TinfoleakでTwitterの個人情報が丸見えに？使い方と自分を守る対策を徹底解説

あなたのTwitterの投稿は、住んでいる場所まで暴いてしまうかもしれません。

インターネット上のプライバシーに関する騒ぎをまだ「大げさだ」と思っているなら、この記事は目を覚ますきっかけになるはずです。ネット上で完全な匿名性は保てないことはすでに周知の事実ですが、それでも信じていない人がいるのも事実です。どんなに共有する内容に気をつけていても、あなたは依然として脆弱です。特にTwitterを利用しているならなおさらです。

Tinfoleakという無料のスクリプトがあります。これは、任意のTwitterユーザーについて、プロフィールとツイートだけから驚くほど大量の情報を引き出せるツールです。今回はその仕組みと具体的な使い方をご紹介します。

Tinfoleakのセットアップ方法

Tinfoleakは単一のPythonスクリプトなので、ほぼすべてのOSで動作します。使うだけであればPythonのプログラミングを学ぶ必要はありませんが、スクリプトを改造したい場合には知っておくと便利です。

注意：執筆時点では、Tinfoleakは特定のオープンソースライセンスの下で公開されているか明確ではありません。

まず、Pythonをダウンロードしてインストールします。OS別の手順はPython公式サイトで確認できます。

重要なのはPython 2.7をインストールすることです。Tinfoleakが依存するTweepyというライブラリが、当時Python 3.xに対応していなかったためです（※現在Python 2はサポート終了しているため、最新版を利用する際は各プロジェクトの動作要件を必ず確認してください）。

次に、Tweepyをダウンロードしてインストールします。Tweepyは、PythonスクリプトがTwitter APIと簡単に連携できるようにするライブラリです。使い方を覚える必要はなく、先へ進む前にインストールしておけばOKです。手順はTweepyのプロジェクトページに記載されています。

最後に、Tinfoleak本体をダウンロードします。7-Zipなどの解凍ソフトで展開し、デスクトップなど好きな場所に置きましょう。テキストエディタでtinfoleak.pyファイルを開き、Twitter開発者用のOAuth認証情報を入力します。

Tinfoleakで実際に見つかった情報

セットアップが完了したら、コマンドプロンプトでスクリプトのあるフォルダに移動し、以下のコマンドを実行します。

python ./tinfoleak.py

多数のパラメータオプションが表示されます。最初は少し分かりにくいので、ここでは筆者自身のアカウント（@carbonduck）を使った具体例で順番に見ていきましょう。

python ./tinfoleak.py -n carbonduck -b

-nパラメータは調査対象のTwitterアカウントを指定します（この例ではcarbonduck）。続く-bは基本情報（basic）のみを表示するオプションです。

実行すると、アカウント作成日や総ツイート数、フォロワー数などがすぐに表示されます。まだあまり面白みはありませんね。

python ./tinfoleak.py -n carbonduck -s

-sパラメータは、そのアカウントが使用しているTwitterクライアント（アプリ）を調べます。筆者はアプリをあまり使わないので結果は地味ですが、状況によっては相手の利用環境を知る手がかりになるでしょう。

他には何ができるのでしょうか？

python ./tinfoleak.py -n carbonduck -h

-hパラメータで、そのユーザーが使ったすべてのハッシュタグの一覧を取得できます。これを見ると、筆者が1つのツイートにハッシュタグを詰め込みすぎる傾向があることがバレバレです。図星ですね。

ハッシュタグの選択が直接害に使われるシナリオは考えにくいですが、その人の関心事や興味の対象を手っ取り早く知る手がかりにはなります。

python ./tinfoleak.py -n carbonduck -m

-mパラメータは、ユーザーが行ったすべてのメンション（@返信）を抽出します。誰とどのくらいの頻度でやり取りしているのか、これで一目瞭然です。

ここまでは特に悪質なものではありません。というのも、これらの情報はTwitterを普通に閲覧すれば誰でも見られる公開情報だからです。しかし、それらがわずか数秒で一括取得できてしまうとなると、少し不気味に感じませんか？

python ./tinfoleak.py -n carbonduck -g

さて、Tinfoleakの最も注目すべき機能がこれです。-gパラメータは、ツイート投稿時の位置情報機能（Twitter With Location）に基づくジオロケーションデータを取得します。

ご存じない方のために説明すると、Twitterではツイートに位置情報を添付できます。アカウント設定や利用中のクライアントによっては、ツイートに市区町村レベルの情報から、正確な緯度経度座標まで含まれることがあります（上のスクリーンショット参照）。

自宅でうっかり位置情報付きツイートをしていたら、誰かに座標を覗き見られ、住んでいる場所を特定される可能性もあります。ゾッとしますよね。

python ./tinfoleak.py -n carbonduck -p 1

もうひとつ、恐ろしい示唆を含んだ機能があります。-pパラメータを使うと、ユーザーのツイート履歴に含まれる画像をすべて自動ダウンロードできます。

Twitterにたくさん写真をアップロードしている人にとっては重大な警告です。知らないうちに、誰かがあなたの画像をすべて簡単にダウンロードできたらどう感じますか？以前から技術的には不可能ではありませんでしたが、問題は「簡単に」できてしまうことなのです。

python ./tinfoleak.py -n carbonduck -t
python ./tinfoleak.py -n carbonduck -c 1000
python ./tinfoleak.py -n carbonduck -f word
python ./tinfoleak.py -n carbonduck --sdate YYYY/MM/DD
python ./tinfoleak.py -n carbonduck --edate YYYY/MM/DD
python ./tinfoleak.py -n carbonduck --stime HH:MM:SS
python ./tinfoleak.py -n carbonduck --etime HH:MM:SS

さらに、以下のような追加オプションやフィルタを使えば、調査対象のツイートを細かく絞り込むこともできます。

• -t： 結果出力にタイムスタンプを表示する
• -c： 検索するツイート数を指定する（デフォルトは100）
• -f： 特定の単語を含むツイートのみを検索する
• --sdate： 検索範囲の開始日を指定する
• --edate： 検索範囲の終了日を指定する
• --stime： 検索範囲の開始時刻を指定する
• --etime： 検索範囲の終了時刻を指定する

Tinfoleakから自分を守る方法

Tinfoleakの「問題」は、完全に合法的なツールであるという点です。Twitter APIを通じて、すでに公開されているデータを素早く取得しているだけだからです。唯一の根本的な対策はTwitterアカウントを削除することですが、データ自体はその後最大30日間残る可能性があります。

それ以外の防御策は限られていますが、最も重要なのは位置情報付きツイートを無効化することです。

• Twitterの設定画面を開く
• 「セキュリティとアカウントアクセス」→「プライバシーと安全」を選択する
• 「ツイートに位置情報を追加」のチェックを外す
• 「位置情報をすべて削除」を実行する

画像を削除したい場合は、その画像を含むツイート自体を削除する必要があります。手作業で一つずつ消すのは大変なので、ツイートを一括削除できるサービスを利用するとよいでしょう。

あるいは、極端な手段として、ネット上の自分の存在そのものを消し去るという選択肢もあります。

いかがでしたか？過去のツイートへのこうした深いアクセスを心配しますか？それとも気にするほどではないと思いますか？ぜひコメント欄であなたの意見をお聞かせください。