TikTokや中国製アプリは本当にあなたのデータを盗んでいるのか？

21世紀の現代、データ漏洩、政府によるデータ収集、ソーシャルメディアによる過剰な情報取得など、オンライン監視の脅威は常に身近に存在しています。そんな中、政府は「中国開発のアプリが巨大なスパイウェア基盤の一部となり、世界中の国々でデータを収集している可能性がある」として、アプリのアンインストールを呼びかけています。

スパイウェア疑惑の矢面に立たされているTikTok。スマートフォンから中国製アプリを削除すべきなのでしょうか？そもそも中国アプリは本当にあなたのデータを盗んでいるのでしょうか？

なぜ米国は中国製アプリを禁止するのか？

長年にわたり、中国開発のアプリやソフトウェアはスパイウェアとして機能していると疑われてきました。これらのアプリはユーザーデータを収集し、テクノロジー企業を通じて中国政府へ送信しているとされます。中国の政治構造を考えれば、テック企業が政府と連携しているのではないかと疑う声は少なくありません。

なぜ米国はTikTokを禁止するのか？

疑惑の中心にあるのが、世界を席巻した動画共有SNS「TikTok」です。TikTokのダウンロード数は20億回を超え、アクティブユーザーは約8億人と推定されており、その大半が18〜30歳の年齢層に属しています。

2020年8月7日（木）、トランプ大統領はTikTokを事実上米国内で禁止する大統領令を発布しました。この命令はTikTokの親会社ByteDance（字節跳動）を直接の対象とし、同社との一切の「取引」を禁じるもので、発布から45日後に発効します。

この全国規模の禁止措置は、政府職員や軍関係者の端末を含むすべての政府デバイスからTikTokが禁止されたことを受けて実施されるものです。

中国アプリはあなたのデータを盗んでいるのか？

最大の疑問は、「中国製アプリをインストールすると、データを盗まれるのか？」という点です。こうしたアプリへのほぼすべての疑惑はデータ窃取に集中しており、TikTokはその代表例といえます。

セキュリティ研究者たちは早くも2020年3月〜4月頃からTikTokのデータ収集手法の調査を開始していました。4月9日にはRedditユーザーbangorlol氏が、当時配信されていたTikTokアプリのリバースエンジニアリングによる分析結果を投稿しました。その結論は「TikTokはソーシャルネットワークをかぶった薄っぺらいデータ収集サービスであり」「本質的にマルウェアだ」というものでした。

投稿者はアプリのリバースエンジニアリングを職業としていると主張しており、比較的詳細な分析だったため、この投稿は大きな注目を集めました。ただし、元の投稿ではデータ窃取の具体的な根拠は示されず、話題は閲覧数やバズ動画の操作といった別の問題へと移っていきました。

それ以降、TikTokのデータ窃取に関する疑問はさらに強まりました。一方で、メディアや一部の政府関係者が描くほどTikTokが悪質であるかどうかについては、他のセキュリティ研究者たちは懐疑的な見方を示しています。

例えばセキュリティ専門家のマイク・トンプソン氏は次のように述べています。「実証された重大な脅威はまだ見たことがない……あれは人々をつなぐために設計された新しいアプリに対する、いつもの騒ぎにすぎない。もちろんリスクはあるが、無数に存在する他のSNSコミュニティより悪いわけではない」

同様に、著名なセキュリティ研究者バティスト・ロベール氏（@fs0c131y）も「現時点で確認できる限り、TikTokに不審な挙動はなく、通常の範囲を超えるデータを外部送信していない」と結論付けています。

TikTokは特殊な暗号化でユーザーデータを収集していた

ところが2020年8月中旬、TikTokアプリがiOSとAndroidに備わる保護機能を回避しながら、デバイスのMACアドレスを収集していたことが判明しました。この収集は約15ヶ月間続き、TikTokへの監視が強まる中、2019年11月にようやく中止されました。

MACアドレスは、すべてのネットワークアダプターに割り当てられる固有の識別子です。MACアドレスは決して変更されないため、全デバイスのMACアドレスを収集することは極めて強力な個人識別手段となります。（なりすましや変更の方法は存在しますが、一般的なTikTokユーザーがそのような操作を行うことはまずありません。）

MACアドレスが不変である以上、個人の習慣や行動パターンを詳細にプロファイリングすることが可能になります。TikTokへの他の懸念と相まって、これはオプトアウトの余地が一切ない長期トラッキング手法を生み出す重大な問題でした。

この情報は、2018年4月から2020年1月までにリリースされた9つのバージョンのTikTokアプリを分析したウォール・ストリート・ジャーナル（WSJ）の調査報道によるものです。この分析は他のセキュリティ研究者の調査結果をある程度裏付けるものでした。つまり、TikTokはSNSアプリとして想定される範囲を大きく超えるデータを収集してはいなかったのです。

しかしWSJの調査は、2020年4月のRedditユーザーbangorlol氏の投稿内容の多くも裏付けました。ByteDanceは送信するユーザーデータの大部分を、SSL/TLSによる標準的な保護をさらに上回る特殊な暗号化方式で包んでいたのです。これはユーザーのセキュリティ強化のためでしょうか？それとも、TikTokがByteDanceのサーバーへ何を送信しているのかを隠蔽するためでしょうか？

もしByteDanceがMACアドレスを識別・追跡に利用していたのなら、追加の暗号化レイヤーの存在にも説明がつきます。暗号化によってGoogleやAppleが通信データを解析できなくなり、MACアドレスなどのデータ収集活動がレーダーに映らなくなるからです。

これは他のSNSプラットフォームと何が違うのか？

もう一つの視点として、Facebook、Twitter、InstagramなどもTikTokとまったく同じことを行っています。つまり、ユーザーデータを大量に吸い上げ、詳細なユーザープロファイルを作成し、そのプロファイルに向けて広告をターゲティングするのです。OS、画面解像度、デバイスモデルなどの情報取得は、SNSアプリではごく普通のことです。

しかし、中国製アプリは必要以上のデータを収集しているとされます。ACLU（米自由人権協会）のシニアテクノロジーフェロー、ジョン・カラス氏は「中国製アプリは他のアプリよりもはるかに攻撃的であることが多い――そして私たちは他のアプリですら嫌っているのだ」と述べています。

さらに考えなければならないのは、テック巨人たちがこの規模のデータで何をできるかという点です。Cambridge Analytica（ケンブリッジ・アナリティカ）事件を振り返れば、膨大なSNSデータセットが持つ危険な力がよくわかります。西洋諸国のあらゆる階層に浸透した初の中国製SNSアプリとして、悪意あるデータ収集の潜在的可能性は容易に想像できるでしょう。

他の国でも中国アプリは禁止されているのか？

禁止されている中国アプリの一覧は、地域によって異なります。前述の通り、米国はTikTokの親会社ByteDanceとの取引を禁止しました。しかし、TikTokや中国製アプリを禁止しているのは米国だけではありません。

2020年7月初旬、インドはTikTokを含む50以上の中国アプリを禁止しました。インド政府は、これらのアプリが「インドの主権と領土保全、インドの防衛、国家の安全および公共の秩序に有害である」と述べています。安全保障とプライバシーリスクが公式な理由とされていますが、この措置は、ラダック地方の中印国境で死傷者を出した衝突事件を受けた広範な対応の一環でもあります。

禁止リストには、人気メッセージングアプリWeChat（微信）、ミニブログプラットフォームWeibo（微博）、人気Androidゲーム「Clash of Kings」などが含まれています。

執筆時点では、中国アプリを禁止している他の国はごくわずかです（オーストラリアはTikTokの禁止を検討しており、すでにHuaweiとZTEを禁止済みです）。

Huaweiの5Gインフラ排除

2020年7月、英国は中国の通信大手Huaweiを5Gネットワークから排除することを発表しました。英国政府はまた、2027年までに既存の5GインフラからHuawei技術をすべて撤去することを誓約しています。この動きは、重要な国家インフラにおけるHuaweiの役割を縮小し、最終的には完全に排除せよという、国内外からの数ヶ月にわたるロビー活動を受けてのものです。

フランスがTikTokを調査

同様に、本記事の執筆中、フランスのデータ保護機関CNILの報道官が、TikTokへの調査開始を確認しました。具体的には、EU市民に追加のデータ保護を提供するGDPRデータ保護フレームワークの下で、TikTokがユーザーデータをどのように扱っているのかを分析します。

米国による中国アプリ禁止は正当なのか？

米国（およびその他のファイブアイズ諸国政府）によるデータ収集をめぐる大胆な主張は、良く言えば偽善的、悪く言えば笑止千万です。エドワード・スノーデンがPRISM、XKeyscore、ECHELONなどの世界的なデータ収集プログラムを暴露し、世界が震撼したのはつい最近のことです。

これらのプログラムはアプリをスパイウェアとして使うのではなく、国と国を結ぶ主要なデータ接続ケーブル（Tier 1プロバイダーのネットワークや海底ケーブルインフラなど）から膨大なデータを吸い上げていました。

さらに、これらのプログラムは現在も稼働しており、同盟国政府の協力のもと、米国政府によって何度も更新・延長されています。

とはいえ、水は双方に流れるものです。中国政府はGoogle、Facebook、Twitter、Instagram、さらにはTikTok（中国版TikTokは「抖音（Douyin）」という名称で、異なるコンテンツを表示します）を含む多くの主要米テック企業へのアクセスを禁止しています。さらに中国政府は、西洋のニュースソースや動画ストリーミングサービスなども検閲しています。

検閲の理由はそれぞれ異なりますが、目指すゴールは同じです。「外国政府から自国民を守る」ことなのです。

スマートフォンから中国アプリを削除すべきか？

大統領令により、もはや選択の余地はほぼ残されていませんが、おそらく政府の干渉がなくても判断はできたはずです。TikTokを使い続けるなら、「自分のデータは安全ではなく、アプリが他の形で自分を危険に晒す可能性がある」と想定しておくべきです。

問題は、中国、米国、政府間の敵対関係、スパイ行為、データ収集が絡む議論は、全体像を把握するのが非常に難しいという点です。「中国＝悪」だから即座にアプリを削除、という単純な答えにはなりません。多くの人が望むような白黒はっきりした答えではないのです。

残念ながら、TikTokやその他の中国製アプリへの激しい反対論は、消費者を地政学の領域へと押し込んでいます。あなたのデータを巡って覇権を争う二大国の間で、消費者は一枚の駒にされているのです。

ほとんどの人にとって、TikTokは単なる楽しい動画共有アプリにすぎません。FacebookやGoogleに無限のデータを与え続ける方が良いのでしょうか？そして、TikTokは本当に国家安全保障上のリスクなのでしょうか？