マッチングアプリの位置情報はバレる？研究者が示した手口

位置情報を使うマッチングアプリの大半は、スマートフォンのGPSであなたの正確な居場所を割り出しています。近くにいる人を探すには、そうするしかないからです。一方で、相手に見せる情報は、距離、都市、エリアといった、あえて曖昧なものになっています。

2024年8月、ベルギーのKU Leuven（ルーヴェン・カトリック大学）の研究者が、USENIX Securityシンポジウムで、その曖昧さがいかに薄いものかを示しました。調査した人気15アプリのうち6つで、利用者の位置情報をほぼ正確に突き止められ、BumbleやHingeなどでは誤差2メートルまで迫れたと、TechCrunchは報じています。多くのアプリは、すでに穴をふさいだと述べています。ただし、この種の漏洩は初めてではありません。しかも、アプリの設定では防げない形で、写真があなたの居場所を明かすこともあります。

前半部分については、プライバシーポリシーにはっきり書かれています。TinderとHingeは、許可すれば緯度と経度を収集します。Bumbleは、近くのWi-Fiアクセスポイントも使えると説明しています。ほかの人に見える内容は、ずっと曖昧です。

格子と非表示の距離は、2023年1月時点のアプリのバージョンを対象にしたKU Leuvenのテストで確認されたものです。ほかの利用者の正確な座標を送っていたのは、Tantanだけで、それも新しくマッチした相手に、マッチした瞬間だけでした。ほかはすべて距離で動いており、安全に聞こえますが、GPSの仕組みを思い出すと話は変わります。既知の3点からの距離がわかれば、位置は定まります。

マッチングアプリでの三辺測量による漏洩は約10年前から指摘されており、現在では大半のアプリが、表示する距離を保護しています。KU Leuvenの論文「Swipe Left for Identity Theft」は、そうした防御を回避する3つの方法を試しました。1つは正確な距離を使う方法です。もう1つは、丸められた数字が切り替わる地点から、正確な値を復元する方法です。3つ目は、研究者がオラクル三辺測量と呼ぶ方法で、マッチング相手を指定した半径内に絞る距離フィルターを使います。フィルターが正確な位置を確認していれば、その「はい・いいえ」の答えだけで、アプリが距離を一切表示しなくても、正確な距離が漏れてしまいます。

重要な点が2つあります。距離を隠しても、確実な防御にはなりませんでした。HingeとHilyは画面上の距離を隠していましたが、フィルターから漏れていましたし、Grindrでは、研究者が隠された距離を推測できました。もう1つは、サーバーへの侵入はなかったことです。研究チームは、アプリに備わった機能と、自分たちで作成したプロフィールだけを使ったと述べています。

15社のうち10社はすぐに報告を受理し、さらに2社は5か月後に受理しました。KU Leuvenの要約は、大半のアプリが「利用者の正確な位置の漏洩を含め、これらの漏洩を止めるために必要な対応を迅速に行った」としています。知っておくべき例外はGrindrです。座標を小数点以下3桁に丸めていますが、研究者は、農村部や郊外では1つの111メートル四方の範囲を共有する人が少ないため、この精度は高すぎると判断しました。

2021年のBumbleの欠陥を報告したRobert Heatonと、KU Leuvenのチームは、同じ対策を勧めています。Tinderの格子が採用している対策で、距離を計算する前に位置をぼかすことです。

メタデータは、簡単な部分です。KU Leuvenのチームが、Exifデータ付きの写真を各アプリにアップロードしたところ、15アプリ中14アプリがそれを削除しました。例外はMeetMeで、写真が元のメタデータを保持しており、そこには写真がいつ、どこで撮られたかが示されていることがあります。これは、投稿先のプラットフォームは通常メタデータを削除するという原則に当てはまりますが、原則は約束ではありません。残ったメタデータが自宅を明かしてしまうこともあります。

メタデータを削除しても、カメラが写したものは何も変わりません。場所は写真そのものから割り出せますし、手がかりから場所を読み取ることは、チェックリストのあるスキルです。Bumbleの安全に関する助言ははっきりしています。いつも行く犬の公園や地元のバーなど、「よく訪れる特定の場所にいるあなたが写っている」写真は載せないことです。アップロードする前に、各写真を次の点で確認してください。

• 自宅からの眺め：スカイライン、ランドマーク、向かいの建物から、窓やバルコニーの位置が割り出せます。
• あなたの通り：番地、道路標識、店先、車のナンバープレートです。
• 職場：ロゴ、制服、名札です。Bumbleは、会社名を挙げる代わりに、「テック企業のアカウントマネージャー」のように書くことを勧めています。
• あなたの日課：毎週通うジム、カフェ、公園など、Tinderが知らない人には伝えないよう勧めている種類の情報です。
• お子さん：Tinderは、親に対して、子どもの画像や通っている学校を共有しないよう助言しています。
• ほかで使っている写真：InstagramやLinkedInにも載せている写真は、逆画像検索で照合され、プロフィールとあなたの名前が結びつけられる可能性があります。

AIによる位置推定は、こうした手がかりを自動で読み取れるようになっており、自分の写真を先に確認できるということでもあります。GeoSpyは、画面に写っているものから都市と国を推定し、アップロードされた写真を保存しません。Webでは、写真の解析にはGeoSpy Premiumのサブスクリプションが必要で、料金は週7.99米ドル、または年29.99米ドルです。解約するまで更新されます。結果は都市レベルの推定であり、住所は返しませんが、モデルに都市を明かす写真は、あなたの通りをよく知る人には、それ以上のことを明かします。

• Tinder：知らない人には、自宅や職場の住所、日々の行動パターンを決して教えず、最初のやり取りはTinder上にとどめます。デートでは、公共の場所で会い、友人に予定を伝え、信頼できる人と位置情報を共有することを検討し、移動手段は自分で確保します。
• Bumble：プロフィールの詳細はおおまかにとどめ、定期的に行く場所の写真は載せず、マッチした相手に写真の認証を求め、まずアプリ内のビデオ通話を試します。カフェなどの公共の場所で会い、親しい人に、誰と、どこで、いつ会うかを伝えます。
• Hinge：最初の数回は、人が行き交う公共の場所で会い、どちらの自宅でも会わないようにします。友人や家族に予定を伝え、移動手段を自分で確保し、直感を信じてください。バーテンダーや店員が助けてくれることもあります。

1. Step 1おおまかな位置だけを共有するiPhoneでは、「設定」→「プライバシーとセキュリティ」→「位置情報サービス」を開き、アプリをタップして「正確な位置情報」をオフにします。Androidでは、「設定」→「位置情報」→「アプリの位置情報の権限」を開き、アプリをタップして「正確な位置情報を使用」をオフにします。すると、約3平方キロメートルのエリアだけが渡ります。それでもアプリが動作するなら、たとえ漏洩が起きても、そのおおまかなエリアしか明かされません。
2. Step 2位置情報はアプリの使用中だけ許可するiPhoneでは「Appの使用中は許可」か「次回確認または共有時に確認」を選び、Androidでは「アプリの使用中のみ許可」か「毎回確認」を選びます。KU Leuvenの研究者は、マッチングアプリを開くたびに位置情報を尋ねるようにすることを勧めています。
3. Step 3距離を隠す。ただし頼りすぎない用意されているアプリではオンにします。たとえば、Tinderの有料会員向けの「Don’t show my distance」です。ただし、鍵ではなくカーテンだと考えてください。2023年のテストでは、HingeとHilyは画面上で距離を隠していましたが、フィルターから距離が漏れていました。
4. Step 4場所がわからない写真を選ぶ自宅、職場、毎週通う場所で撮った写真は避け、背景に通りの名前、看板、ナンバープレートが写っていないか確認します。ほかの公開アカウントに載せていない写真を使い、ほかで共有する写真はメタデータを削除してください。
5. Step 5プロフィールの詳細はおおまかにする書くのは勤務先ではなく職種にします。KU Leuvenの研究者が述べるように、ほかの利用者のプロフィールで見える情報は、相手があなたのプロフィールで見られる情報でもあります。
6. Step 6自分のペースで会うまずビデオ通話をし、人の多い公共の場所で会い、予定を誰かに伝え、行き帰りは自分で手配します。そうすれば、相手があなたの住所を知る必要はなくなります。通話をWhatsAppに移す場合は、先に通話でIPアドレスを守る方法を設定してください。直接通話では、マッチした相手にIPアドレスが見え、それとともにおおまかな居場所が伝わることがあります。教えていないのに相手があなたの住んでいる場所を知っているようなら、アプリで相手をブロックして報告し、身の危険を感じたら警察に連絡してください。