スマホの位置情報を無効化してもアプリ内広告経由で位置情報が流出してしまう

端末の設定から位置情報を無効化しても、ユーザーの好みや行動に基づいたパーソナライズド広告を表示するために収集するデータで位置が特定されてしまうことがあります。この仕組みについて、サイバーセキュリティの専門家が解説しました。

Everyone knows your location
https://timsh.org/tracking-myself-down-through-in-app-ads/

セキュリティ関連のブログ「tim.sh」を運営するティム氏は、古いiPhone 11を工場出荷時の状態に戻して完全にリセットし、新しいApple IDを取得。まっさらな状態でゲームアプリを1つだけインストールし、どのような情報が取得されてしまうのかを調査しました。サンプルとして選ばれたゲームは「Stack」というゲームでした。

その結果、アプリを起動した直後から大量のデータが取得されることが判明します。

中でも際立ったデータの1つが「Unity広告」にまつわるデータでした。Unity広告に送信されるデータには200以上の異なるデータがありましたが、特筆すべきは国コードやIPアドレス、緯度と経度など位置情報にまつわるデータが送信されていたという事実でした。加えて、画面の明るさ、ストレージ容量、現在の音量、ヘッドホンをしているかどうかといった情報も取得されていました。

これについてティム氏は「なぜストレージ容量のデータが必要なのか疑問ですが、例えばストレージ容量が500MBしかないユーザーに1GBの容量を食うアプリを宣伝しても意味がないため、そのような広告を表示しないようにするために使っているのでは」などと考察しています。

さらに、ティム氏のスマートフォンからはFacebookのサーバーにIPアドレスやタイムスタンプが送信されていたとのことですが、ティム氏はFacebookをインストールしておらず、Apple IDとFacebookアカウントを結びつけているわけでもないため、なぜデータが送信されているのかわからなかったそうです。

ティム氏は「Uberが利用者のスマートフォンのバッテリー残量に応じてタクシー料金を調整するというウワサもあります。それが本当かどうかはわかりませんが、この手のデータが実際に利用可能であり、広告主がアクセスできるという事実は知っておくべきです」と語りました。

IPアドレス等についても、ただ1つのアプリに取得されるだけだと大したことはないように思えますが、問題は複数のアプリから取得された情報が紐付けられて1つの巨大なデータベースができあがることだとティム氏は指摘しています。

「Stack」で収集されたデータには、iOS端末に固有の広告識別子「IDFA」と、Stackのデベロッパーに固有の識別子「IFV(IDFV)」へのリクエストが含まれていました。IDFAはユーザーが許可しない限り取得されませんが、IFVはオプトアウト不可です。

ティム氏は「リクエストには非常に多くのデータが含まれているため、広告企業はIDFAを必要とせずにアプリ間の追跡を可能にするような抜け穴を見つけるでしょう」と指摘しています。

「Stack」のデータ送信先の1つが、Molocoという広告企業でした。ティム氏は「Molocoは多くのデータを集約し、広告パートナーになる企業なら誰でもデータにアクセスできるようです」とコメントしています。

また、ティム氏は調査の過程でDataradeというデータマーケットプレイスを発見し、最上位に表示されたトレーダー「RedMob」を取り上げています。RedMobは年間12万ドル(約1900万円)という異常な高価格でデータを提供していますが、データの中にはメールアドレスや住所など重要な個人情報が含まれており、あろうことかサンプルデータでそれらを一般に公開していました。

ティム氏は「広告IDとRedMobのデータを紐付けることで、名前、住所、電話番号などの個人情報を特定することができます。位置情報はアプリをちょっと使って少し移動するだけで精度が高まります。これが世界中で絶え間なく起こっているデータ売買の現状で、それぞれの小さなデータ収集が合法であるように見えても、全体像は醜悪なのです」とまとめました。