「検証ツール」を悪用した新たなハッキングで、Instagramのプライバシーが脅かされる

今年開催されたFacebookの開発者会議「F8」では、マーク・ザッカーバーグ氏が、Instagramを含むFacebook傘下のすべてのソーシャルメディアサービスにおけるプライバシー保護の強化について語りました。しかし、そのビジョンを実現するための取り組みは必ずしも順調ではないようです。新たに発見されたハッキング手法により、非公開アカウントへの不正アクセスによってInstagramのプライバシーが脅かされる可能性があることが判明しました。

BuzzFeedの報道によると、ブラウザの「検証（Inspect）」ツールを悪用することで、Instagram Web上で非公開アカウント保有者のプロフィールやストーリーを第三者が閲覧・共有できてしまうとのこと。このハッキングは、Instagram WebおよびFacebookが利用するコンテンツデリバリーネットワーク（CDN）の信頼性に大きな疑問を投げかけるものです。

脅かされるInstagramのプライバシー

ハッキングの手口

まず前提として、非公開アカウントの投稿やストーリーを閲覧できるのは、そのアカウントのフォロワーのみです。非公開アカウントの投稿やストーリーは、アカウント保有者のフォロワー間でのみ共有され、Instagram内外への再共有はできない仕組みになっています。

しかし、この新たなハッキングはInstagramのプライバシー設定を突破し、フォロワーが非公開アカウントのフィードやストーリーを、フォローしていないユーザーやプラットフォーム外の人々へ共有できてしまうのです。

では、具体的にどのような手順なのでしょうか。多少技術的な内容になりますが、順を追って見ていきましょう。

Instagram Webで友人（非公開アカウント運用者）のプロフィールページを開くと、ブラウザはそのページ上のすべてのコンテンツに対して公開URLを生成します。これには、フィードで閲覧できる写真や、保存されているストーリーやハイライトも含まれます。

これらの公開URLを取得するには、ブラウザ画面の任意の場所で右クリックし、「検証（Inspect）」を選択します。すると、そのページの構成要素を表示するパネルが開きます。

次に「Network（ネットワーク）」タブ（左から4番目）を選択します。ここでは、そのページで閲覧可能なすべての画像（アイコン、絵文字、サムネイルなども含む）の公開URLを確認できます。Instagram Webの場合、これらのリンクにはフィード上の画像、ストーリー、プロフィール画像が含まれます。あとは該当するリンクを見つけて、新しいタブにコピーするだけです。フォローしていなくてもその画像を閲覧でき、さらにそのリンクは他者にも共有可能であることが確認されています。

BuzzFeedが公開したGIFでは、検証ツールからリンクをコピーする様子が紹介されています。

こうした検証ツールは、どのブラウザでも数クリックでアクセスできます。流出した公開URLはInstagram上のプライバシーを侵害し、投稿した個人的な瞬間が悪用される危険にさらしかねません。

ただし、Facebookからの回答は一定の説得力を持っています。

Facebookの公式見解

Facebookの広報担当者は、この行為はInstagramのプライバシーに対する脅威には当たらないと述べています。その理由は、フォロワーが投稿やストーリーのスクリーンショットを撮って共有するのと本質的に同じであり、このハッキングを利用できるのはすでにフォロワーである人物に限られるため、プライバシー侵害にはならないという主張です。また、ユーザーアカウントへの不正アクセスを許すものではないため、差し迫った脅威にはならないとしています。

ある意味では正しい指摘です。フォローリクエストを承認した時点で、すでに友人に写真へのアクセスを許可していますよね。スクリーンショットならいつでも撮れるわけですから、このハッキングによる共有をそこまで気にする必要はないのかもしれません。

しかし、状況はもう少し複雑です。

スクリーンショットとの違い

Instagramで画像をスクリーンショットすることと、公開URL経由で共有することには、いくつかの重要な違いがあります。

第一に、FacebookはInstagramアプリやWeb上でのスクリーンショットや画像共有といったユーザーアクティビティを追跡できます。しかし、公開URLを使って共有された場合、その拡散をFacebookのCDN側から追跡することは困難です。

さらに、24時間しか表示されない期限切れのストーリーや、削除済みの投稿の公開URLも、しばらくの間検証ツール上に残ってしまうため、プライバシー上の抜け穴となりえます。

加えて、スクリーンショットの場合は画像そのもの以外の情報は共有されませんが、URL経由でアクセスした場合、画像のサイズ、アップロード日、アップロード元などの詳細情報が付随する可能性があります。これらの情報だけでも、EXIFデータに関わる潜在的なリスクにつながりかねません。

このハッキングがFacebookアカウントにも適用可能だという報告もありますが、その信憑性についての情報は多くありません。しかし、実際にFacebook（自身のプロフィール）で試したところ、このハッキングは機能しました（上記スクリーンショット参照）。タイムライン上の画像や、タイムラインページに表示される友人のプロフィール画像にアクセスでき、容易に共有できてしまいました。原因としては、FacebookがInstagramを含むすべてのプラットフォームで同じCDNを使用していることが考えられます。

影響

このハッキングに関連する悪質な活動による深刻な被害は、現時点では報告されていません。しかし、この一件はマーク・ザッカーバーグ氏が掲げる「プライバシー重視の未来」という構想に疑問を投げかけています。多難だった2018年と、相次ぐプライバシー関連の失策を踏まえると、このハッキングは過去数ヶ月間のFacebookの主張全体に対する大きな打撃となり得ます。ザッカーバーグ氏自身、「自社のプラットフォーム上でユーザーの安全を保証できないのであれば、Facebook創業以来受け続けてきた膨大な支持には値しない」と語っていたはずです。ここ数ヶ月だけでも、Facebook関連プラットフォームのプライバシー問題は何度も浮上しています。

皮肉なことに、Facebookはユーザーを失っておらず、Instagramは日々人気を高めています。これらのプラットフォームは若い世代のライフスタイルに深く組み込まれており、こうした懸念はほとんど影響力を持たないのが実情です。

ソーシャルメディアが個人・仕事の両面で活用されている現在、完全に離れることはほぼ不可能です。せめて利用時間を制限し、フィードを延々とスクロールする時間を減らすことが大切です。「Social Fever」をダウンロードすれば、Instagramの長時間利用を警告してくれるため、貴重な時間の浪費を防ぐことができます。

Social FeverはAndroid向けのアプリで、各アプリの使用時間にタイマーを設定できます。設定した制限時間を超えると、通知でお知らせしてくれる仕組みです。これにより、スマートフォンの使用時間をモニタリングし、より生産的な活動へと促されます。Social Feverの優れた点は、トラッキング対象がInstagramやFacebookに限られず、ショッピングアプリや動画配信アプリにも設定できることです。

毎日のスマホ使用時間を正確に把握でき、アプリごとの使用制限によって依存を防ぎ、健康管理にも役立つ優秀なアプリです。さらに、イヤホンの過剰使用や長時間の画面視聴に対してもアラートが送信され、目と耳の健康を守ることができます。その他の機能については、以下のGoogle Playストアのボタンから今すぐダウンロードしてお試しください。

今年の初めには、共同創業者のダスティン・モスコヴィッツ氏が、Facebookの分割が同社の独占的なビジネス手法の変化をもたらす可能性があると発言しました。しかしそうした変化が訪れるまで、私たちはソーシャルメディアへの欲求に身を任せるべきなのでしょうか。それとも、別の解決策があるのでしょうか。

この最新のハッキングについて、あなたのご意見をコメント欄でお聞かせください。Instagramのユーザープライバシーが脅かされ、Instagram Webが脆弱になっていると感じますか。

最新のテックニュース、便利ワザ、トラブル解決策をお届け中。WeTheGeekのFacebook、Twitter、Instagram、YouTubeもぜひフォローしてください。