新型コロナウイルスの接触通知アプリはなぜ世界中で今ひとつ浸透しないのか？

2019年末から世界中で猛威を振るっている新型コロナウイルス感染症(COVID-19)の感染者との接触をいち早く知ることができる「接触通知アプリ」がスマートフォン向けにリリースされており、Androidを開発するGoogleとiOSを開発するAppleが協力して接触通知アプリに使えるAPIを開発しました。このAPIを利用した接触通知アプリは日本やドイツ、ニュージーランドなどでリリースされましたが、その普及率は決して高くありません。日本を含む多くの国で接触通知アプリが今ひとつ浸透しない理由について、IT系ニュースサイトのThe Markupが解説しています。

What Ever Happened to Those Coronavirus Contact Tracing Apps? – The Markup
https://themarkup.org/ask-the-markup/2020/08/11/coronavirus-google-apple-contact-tracing-apps-gaining-traction

GoogleとAppleが開発した接触追跡APIは、公衆衛生当局が接触通知アプリを開発するためのフレームワークを提供するためのもの。このAPIを利用することで、アプリは現代のスマートフォンには必ずといっていいほど搭載されているBluetooth機能を使用し、バックグラウンドで10～20分ごとにお互いのデバイスの識別コードを発信・受信できるようになります。そして、もし検査で陽性と判断された人のデバイスと接触した場合、スマートフォン上で通知されます。

日本では2020年6月19日に、新型コロナウイルス接触確認アプリの「COCOA」がリリースされました。

日本政府公式の新型コロナ接触確認アプリ「COCOA」がリリース、実際にインストールするとこんな感じ - GIGAZINE

また、日本がリリースする2日前に、ドイツでも新型コロナウイルス接触通知アプリがリリースされています。

ドイツ政府が新型コロナウイルス接触通知アプリをリリース - GIGAZINE

GoogleとAppleが本社を構えるアメリカでは、大統領府やアメリカ疾病予防管理センター(CDC)がGoogleとAppleの接触追跡APIを認めないため、アプリを開発する人的コストと予算が確保できず、アプリ開発が遅々として進んでいませんでした。しかし、日本よりおよそ2カ月遅れてヴァージニア州が接触追跡APIを使ったアプリをリリースしました。

AppleとGoogleの接触追跡APIを利用したアプリがアメリカで初めてリリースされる - GIGAZINE

2020年8月時点で、GoogleとAppleの接触追跡APIを利用したアプリをリリースしたのはわずか16カ国。「住民の20～40％が接触通知アプリを利用することで、1日の感染数が抑えられるようになる」という研究が発表されているにもかかわらず、接触通知アプリは世界的に見ても今ひとつ浸透していません。

The Markupは、「技術的な懸念」と「プライバシー上の懸念」のせいで、接触追跡APIの導入が世界的に進んでいないと指摘しています。

「技術的な懸念」については、接触追跡APIの開発当初、GoogleとAppleが陽性登録の検証を可能とするような環境を用意していなかったため、悪質ないやがらせに対して脆弱だったことが指摘されていました。しかしこの点については、GoogleとAppleは検証用サーバーを構築するためのガイドラインを作成済み。この検証用サーバーを通じて当局が発行したコードを認証することで、アプリ側での陽性登録と認識が可能になるため、悪質ないやがらせは十分回避可能であるとThe Markupは述べています。

また、接触通知アプリを使うためには常にBluetooth通信をONにする必要があるため、Bluetoothの脆弱性を突いたなりすまし攻撃の可能性が懸念されます。この件について、The MarkupがGoogleとAppleに質問したところ、回答はなかったそうです。さらに、非営利団体Center for Democracy and Technologyのディレクターであるグデッグ・ノジェイム氏は「Bluetooth信号の精度は高くないため、誤検知が発生する可能性がある」と指摘しています。

Bluetoothデバイスの接続に潜む新たな脆弱性を用いたなりすまし攻撃「BIAS」が発見される - GIGAZINE

「プライバシー上の懸念」については、「デバイスの個人情報や位置情報が勝手に共有されるのではないか」というものがありますが、GoogleとAppleの接触追跡APIは「接触したかどうか」という情報しか共有しません。また、デバイス間でのBluetooth通信が基本であるため、データを収集してどこかのサーバーに保存することはないため、少なくともGoogleとAppleの接触追跡APIが個人情報や位置情報を勝手に共有することはないといえます。Linux Foundation Public Healthのゼネラルマネージャーであるダン・コーン氏は「GoogleとAppleの接触追跡APIは、あなたに関する情報を決して共有しません。GoogleやApple、地元の公衆衛生当局に対する信頼は関係ありません」とコメント。「GoogleとAppleの接触追跡APIを活用することは、COVID-19感染の可能性を人々に迅速かつ効果的に通知するための方法としては世界最高のものです」と自身の考えを示しました。

公的機関が開発したアプリに対しては、「COVID-19対策といいながら市民の監視・検閲に使うのではないか」と危惧する人も多いとのこと。実際、中国では新型コロナウイルス感染対策として、市民の個人情報と位置情報、健康状態を常に監視するアプリのインストールが義務づける地方もあると報じられています。

The MarkupはGoogleとAppleの接触追跡APIの浸透が進まない理由として、独自で開発したアプリをリリースしている自治体が多いことも挙げています。アメリカ・ユタ州の公衆衛生当局は、GoogleとAppleのAPIとは別に独自のCOVID-19対策アプリを2020年4月にリリースしました。このアプリではBluetoothとGPSのデータを使って当局が行動をチェックできるようになっていましたが、位置情報の共有を選んだのはたった200人だけだったことが判明したため、GPS機能はアプリのリリースから2カ月後に排除されました。

また、フランスはGoogleとAppleの接触追跡APIを使うことを拒否し、独自のアプリを開発すると宣言。そしてリリースされたアプリ・StopCovidは「iPhoneだとうまく機能しない」と批判されており、フランスのデジタル担当大臣であるセドリック・オ氏は「Appleは私たちを助けられたかもしれない。私たちはこのことを時が来るまで覚えていることでしょう」とコメントしました。