライチェーン攻撃の一種です。
●ジョン・ドウ訴訟とは何ですか？ ハッカーの身元特定にどう役立つのでしょうか？
ジョン・ドウ民事訴訟は、原告が仮名を使って身元不明の被告を提訴し、その後、裁判所の証拠開示手続きを利用して身元の特定を進める方法です。裁判官が証拠開示を認めれば、グランデの弁護団は、インターネットサービスプロバイダー、クラウドストレージ事業者、メール事業者、PayPalやCash Appなどの決済サービスに召喚状を送達し、侵害や販売に関係するとされるアカウントデータ、IPアドレス、取引記録の提出を求められます。記録から個人を特定できれば、訴状を修正して実名を記載できます。民事訴訟は、法執行機関が事件を優先して捜査するかどうかに依存せず、アーティスト側が身元特定を進めるための手段になります。
●SIMスワップとは何ですか？ なぜ音楽の窃盗に関係するのですか？
SIMスワップは、犯罪者が携帯電話会社のカスタマーサービス担当者を説得または欺き、被害者の電話番号を攻撃者が管理するSIMカードへ移させるソーシャルエンジニアリング攻撃です。移行が完了すると、攻撃者は二要素認証コードを含む、被害者宛てのSMSや電話を受け取れるようになります。その結果、被害者が強固なパスワードを設定していても、メール、クラウドストレージ、その他のアカウントを乗っ取ることが可能になります。Bitdefenderの研究者は、2025年8月に判決を受けたScattered Spiderとの関係を持つ流出犯、ノア・アーバン（「King Bob」）が、グランデなどの未発表素材を盗むために音楽業界幹部のアカウントへアクセスした有力な手段として、この攻撃を挙げています。
●音楽業界の関係者は、発売前の素材を守るためにどのような対策を講じられますか？
この事件で使われたとされる攻撃経路、すなわちクラウドストレージの認証情報の侵害、モバイル端末のハッキング、BECフィッシングには、それぞれ既知の対策があります。SMSコードのようには傍受できないハードウェアセキュリティキーは、SIMスワップによるアカウント乗っ取りを防ぐうえで強力です。エンドツーエンドで暗号化されたファイル転送ツールは、ログイン認証情報を使って共有するクラウドストレージよりも高い保護を提供します。DMARCやDKIMといったメール認証の仕組みは、正規の送信者になりすましたメールを受信者が見分けるのに役立ちます。また、発売前素材を扱うすべての人に特定のセキュリティ対策を義務づける契約条項を設ければ、アーティスト自身の組織だけでなく、この訴訟で特にリスクが高いことが示された外部の協力者にも対策を広げられます。
元記事: Ariana Grande Sues Hackers Who Exploited Her Collaborators to Steal Unreleased Music