無料の生理管理アプリ「Stardust」が利用者の電話番号を外部と共有していたことが発覚、運営元は「販売はしていない」と釈明

アメリカで女性の中絶を認めるロー対ウェイド判決を覆す判決を最高裁判所が下した後、生理管理アプリ「Stardust」の人気が急上昇し、App Store上ではランキングのトップに躍り出ました。Stardustはユーザーの個人情報を暗号化して政府機関と共有しないようにすると約束したばかりだったのですが、同アプリはサードパーティーの分析会社とユーザーの電話番号を共有していることが発覚しています。

Period tracker Stardust surges following Roe reversal, but its privacy claims aren’t airtight | TechCrunch
https://techcrunch.com/2022/06/27/stardust-period-tracker-phone-number/

The #1 Period Tracker on the App Store Will Hand Over Data Without a Warrant
https://www.vice.com/en/article/y3pgvg/the-1-period-tracker-on-the-app-store-will-hand-over-data-without-a-warrant

最高裁判所がロー対ウェイド判決を覆したことは、中絶の権利に対する憲法上の保護を覆すものであり、アメリカの個々の州が中絶を犯罪とする法律を作成可能とするものです。この判決に際して、ユーザーは生理管理アプリをスマートフォンから削除せざるを得ない状況に追い込まれています。この理由は、生理管理アプリが収集したデータが「ユーザーが違法に中絶を行ったことを証明するために使用される可能性」があるためです。そのため、生理管理アプリのデータの扱い方に注目が集まることとなりました。

ここで注目を集めたのがエンドツーエンドの暗号化を実装することで「ユーザーの個人情報を政府機関と共有できないようにする」と発表したばかりのStardustでした。しかし、海外メディアのTechCrunchがStardustのネットワークトラフィックを分析してアプリに出入りするデータを調べたところ、ユーザーが電話番号を使用してアプリにログインしている場合、この電話番号をMixpanelと呼ばれるサードパーティーの分析企業と共有していることが明らかになっています。

Mixpanelはアプリ開発者がアプリの使用状況を追跡し、エラーやアプリを改善するための方法を特定するために広く使用されている分析サービスを提供している企業です。同社の分析サービスは誰かがアプリをどのように使用しているかを追跡し、データをMixpanelのサーバーに送り返すことによって行われます。なお、StardustがMixpanelと共有しているのは電話番号だけでなく、アプリがインストールされている端末のモデルおよびソフトウェアバージョン、電話が使用している携帯電話会社なども含まれるそうです。

TechCrunchは「StardustがMixpanelと共有しているヘルス関連データについては確認することができませんでした。しかし、生理管理アプリを使用する特定のユーザーに関連付けられている電話番号をMixpanelのようなサードパーティーの企業と共有すれば、たとえStardustが個人情報は共有できないと主張したとしても、検察官はMixpanel経由でデータを強制的に入手することができます」と指摘しています。

一方、Stardustの創設者であるRachel Moranis氏は「Stardustの現行バージョンは新しいバージョンで無効化あるいは削除したMixpanel関連のデータ収集メカニズムを使用しています。新バージョンのStardustでは個人を特定できるような情報をMixpanelに送信しないことに加えて、ユーザーの識別に使用されるようなメタデータからユーザーを保護するためにIP追跡を無効化しています」とTechCrunchに語っています。

また、Stardustはアプリログイン時に電話番号を入力しなくてもいいように「匿名でサインインする方法」の構築に取り組んでいるともツイートしています。

Stardustは2022年6月26日にプライバシーポリシーを更新しており、これを読むと「アプリが主張するほど保護されていないことがわかります」とTechCrunch。そのため、「StardustはCookieやその他の追跡技術を通じてユーザーのデバイス・アクティビティ・位置情報に関するさまざまなデータを収集していることに注意してください。また、データ共有に関するいくつかの例外を切り分け、プロバイダーとユーザーの同意を得て、法律で義務付けられている場合には『法執行機関または法的プロセスに準拠あるいは対応する必要がある場合』に、非個人化されたデータを開示する場合がある点には注意してください」と記しました。

アプリ調査企業のSensorTowerによると、Stardustがエンドツーエンドの暗号化を行うと発表した6月24日に同アプリの新規インスト―ル数は13万5000回で、前日比でのインストール数は4400％も増加しています。さらに、翌日の25日にはアプリの新規インストール数が20万回まで増加し、App Storeのランキングでは119位から1位にまで一気に上昇しました。

TechCrunchが「Stardustはどのようにエンドツーエンドの暗号化を実装するのか？」とMoranis氏に質問したところ、「サーバーへのすべてのトラフィックはAWSでホストされている標準のSSLと組み込みのAES-256暗号化実装を利用して、Amazon RDS上の後続データストレージを経由します」という回答が返ってきたそうです。これは転送中およびAmazonのサーバーに保存されている間のデータをどのように暗号化しているかについての説明ですが、この実装が真のエンドツーエンド暗号化とみなされるか否かは「明確ではありません」とTechCrunchは指摘しています。なお、Moranis氏は「エンドツーエンドの暗号化の実装が完了したら、サードパーティーの監査と共に実装を完全に公開する予定です」と語りましたが、情報開示に関するタイムラインは公開されていません。

TechCrunchによる指摘の後、Stardustはプライバシーポリシーを更新して「我々はあなたのデータを販売していませんし、販売しません」と明記し、これまでにユーザーデータを販売したことはないと釈明しています。なお、TechCrunchによるとStardustはプライバシーポリシーを更新したのち、「エンドツーエンドの暗号化」に関する言及を削除したそうです。

Privacy Policy — Stardust
https://www.thestardustapp.com/privacypolicy