交友軟體會顯示位置嗎？研究人員示範如何洩露

大多數以位置為基礎的交友軟體，會用你手機的 GPS 判斷你確切在哪裡。它們必須這麼做：這是找出附近的人的方式。那麼交友軟體會顯示位置嗎？至少它們展示給別人的，本來就應該含糊：一段距離、一座城市、一個區域。

2024 年 8 月，比利時 KU Leuven 的研究人員在 USENIX Security Symposium 上展示，這層模糊有多麼薄弱。他們測試的 15 款熱門應用程式中，有六款可被誘導，洩露使用者接近精確的位置；TechCrunch 報導，部分應用程式（包括 Bumble 與 Hinge）甚至能精確到 2 公尺。多數公司表示已經補上這個缺口。但這不是第一次出現這類洩露，而你的照片可能以任何應用程式設定都無法修補的方式洩露你。

這些隱私權政策對第一部分說得很清楚。Tinder 與 Hinge 在你允許時會收集你的經緯度；Bumble 則表示，它也可能使用附近的 Wi-Fi 存取點。其他人看到的則模糊得多：

網格與隱藏的距離，來自 KU Leuven 在 2023 年 1 月應用程式版本上的測試。只有 Tantan 仍會把另一位使用者的確切座標傳送出去，而且只傳給剛配對成功的新配對對象。其餘應用程式都以距離運作，這聽起來很安全，直到你想起 GPS 的原理：與三個已知點的距離，就能定出一個位置。

交友軟體中的三邊測量洩露，大約已被描述了十年，因此多數應用程式如今都會保護它們顯示的距離。KU Leuven 的論文「Swipe Left for Identity Theft」測試了三種繞過這些防護的方式。其中一種使用精確距離。另一種從四捨五入的數字改變的那個點，還原出精確數字。第三種，研究人員稱為 oracle trilateration（預言式三邊測量），它利用的是把配對範圍限制在特定半徑內的距離篩選器：如果篩選器檢查的是精確位置，那麼它的是或否答案，就會洩露一個精確距離，即使應用程式從未顯示過它。

有兩個細節值得注意。把距離隱藏並不是可靠的盾牌：Hinge 與 Hily 在螢幕上隱藏了距離，但它們的篩選器仍會洩露；而在 Grindr 上，研究人員可以推斷出隱藏的距離。而且沒有任何伺服器遭到入侵。團隊表示，他們只使用應用程式內建的功能，以及他們自己建立的個人檔案。

15 家廠商中有 10 家立即確認了報告，另有兩家在五個月後才確認。KU Leuven 的摘要表示，多數應用程式「quickly made the necessary adaptations to stop these leaks, including the leak of exact user locations.」（迅速做出必要調整，阻止這些洩露，包括精確使用者位置的洩露）。Grindr 是值得注意的例外：它把座標四捨五入到小數點後三位，研究人員認為這對鄉村或郊區來說太精確了，因為在那裡很少有人與你共享同一個 111 公尺的方格。

Robert Heaton 回報了 2021 年的 Bumble 缺陷，而 KU Leuven 團隊與他都推薦同一種解方：在計算任何距離之前，先把位置模糊化，就像 Tinder 的網格所做的那樣。

中繼資料是最容易處理的部分。當 KU Leuven 團隊把一張帶有 EXIF 資料的照片上傳到每一款應用程式時，15 款中有 14 款把它移除了。MeetMe 是例外：它的照片保留了原始中繼資料，其中可能顯示照片是何時、何地拍攝的。這符合發布平台通常會移除中繼資料的規律，但規律不是保證，而能夠保留下來的中繼資料可能會暴露一個住家。

移除中繼資料，對相機所見的內容毫無影響。位置可以從照片本身還原，而從線索讀出地點是一項有檢查表的技能。Bumble 的安全建議說得很直接：不要放上「that show you in a specific location you frequent」（顯示你經常出沒於某個特定地點）的照片，例如你常去的遛狗公園或附近的酒吧。上傳前，請檢查每張照片是否有以下內容：

• 從家裡看出去的景色。天際線、地標或對面的建築，可能就能定位一扇窗或一個陽台。
• 你的街道。門牌號碼、街道標誌、店面，以及你車子的車牌。
• 你的工作地點。標誌、制服與名牌。Bumble 建議把職業寫成「account manager」（客戶經理）、公司寫成「tech company」（科技公司），而不是直接寫出公司名稱。
• 你的作息。你每週都會去的健身房、咖啡館或公園，這正是 Tinder 建議不要讓不認識的人知道的細節。
• 你的孩子。Tinder 建議家長不要分享孩子的照片，也不要分享孩子就讀的學校。
• 你在其他地方使用的照片。同一張照片若也出現在你的 Instagram 或 LinkedIn 上，就可能被以圖搜圖比對出來，把交友檔案連結到你的名字。

AI 地理定位現在能自動讀取這類線索，這也代表你可以先檢查自己的照片。GeoSpy 會根據畫面中可見的內容估計城市與國家，而且不會儲存上傳的照片。在網頁上，照片分析隨 GeoSpy Premium 訂閱提供：每週 7.99 美元或每年 29.99 美元，直到你取消前都會續訂。結果是城市層級的估計，從不估計地址，但一張能向模型透露你所在城市的照片，對熟悉你所在街道的人來說，會透露更多。

• Tinder：絕不與不認識的人分享你的住家或工作地址，或你每天的作息，一開始先在 Tinder 內聊天。見面時，選擇公共場所，告訴朋友你的計畫，考慮與你信任的人分享位置，並自己掌控交通方式。
• Bumble：個人資料保持概括，不要放上你經常去的地方的照片，請配對對象先驗證照片，並先嘗試應用程式內的視訊通話。在咖啡店等公共場所見面，並告訴你身邊的人你要和誰見面、在哪裡見、何時見。
• Hinge：前幾次見面都選在熱鬧的公共場所，絕不在任何一方的家中。把你的計畫告訴朋友與家人，自己掌控交通方式，並相信你的直覺：酒保或服務生也能提供協助。

1. Step 1分享大致位置在 iPhone 上，前往「設定 → 隱私權與安全性 → 定位服務」，點選該應用程式並關閉「精確位置」。在 Android 上，前往「設定 → 位置 → 應用程式位置權限」，點選該應用程式並關閉「使用精確位置」，這樣只會留下約 3 平方公里的區域。如果應用程式仍能運作，那麼即使洩露，也只會暴露那個大致區域。
2. Step 2只在使用應用程式時允許定位在 iPhone 上選擇「使用 App 時」或「下次詢問或分享時」，在 Android 上選擇「僅在使用應用程式時允許」或「每次都詢問」。KU Leuven 研究人員建議，讓交友軟體每次開啟時都詢問你的位置。
3. Step 3隱藏距離，但別只靠它在有提供的地方就開啟，例如訂閱者可用的 Tinder「Don’t show my distance」（不顯示我的距離）。把它當成窗簾，而不是鎖：在 2023 年的測試中，Hinge 與 Hily 在螢幕上隱藏距離，但它們的篩選器仍然洩露。
4. Step 4挑選不會暴露位置的照片不要用在家裡、工作地點或你每週都會去的地方拍的照片，並檢查背景是否有街道名稱、標誌與車牌。不要用你在其他公開帳號上的照片，而且在別處分享照片前，要先移除中繼資料。
5. Step 5保持個人資料概括寫出你的職業，而不是你的雇主。正如 KU Leuven 研究人員所言：你在其他使用者檔案上看得到的，就是他們在你的檔案上看得到的。
6. Step 6按自己的條件見面先視訊通話，在人多的公共場所見面，告訴別人你的計畫，並自己往返，讓對方永遠不需要你的地址。如果對話轉到 WhatsApp，請先開啟通話中隱藏 IP 位址：直接通話可能讓配對對象看到你的 IP 位址，進而看到你的大致位置。如果對方似乎知道你住在哪裡，而你從未告訴過他，請在應用程式中封鎖並檢舉；若感到不安全，請聯絡警方。