iOSのAPIを利用するとどんなアプリでもユーザーに気付かれることなく位置を追跡できてしまう

iOSに搭載されている「HotspotHelper API」を利用することで、どんなアプリでもユーザーの許可無くリアルタイムに位置を追跡できるという問題をMicrosoftの元エンジニアであるwinguseさんがブログで公開しています。

Apple allows applications to track user locations without authorization | Yingyu’s Blog
https://wingu.se/2023/11/30/only-apple-can-do-allow-apps-tracking-users-location-without-consensus.html

2015年にリリースされたiOS 9以降、iOSには「HotspotHelper」というAPIが搭載されています。winguseさんによると、HotspotHelperを利用すると下記のようなコードを記述することで近くのWi-Fiの情報を取得する事ができるとのこと。

import CoreLocation
import NetworkExtension

class LocationTrackingManager {
    func setupHotspotHelper() {
        // HotspotHelper capabilityをリクエスト
        NEHotspotHelper.register(options: nil, queue: DispatchQueue.main) { (command) in
            if let networkList = command.networkList {
                for network in networkList {
                    // Wi-Fiネットワーク情報にアクセス (SSID・MACアドレス)
                    // 参考： https://developer.apple.com/documentation/networkextension/nehotspotnetwork
                    let ssid = network.ssid
                    let macAddress = network.bssid
                    
                    // Perform location tracking logic with ssid and macAddress
                    self.trackLocation(withSSID: ssid, andMACAddress: macAddress)
                }
            }
        }
    }

    func trackLocation(withSSID ssid: String, andMACAddress macAddress: String) {
        // SSIDとMACアドレスを使用してユーザーの位置を把握する
    }
}

ほとんどのWi-Fiアクセスポイントは設置後に位置が変化しないため、「どのWi-Fiアクセスポイントが付近にあるのか」という情報を元に三角測量を行う事でユーザーの位置を特定することが可能で、Wi-Fiアクセスポイントの情報から位置を特定するためのAPIがPreciselyやGoogleなどによって提供されています。

HotspotHelper APIとサードパーティーのAPIを組み合わせてユーザーの位置を追跡すると、ユーザー側に「位置情報を使用している」という事実を表示せずに追跡したり、本来の位置情報APIによる追跡を拒否しているユーザーの位置を追跡したりすることが可能です。さらに、HotspotHelper APIを無効化する設定は記事作成時点では存在せず、追跡を拒否できないという問題も発生しています。

winguseさんは2021年にこうした問題に気付き、Appleにメールを送信しましたが、「Appleはこの問題を調査して適切なアクションを行います」と返信が来て以降なんの情報も得られていないとのこと。

winguseさんは「位置情報や通知など他のプライバシー設定と同様に、HotspotHelper APIを無効化するオプションをユーザーに提供するべきだ」と述べると同時に、アプリがHotspotHelper APIにアクセスする際にはユーザーの明示的な許可を必要とするべきだと主張しました。