ポケモンGOはプライバシーの脅威か？あなたのデータは本当に安全なのか徹底解説

メディアの報道を聞いていると、『ポケモンGO』はブレグジットやトライデント核ミサイル、ドナルド・トランプ以来の最悪の出来事であるかのように語られています。

実際、このアプリのせいで運転中に事故を起こしたり、「ポケモンが盗まれた」と警察に通報して時間を無駄にさせたり、周囲に気づかず暗い路地に迷い込んだりした人が出ています。とはいえ、良い面もあったのです。

しかし、自分のプライバシーを気にかける人々にとって懸念となったのは、ゲームのアプリ権限と、そのデータがどのように保存されているのかという点でした…

アプリ権限をめぐる騒動とは？

騒動の発端は、iOSユーザーがアプリの権限に不安になる条項を見つけたことでした。開発元のNiantic Labs（ナイアンティック）がGoogleアカウントへの「フルアクセス」を持っているように見えたのです。もしそうなら、受信箱の閲覧、メール送信、連絡先の確認、パスワードの変更、ブラウザ履歴や位置情報履歴の閲覧、さらにはGoogleドライブ上の文書や写真の自由な操作まで可能になっていたはずです。

それが事実なら、数百万人もの人が、子供時代の追体験という引き換えに、自分の人生の鍵を完全な他人に渡していたことになります。Nianticは政府の監視機関が長年望んできたことを、見事な策略によって成し遂げたことになるでしょう。

幸いなことに、今回の場合、「フルアクセス」は文字通りのフルアクセスを意味していませんでした。

信じられない話ですが、原因は単純なミスでした。問題は、Nianticが誤って古いバージョンのGoogle共有サインオンサービスを使用したことに起因します。これは登録プロセスを簡素化するための仕組みです。GoogleとNianticは、アプリには基本権限のみが付与されているとユーザーに保証し、Nianticは次のような声明を発表しました：

「私たちは最近、iOSでの『ポケモンGO』アカウント作成プロセスにおいて、ユーザーのGoogleアカウントへのフルアクセス権限が誤って要求されていることを発見しました…Googleは、『ポケモンGO』またはNianticが他の情報を受信またはアクセスしていないことを確認しています。Googleはまもなく、『ポケモンGO』の権限を必要な基本プロフィールデータのみに縮小します。ユーザー自身が行うべき操作はありません。」

ほっと一息ですね。アップデートをダウンロードし、一度サインアウトしてから再度サインインすれば、権限が修正され、誰も合法的にあなたの個人情報を勝手に閲覧することはできなくなります。

それでも、これは驚くべきミスであり、私たちのほとんどが実際には何に同意しているのかを確認していないことの証左でもあります。Android Marshmallow以降では少なくとも、ゲームが必要とする権限が明確に表示されるようになっています。

では、ポケモンGOは実際にどんなデータを収集しているのか？

同じ声明の中で、Nianticはこう保証しています：

「『ポケモンGO』は基本的なGoogleプロフィール情報（具体的にはユーザーIDとメールアドレス）のみにアクセスし、その他のGoogleアカウント情報にはアクセスも収集もしていません。」

Googleアカウントでログインする場合でも、ポケモントレーナークラブに参加する場合でも、メールアドレスとユーザー名を提供することになります。これはゲームへのログインとしてはごく標準的な慣行です。

さらに、『ポケモンGO』が実際に機能するために必要な明白な権限がいくつかあります。主なものは位置情報データとストレージへのアクセスです。これはGPSベースのゲームなので、あなたがどこにいて、どれだけ歩いたかを知らなければ、ほとんど役に立ちません。

また、カメラへのアクセスも必要です。拡張現実（AR）はそうやって機能するからです。ただ、浴槽を滑るニョロモを見るのは楽しいものの、必須ではありません。実際、バッテリー消費が気になるなら、ARをオフにすればカメラへのアクセス要求も回避できます。

ワシントンDCの調査会社Height Securitiesでテクノロジー・メディア・通信部門を率いるニルス・トレーシー氏は、次のように警告します：

「スマートフォンに動画を記録することはありませんが、その能力自体は存在しています。」

現時点で最も懸念されるのは、アプリがプライバシー侵害に使われる可能性だと言えるでしょう。

図鑑をヒノアラシやチルタリスなどへ拡張する前に、Nianticはユーザーの「最も望む機能」リストにある他の項目、すなわちマルチプレイヤー機能への対応を計画しています。それが、『ポケモンGO』が連絡先へのアクセスを求める理由の説明になります。しかし、今後のアップデート用の権限がすでにこの初期バージョンに組み込まれているようです。現時点では、その情報を収集する必要性は一切ありません。

あなたのデータはどうなるのか？

まず落ち着いてください。第三者やハッカーが『ポケモンGO』経由であなたのメールにアクセスすることはできません。だから心配無用…ですよね？

実は、Nianticは依然として一部のデータを第三者に提供することができます。対象となるのは、潜在的な買収者（買収や破産の場合など）や法執行機関です。受信箱は含まれません。アプリはそもそもその権限を持っていなかったからです。代わりに、電話番号、生年月日、メールアドレスといった個人識別情報（PII）が該当します。これはビジネス資産とみなされる、非常に価値の高い情報です。幸い、株式会社ポケモンは任天堂の方針を採用しています：

「私たちは、お客様の事前の同意なしに、個人情報を第三者と共有、販売、貸与することはありません。」

しかしそこには抜け道があります。「事前の同意」とは多くの場合、利用規約に同意したことを意味するだけであり、プレイを開始するためにはどうしても同意しなければなりません。

位置情報、OS、設定、デバイス識別子（スマートフォンやタブレット固有の番号）を含むデータは、『ポケモンGO』サービスの改善に使用される可能性があります。しかし、それが具体的にどのサービスを指すのかは現時点で不明です。例えば位置情報ベースの広告は、一部の人々――具体的にはNiantic――にとっては「改善されたサービス」と見なせるかもしれません。水タイプのポケモンは海や川の近くに出現しますが、地元のジムのそばでケンタロスが現れる場面を想像してみてください…

Nianticは位置情報ベースのデータを保存していることを認めていますが、ポケモンの写真やAR背景の画像がどのように扱われるのかについては言及されていません。

本当に知りたいのは、私たちのデータは安全なのか？という点です。

世界中の何百万人ものユーザーから膨大なデータを集めているNianticのサーバーは、ハッカーにとって絶好の標的であり、同社は（理解できることながら）情報を保護するために講じているセキュリティ対策を明らかにしていません。2つのハッカーグループの主張が正しければ、すでに分散型サービス拒否（DDoS）攻撃の被害にも遭っています。

先週末、アプリが何時間も読み込めなかったとき、当然の結論は「サーバーが負荷に耐えきれなかった」というものでした。しかし実際には、PoodleCorpとOurMineの両グループが犯行を主張しました。後者のOurMineは、Nianticにサーバーのセキュリティが不十分だと気づかせるためにDDoSを実行したとされ、データ保護の方法を尋ねるために同社が連絡してきたら攻撃を終了すると誓いました。一方のPoodleCorpは8月1日に再び攻撃すると脅していますが、その動機はOurMineほど高尚なものではありません：

「我々はやりたいからやるのだ。誰にも止められないし、ただ混乱を引き起こしたいだけだ。」

なんとも素敵な理由ですね。

他に心配すべきことはあるのか？

陰謀論者たちは、クレムリンが『ポケモンGO』が秘密裏に大量のデータを収集していると警告したとされる件から、さまざまな読み解きをしようとしています。すでにウラジーミル・プーチン大統領はアプリを禁止する方針だと報じられています。赤の広場をプテラノドンが飛び交い、宮殿にベトベトンが潜んでいると聞いたユーザーにとっては、納得のいかない話でしょう。

クレムリンの疑念は、NianticのCEOジョン・ハンケの経歴に由来します。彼は以前、「地理空間データ可視化アプリケーション」企業Keyhole Inc.（Google Earthの生みの親）のCEOを務めていました。同社はCIAのベンチャーキャピタル部門In-Q-Telから部分的に資金提供を受けており、より具体的には、米国の諜報機関と国防総省を支援する国家地理空間情報局（NGA）からの資金提供を受けていました。

確かにそれは少し気になる話ですが、『ポケモンGO』をイルミナティの邪悪な道具だと非難する前に、ハンケが現在もCIAとの関係を維持しているというさらなる証拠を見つける必要があります。

アプリはまだロシアでは正式に配信されていませんが、それでも英国のファンはApp Storeで地域設定を変更したり、『ポケモンGO』のAPK（Androidアプリケーションパッケージ）を利用したりして早めにダウンロードしていました。後者をダウンロードした場合や、非公式版をうっかり入手してしまった場合は、マルウェアの危険性について真剣に考える必要があります。

本題のゲームに戻ると、誰もまともに読まない利用規約の中に奇妙なものが見つかります。訴訟を起こしたり、Nianticに対する集団訴訟（クラスアクション）に参加したりすることを禁じる、かなり興味深い条項があるのです。

言い換えれば、『ポケモンGO』はあなたの法的権利を奪っているのです。

過去30日以内にゲームをダウンロードしたばかりなら、運営元にメールを送ることでオプトアウト（適用除外）できます。ちなみに、多くの企業の利用規約を掘り下げてみれば、ほぼ同一の条項が見つかるはずです。

パニックになるべきか？

いいえ。それがシンプルな答えです。

アプリの権限については常に疑問を持つべきですが、『ポケモンGO』に付与する権限はアプリが機能するために必要なものであり、他のアプリと類似しており、多くの場合まったく同じです。Facebookはあなたについて多くを知っていますが、ほとんどの人は喜んで大量のデータをソーシャルネットワークに投げ込んでいます。Googleも同様です。ジョン・マカフィーの言葉にある通り：

「25万ものアプリが何年も前から同じことをしているのに、なぜ『ポケモンGO』だけを槍玉に上げるのか？」