スマホがあなたを監視している?写真・Bluetooth・バッテリーから個人情報が漏れる3つの驚きの仕組みと対策

ポケットの中のスマートフォンが、実は常時携帯型のトラッカーであることを、多くの人はなんとなく理解しています。私たちは利便性と引き換えに、多くのものを差し出しているのです。

手軽な検索のためにGoogleへ大量の情報を渡し、家族や友人とのつながりのためにFacebookへ自分自身についての膨大なデータを提供してきました。『ポケモンGO』がプライバシーを侵害するのではないかという懸念が話題になったこともありました。

しかし、あなたの写真、Bluetooth、さらにはスマホのバッテリーまでもが、あなたを監視するために使われ得ることは、あまり知られていません。

写真に埋め込まれる位置情報(EXIF)データ

Exchangeable Image File(EXIF)情報は、プロのカメラマンからアマチュアまで、撮影をする人にとって非常に便利なデータです。スマートフォンやデジタルカメラで撮影すると自動的に記録され、撮影日時、焦点距離、使用したカメラ、向きなどが含まれます。素晴らしい露出の写真を見つけたら、EXIFデータを確認すれば同じ設定を再現できます。

スマートフォンにも撮影日時は記録されており、iPhoneの写真をスクロールすれば、各画像にその情報が付与されているのが分かります。ネットから保存した画像なら、自分がフォトストリームに追加した日付か、元の所有者が撮影した日付が残っていることもあります。

ところが問題はここからです。スマートフォンにはジオタグ(位置情報タグ付け)機能があるため、記録される情報には撮影場所も含まれています。

GPSを使っている限り、あなたがどこを訪れたかを正確にたどることが可能です。このデータと写真の内容を組み合わせれば、見ず知らずの他人でも、あなたがどこで休暇を過ごすか、どんなイベントに定期的に参加しているか、そしてどこに住んでいるかまで割り出せてしまいます。

多くの場合、心配しすぎる必要はないかもしれません。スマホを覗いているのは自分だけですからね。ただし、紛失や盗難は別として、端末を手放すときには注意が必要です。工場出荷状態へのリセット(初期化)でもすべてのデータが完全に消去されるとは限りません。売却やリサイクルに出す前には、必ずデータを暗号化しておきましょう。

もう一つの懸念はハッキングです。多くのセレブのiCloudアカウントが不正アクセスされ、プライベートな画像が流出した事件を覚えている方もいるでしょう。これはサイバー犯罪者が、恐喝のネタになる素材だけでなく、相当量のメタデータをも手に入れた好例です。Snapchatをはじめ、SNSアカウントが乗っ取られた事例もあります。幸い、FacebookやTwitterは埋め込み情報を自動的に削除してくれるため、そこまで神経質になる必要はありません。

では、どうすればいいのか?

ほとんどのスマートフォンには、ジオタグ付きのメタデータを削除するオプションがあり、その操作は驚くほど簡単です。

iPhoneの場合: 「設定」→「プライバシー」→「位置情報サービス」と進み、GPSへのアクセスを求めるアプリ一覧の上の方にある「カメラ」を見つけます。「アプリの使用中」になっている場合は「しない」に変更しましょう。ついでに、現在他のアプリに位置情報へのアクセスを許可してよいかどうかも確認しておくのがおすすめです。

Androidの場合: カメラアプリを開き、メニューから歯車アイコン(設定)をタップします。機種によって「位置情報」「GPSタグ」「ジオタグ」などの項目が表示されるので、これをオフにしてください。

Bluetoothは位置情報と連絡先を危険に晒している?

今ではWi-Fiでデータをやり取りするのが一般的ですが、かつては長い間Bluetoothに頼らざるを得ませんでした。Bluetoothは機器同士をつなぐ短距離無線通信で、スピーカー、ハンズフリーキット、キーボードなどを接続するのに今なお非常に便利なため、スマートフォンにも搭載され続けています。

最新のBluetoothには大きな可能性がありますが、それでも嫌いだという人は少なくありません。その理由の一つが、「どれだけ発見されやすい状態(discoverable)になっているか」という点です。

設定を適切に変更していないと、周囲の人がBluetooth経由で簡単にあなたの端末を検出できてしまいます。こうした監視は厄介で、たとえば店舗が特定の顧客をピンポイントでターゲティングするために利用することも可能です。店側はすでにWi-Fi分析で来店客を追跡していますが、Bluetoothはその代替手段として十分に機能します。店内のどのエリアに何回立ち寄ったかまで記録され得るのです。

とはいえ、「Bluetoothを“検出不可”にすれば安全だ」というのは俗説にすぎません。残念ながら、ハッカーはそんな生易しいものではないのです。

これに関連するのがブルージャッキング(Bluejacking)です。Bluetooth経由で盗聴ソフトやマルウェアなどの悪意あるコンテンツを相手のスマホに送りつける攻撃手法です。2012年には、セキュリティ企業のカスペルスキーがマルウェア「Flame」を発見しました。イスラエル、スーダン、シリアなどで確認され、特にイランで広く蔓延していたこのマルウェアは、その巨大なファイルサイズと、発見までに少なくとも2年を要した事実から、カスペルスキーは次のように述べています。

「これまでに発見された中で最も複雑な脅威の一つだ」

FlameはBluetoothを利用して、感染した端末本体だけでなく、近くにあるBluetooth対応スマートフォンからも連絡先の名前と電話番号を検索・ダウンロードしました。さらにインストール後は、Skypeを含む通話の録音や、非公開のメッセージやメールを含むスクリーンショットの取得も可能で、収集したデータを作成元へ送り返していたといいます。言うまでもなく、諜報機関にとっては極めて強力なツールキットでした。

この事例は、Bluetoothがあなたを監視する手段になり得ることを如実に示しています。

では、どうすればいいのか?

まず問題を認識することが第一歩です。特に「iPhoneはBluetoothを使わない」と思っている方は要注意です(批判ではありません。筆者も何年も気づいていませんでした!)。

防御策の一つは、当然ながら堅牢な4桁のパスキー(ペアリングコード)を設定することです。推測されやすい番号は避けましょう。しかし最善の方法は、使わないときはBluetoothをオフにすることです。「検出不可」設定も安全に見えますが、実際に使うときだけオンにする方がはるかに確実です。

そう、バッテリーもあなたをスパイできる

まるで荒唐無稽に聞こえるかもしれませんが、比較的最近になって、スマートフォンのバッテリーがあなたに対して使われる可能性があることが明らかになりました。

発端は善意でした。Webサイトやアプリは、スマホの残りバッテリー量を自動的に取得できます。残量が少なければ、サイト側は省電力版のページを表示して、貴重な充電を消耗させないようにする——そんな目的だったのです。

しかし、上位100万サイトを対象とした調査によると、一部のサービスはこのデータを利用してあなたのオンライン活動を監視し、VPN(仮想プライベートネットワーク)など、すでに導入しているプライバシー保護策をも回避できることが分かったのです。対処法がほとんどないだけに、恐ろしい話です。

当初の懸念は、ユーザーの許可なしにこのプロトコルが実行できる点にありました。ただ送信されるのは「バッテリーが切れるまでの推定時間」と「充電にかかる時間」という単純なデータだったため、大きな警鐘は鳴らされませんでした。ところが、これらの情報を組み合わせると固有の識別子になり得ます。しかもこの情報は30秒ごとに更新されます。つまり、プライベートブラウジングやVPNによって一見別々に見える2つのデータセットを紐づけられるため、どんなに検知を逃ごうとしても、閲覧履歴は追跡されてしまうのです。

さらに、同じサイトを頻繁に訪れると、削除したはずのCookieが復活させられることがあります。これは「リスポーン(respawning)」と呼ばれる手法です。毎朝出勤前に訪れるサイトのように、長期間にわたって続けば、あなたの端末により確固とした固有識別子が割り当てられる結果になります。

大したことないと思われるかもしれません。オンラインではFacebookのシェアボタンを含むあらゆるサービスに追跡されることに慣れていますからね。しかし、現実世界への影響もあるのです。顕著な例が、人気配車サービスのUberです。Uberは疑わしいビジネス手法を否定しながらも、バッテリー残量が尽きかけた顧客により高い料金を請求する可能性は認めています。Uberの経済調査責任者キース・チェン(Keith Chen)氏は次のように語っています。

「スマホのバッテリーが5%になって、iPhoneの小さなアイコンが赤く変わると、人々は『家に帰らないと、じゃないと帰る手段がなくなってしまう』と言い始めます。私たちがそれを使って高額なサーチャージを押し付けることは絶対にありません。しかし、それは興味深い人間心理の事実ではあります」

では、どうすればいいのか?

これは対策が難しい問題です。バッテリー残量が少ないときにデータが収集されるため、こまめに充電しておくことが有効ですし、電池を消耗させるアプリを避けるのも良いでしょう。それ以外には、よく訪れるサイトは特定の1台の端末(たとえば会社のPC)からだけアクセスするようにして、スマートフォンが執拗に追跡されないようにするのも一案です。

賢すぎるスパイ行為?

追跡において隠密行動は理想的な手法です。少なくとも、できる限り多くの個人情報を手に入れたい者にとっては。だからこそ、こうした情報を広めることが重要になります。それでも、監視技術は常に進化し続けます。今回挙げた3つの例は、現代のサービスがどれほど巧妙になり得るかを物語っています。

あなたが驚いた追跡手法は他にありますか?ビッグブラザーにどう立ち向かいますか?