通話隱藏 IP 位址：一通 WhatsApp 電話就可能暴露城市

2023 年 11 月，WhatsApp 的工程師說明了一種多數人回答來電時從未想過的權衡。為了取得最好的音質與畫質，通話 App 通常會讓兩部手機直接連線，這意味著，他們寫道，「在一對一通話中，兩位通話者都看得到 IP 位址」。而 IP 位址可以承載「大致的地理位置或網路供應商」。

他們的答案是一個名為 Protect IP address in calls（通話中保護 IP 位址）的開關，Meta 將它描述為選用：在你開啟之前，什麼都不會改變。幾週前，TechCrunch 已經展示過它為什麼重要。一位資安研究人員打給一個新建立的 Telegram 帳號，該帳號已把他存為聯絡人；不久後，它就把執行它的那台電腦的 IP 位址傳給了 TechCrunch。

沒有開啟這個開關時，WhatsApp 會替你選擇路線。公司在 2023 年告訴 TechCrunch，它會依延遲與哪種方式能提供較好的品質，在直接通話與中繼通話之間自動切換。根據 BleepingComputer 引述 WhatsApp 說明中心的內容，群組通話本來就會經過它的伺服器。風險存在於一對一通話中，包括來自你幾乎不認識的人的通話。

中繼能對對方隱藏你的位址，但不能對 WhatsApp 隱藏，因為整通電話都會經過它的伺服器。電子前哨基金會（EFF）的資安研究員 Cooper Quintin 告訴 TechCrunch，沒有完美的設計：要嘛通話者彼此看得到對方的 IP 位址，要嘛 App 的中繼伺服器會保有一份「誰打給了誰」的名單。

MaxMind 是一家販售 IP 位置資料的公司，它提出兩項注意事項。行動網路可能讓一個位址涵蓋很大的範圍，因此查詢可能只停在地區層級。而在 VPN 後面，查詢找到的是 VPN 伺服器，而不是正在使用它的人。

因此一通電話不會帶任何人找到你家門口，但它仍然可能很重要。專門協助處於風險中的人士的數位安全專家 Runa Sandvik 表示，外洩的 IP 位址仍可能構成風險，特別是對受到虐待的人而言，TechCrunch 如此報導。對於想躲避前任的人來說，「在這個國家的某處」和「這座小鎮」是非常不同的答案。

1. Step 1打開進階隱私設定在 WhatsApp 中，前往 Settings > Privacy > Advanced（設定 > 隱私權 > 進階）。在 iPhone 上，「設定」可能顯示為 You（你），Tech Advisor 在 2026 年 2 月指出。
2. Step 2開啟 Protect IP address in calls從那時起，你的通話會經過 WhatsApp 的伺服器中繼，對方看到的是伺服器位址，而不是你的。Trusted Reviews 指出，通話品質可能因此下降。
3. Step 3開啟 Disable link previews（停用連結預覽）它位於同一個選單中。當你傳送連結時，WhatsApp 會從你的手機擷取預覽內容，這會讓網站看到你的 IP 位址。關閉預覽後，網站只有在你點選連結時才會看到你。
4. Step 4或使用 Strict account settings（嚴格帳號設定）這項設定於 2026 年 1 月推出，供風險較高的使用者使用，會同時開啟多項保護。TechCrunch 報導，它會關閉連結預覽、靜音來自未知號碼的通話，並把你的大頭貼、「關於」和上次上線時間限制為只讓聯絡人看到。

選單會移動，設定也會被改名，因此請把路徑當作參考，並尋找 relay、peer-to-peer 或 IP address 等字眼。這項權衡在各個 App 中都一樣。Telegram 的發言人告訴 TechCrunch，聯絡人之間的直接通話品質較好、延遲較低，缺點是雙方都必須知道彼此的 IP 位址。

以文件形式傳送的途徑最容易讓人措手不及。一般方式傳送的照片會被壓縮並失去中繼資料，而同一個檔案以文件附加傳送時，會原封不動地送達。哪些 App 會移除 EXIF 資訊說明了原因，而自己移除位置資訊只需一分鐘。

即時位置是你自己選擇的一種洩露。WhatsApp 會把它分享到一個聊天，時間由你選擇，而且公司表示，你隨時都可以停止。Snapchat 的地圖更進一步，會向朋友顯示你的電池電量，以及你何時到家，正如誰能在 Snapchat 上看到你的位置所說明的。

大頭貼比多數人以為的更公開。2025 年，維也納大學的研究人員檢查了 35 億個 WhatsApp 帳號，他們能看到約 57% 帳號的公開大頭貼，以及至少 29% 帳號的「關於」文字。SBA Research 表示，WhatsApp 此後已對個人檔案資訊加上速率限制與更嚴格的可見性規則。照片顯示什麼又是另一回事：一張自拍照可以透過門牌號碼或窗景透露你住在哪裡。

這項研究名為 Careless Whisper，來自維也納大學與 SBA Research，並在 RAID 2025 資安研討會上獲得最佳論文獎。其手法是讓對方的手機對一則根本不存在的訊息做出反應。目標的手機會回傳送達回條，卻什麼都不顯示，而這種持續不斷的回條所形成的時間模式，描繪出這個人的一天。

在一項測試中，一位志願者在 19:28 關掉家中的電腦，並出發前往辦公室。回條顯示手機從 Wi-Fi 切換到行動數據，然後在 19:45 又切回 Wi-Fi，那時志願者已抵達工作地點，而公司的筆電也上線了。論文的結論很直接：攻擊者只需要目標的手機號碼。

研究團隊於 2024 年 9 月向 Meta 與 Signal 回報了這個缺陷。2025 年 12 月，CyberInsider 報導，兩家公司都還沒有在協定層級修復它，而且已經出現一個基於這項方法、公開於 GitHub 的工具。Signal 較嚴格的速率限制能減少電量與數據的消耗；WhatsApp 當時並沒有這類限制。CyberInsider 建議的最佳防禦是 Block unknown account messages（封鎖未知帳號的訊息），位於 Settings > Privacy > Advanced（設定 > 隱私權 > 進階）下，它能阻擋來自未知帳號的大量訊息，但較慢的探測仍可能穿透。

請先用移除了位置資料的副本來測試（截圖也可以），讓估計只依據相機看到的內容。在 geospys.com 上，照片分析包含在GeoSpy Premium中，訂閱方案為每週 7.99 美元或每年 29.99 美元，在合理使用範圍內無限制，並可隨時取消。它估計的是城市與國家，從不估計地址，而上傳的照片不會被保存。GeoSpy iPhone App 提供免費試用。

1. 檢查已連結裝置。 Refuge 的 WhatsApp 安全指南建議檢視能存取你帳號的裝置清單，並登出任何你不認識的裝置。
2. 檢查誰能看到什麼。 Refuge 建議把上次上線（Last seen）、大頭貼（Profile photo）和「關於」（About）限制為「我的聯絡人」（My contacts）或「沒有人」（Nobody），調整誰能看到你的狀態，並把即時位置設為「無」（None）。
3. 隱藏你的 IP 位址。 開啟通話中保護 IP 位址與停用連結預覽，或使用嚴格帳號設定，一次開啟一組保護。
4. 先考慮安全。 Refuge 提醒，如果你與傷害你的人同住，某些步驟可能不安全。在英國，全國家庭暴力求助專線（National Domestic Abuse Helpline）可免費撥打 0808 2000 247；在美國，全國家庭暴力熱線（National Domestic Violence Hotline）為 1-800-799-7233。