「クッキースタッフィング」とは何か

Phiaのブラウザ拡張機能は、ユーザーがPhiaのクーポンをクリックしたり拡張機能を操作したりしていない場合でも、小売サイトのチェックアウトプロセス中に自動的にアフィリエイトトラッキングクッキーを注入する仕様だった。これは、ユーザーが直接小売サイトを訪れた場合や、Wirecutterなどの他のアフィリエイトプログラム経由で訪れた場合でも、Phiaがその購入に対する成果報酬を不正に主張できることを意味する。独立系研究者のベン・エデルマン氏は、Phiaのコード内に「enable_coupon_auto_drop」という機能フラグを特定。Bloombergによると、このフラグは2025年12月10日に有効化され、2026年7月7日に無効化された。

この「クッキースタッフィング」と呼ばれる行為について、法律専門家は連邦通信線詐欺（ワイヤーフラウド）に該当する可能性があり、有罪となれば最大禁錮20年の刑罰が科されうると指摘している。

創業者はいつ知っていたのか

Phiaは2026年7月、この問題について「24時間以内に知った」とし、「ソフトウェアのバグ」のせいだと主張していた。しかし、Bloombergの8月の追加調査はこの説明を完全に覆すものだった。

リークされた内部Slackメッセージは、2025年12月――Bloombergが最初に調査を開始する少なくとも7ヶ月前――には、共同創業者フィービー・ゲイツ氏とソフィア・キアニ氏がエンジニアや幹部とともにクッキースタッフィング機能について活発に議論していたことを示している。

12月のやり取りでは、ゲイツ氏が開発者に対し、自動クッキー挿入が機能しているか確認するようメッセージを送り、機能が正常に作動していれば「すべての取引を捕捉する」はずだと書き込んでいる。また、キアニ氏は内部メッセージで「クッキーを落とし続けるためにできることは何でもやろう」と述べていたと報じられている。

これら内部コミュニケーションは、両創業者がこの不正行為を可能にする機能を能動的に推進していたことを示しており、いわゆる「不具合」や「バグ」ではなく、意図的に構築され監視された機能だったことが浮き彫りになっている。

収益の中核をなす不正

クッキースタッフィングはPhiaの事業の周辺的なものではなく、報告された急成長の中核をなすものだった。

• Phiaのデータサイエンティストの推定によると、2026年6月に同社が成果報酬を主張した粗流通商品総額（GMV）の約51% がこの不正な手法によるものだった。

• Bloombergが確認した内部グラフは、この不正な帰属がPhiaの収益の大部分を占めていたことを示している。

• Bloombergは、Phiaが自動クッキー挿入機能を無効化した後、1日あたりの収益が大幅に減少したと報じている。

• ゲイツ氏が従業員にクッキー挿入の確認を依頼してからわずか40日後、Phiaは1,100倍の収益成長を謳い、3,550万ドル（約53億円）のシリーズA資金調達ラウンドを発表していた。

被害を受けた小売企業

Bloombergの報道によると、クッキースタッフィングの影響は複数の大手小売企業に及んだ。

• ナイキ（Nike）
• ノードストローム（Nordstrom）
• ザ・ギャップ（The Gap）

これらの企業は、Phiaが自社では実現していない売上に対して成果報酬を不正に請求されていた。報道時点で、これらの小売企業は公式なコメントを発表していない。

企業の対応

新たなBloomberg報道を受けて、Phiaは「すべての取引を精査し、誤って帰属された売上は取り消す」と表明。アフィリエイトパートナーへの取引取消処理を開始したと発表した。

その他の論点

FTCへの消費者苦情

Bloombergの最初の報道より数ヶ月前に、米連邦取引委員会（FTC）はすでにPhiaに関する消費者からの苦情を受け付けていた。これは、規制当局が同社の行為について早期から情報を得ていた可能性を示唆している。

社内の対立と離職

リークされたSlackメッセージからは、社内の緊張関係が明らかになっている。従業員らが社内でこの不正行為について懸念を提起していたとの報告もある。スキャンダル後、Futurismは、ゲイツ氏が情報をリークする「内部の裏切り者」がいる確信を持っていたと報じている。

データ収集の問題

2025年11月、Fortuneは4人のサイバーセキュリティ研究者の調査として、Phiaのブラウザ拡張機能がユーザーの訪問したすべてのWebページのスナップショットをキャプチャしていたと報道。これには銀行取引明細や個人メールなどの極めて機密性の高い情報を含むページも含まれており、同社が開示していた以上のデータを収集していた。

アフィリエイトプラットフォームからの停止

2026年7月のBloombergの最初の報道を受け、Phiaは大手アフィリエイト・インフルエンサーマーケティングプラットフォーム「Impact.com」から利用停止処分を受けた。

まとめ

「クッキースタッフィング」とは何か

Phiaのブラウザ拡張機能は、ユーザーがPhiaのクーポンをクリックしたり拡張機能を操作したりしていない場合でも、小売サイトのチェックアウトプロセス中に自動的にアフィリエイトトラッキングクッキーを注入する仕様だった。これは、ユーザーが直接小売サイトを訪れた場合や、Wirecutterなどの他のアフィリエイトプログラム経由で訪れた場合でも、Phiaがその購入に対する成果報酬を不正に主張できることを意味する。独立系研究者のベン・エデルマン氏は、Phiaのコード内に「enable_coupon_auto_drop」という機能フラグを特定。Bloombergによると、このフラグは2025年12月10日に有効化され、2026年7月7日に無効化された。

この「クッキースタッフィング」と呼ばれる行為について、法律専門家は連邦通信線詐欺（ワイヤーフラウド）に該当する可能性があり、有罪となれば最大禁錮20年の刑罰が科されうると指摘している。

創業者はいつ知っていたのか

Phiaは2026年7月、この問題について「24時間以内に知った」とし、「ソフトウェアのバグ」のせいだと主張していた。しかし、Bloombergの8月の追加調査はこの説明を完全に覆すものだった。

リークされた内部Slackメッセージは、2025年12月――Bloombergが最初に調査を開始する少なくとも7ヶ月前――には、共同創業者フィービー・ゲイツ氏とソフィア・キアニ氏がエンジニアや幹部とともにクッキースタッフィング機能について活発に議論していたことを示している。

12月のやり取りでは、ゲイツ氏が開発者に対し、自動クッキー挿入が機能しているか確認するようメッセージを送り、機能が正常に作動していれば「すべての取引を捕捉する」はずだと書き込んでいる。また、キアニ氏は内部メッセージで「クッキーを落とし続けるためにできることは何でもやろう」と述べていたと報じられている。

これら内部コミュニケーションは、両創業者がこの不正行為を可能にする機能を能動的に推進していたことを示しており、いわゆる「不具合」や「バグ」ではなく、意図的に構築され監視された機能だったことが浮き彫りになっている。

収益の中核をなす不正

クッキースタッフィングはPhiaの事業の周辺的なものではなく、報告された急成長の中核をなすものだった。

• Phiaのデータサイエンティストの推定によると、2026年6月に同社が成果報酬を主張した粗流通商品総額（GMV）の約51% がこの不正な手法によるものだった。

• Bloombergが確認した内部グラフは、この不正な帰属がPhiaの収益の大部分を占めていたことを示している。

• Bloombergは、Phiaが自動クッキー挿入機能を無効化した後、1日あたりの収益が大幅に減少したと報じている。

• ゲイツ氏が従業員にクッキー挿入の確認を依頼してからわずか40日後、Phiaは1,100倍の収益成長を謳い、3,550万ドル（約53億円）のシリーズA資金調達ラウンドを発表していた。

被害を受けた小売企業

Bloombergの報道によると、クッキースタッフィングの影響は複数の大手小売企業に及んだ。

• ナイキ（Nike）
• ノードストローム（Nordstrom）
• ザ・ギャップ（The Gap）

これらの企業は、Phiaが自社では実現していない売上に対して成果報酬を不正に請求されていた。報道時点で、これらの小売企業は公式なコメントを発表していない。

企業の対応

新たなBloomberg報道を受けて、Phiaは「すべての取引を精査し、誤って帰属された売上は取り消す」と表明。アフィリエイトパートナーへの取引取消処理を開始したと発表した。

その他の論点

FTCへの消費者苦情

Bloombergの最初の報道より数ヶ月前に、米連邦取引委員会（FTC）はすでにPhiaに関する消費者からの苦情を受け付けていた。これは、規制当局が同社の行為について早期から情報を得ていた可能性を示唆している。

社内の対立と離職

リークされたSlackメッセージからは、社内の緊張関係が明らかになっている。従業員らが社内でこの不正行為について懸念を提起していたとの報告もある。スキャンダル後、Futurismは、ゲイツ氏が情報をリークする「内部の裏切り者」がいる確信を持っていたと報じている。

データ収集の問題

2025年11月、Fortuneは4人のサイバーセキュリティ研究者の調査として、Phiaのブラウザ拡張機能がユーザーの訪問したすべてのWebページのスナップショットをキャプチャしていたと報道。これには銀行取引明細や個人メールなどの極めて機密性の高い情報を含むページも含まれており、同社が開示していた以上のデータを収集していた。

アフィリエイトプラットフォームからの停止

2026年7月のBloombergの最初の報道を受け、Phiaは大手アフィリエイト・インフルエンサーマーケティングプラットフォーム「Impact.com」から利用停止処分を受けた。

まとめ