iOS 15アプリのプライバシーレポートの読み方

iOSのApp StoreやAndroidのGoogle Playから主流のアプリをダウンロードするのは、概ね安全です。しかし、Facebookなどの企業によるトラッキングがますます侵入的になっているため、AppleとGoogleは最近、iOSとAndroidに透明性機能を導入しました。これにより、アプリがカメラやマイクから位置情報や連絡先に至るまで、データやセンサーにどのくらいの頻度でアクセスしているかをより詳細に把握できるようになります。iOSユーザーであれば、数週間前に「アプリプライバシーレポート」ツールがスマートフォンに搭載されているはずです。これを最大限に活用する方法をご紹介します。

iOS 15.2でリリースされたこの機能を使うための最初のステップは、「設定」>「プライバシー」>「アプリのプライバシーレポート」でオンにするだけです。その後、スマートフォンを使用するたびに、このツールが7日間のアプリのアクティビティの詳細を記録します。アプリのアクティビティ情報はすべてスマートフォンのローカルに保存され、「アプリのプライバシーレポート」をオフにすると、データはデバイスから削除されます。

レポートは、データとセンサーへのアクセス、アプリのネットワークアクティビティ、ウェブサイトのネットワークアクティビティ、最も多く接続されたドメインの 4 つのセクションに分かれています。

画面上部のデータとセンサーの内訳には、アプリがカメラ、マイク、位置情報などの機密データやセンサーに何回アクセスしたか、そしていつアクセスしたかが表示されます。地図アプリや天気アプリが位置情報にアクセスしていることは理解できますが、音楽アプリが現在地を確認していることに驚いた場合は、許可を取り消すのが良いかもしれません。同様に、電卓アプリがマイクにアクセスするべきではないでしょう。このレポートには、アプリがデータやセンサーにアクセスした時間も表示されるので、アプリ使用中に発生したアクティビティを正当な機能と関連付けることができます。ただし、睡眠中に位置情報にアクセスするゲームは、何らかの不正行為をしている可能性があります。

2つ目のセクションはネットワークアクティビティ、つまり過去7日間にアプリがアクセスしたウェブドメインを示します。このレポートでは、アプリが「直接」アクセスしたドメインと「他のコンテンツによってアクセスされた」ドメインを区別しています。前者は、天気アプリが最新の気温データを取得するなど、アプリが機能するためにアクセスするドメインを指します。後者は、例えばソーシャルネットワーク経由でニュース記事をクリックしたときや、広告モジュールが動画を自動再生したときなどに発生します。

アプリがこれらのドメインといつ、なぜやり取りしているのかについて、より詳細な情報を提供することを目的としています。しかし問題は、たとえ区別できたとしても、このリストに表示されるドメインやIPアドレスがそもそも信頼できるものかどうか、ほとんどの人は判断できないということです。Facebookアプリが「web.facebook.com」にアクセスする場合、おそらく問題ないことがわかりますが、同じリストにある「bidder.criteo.com」や「video.primis.tech」は認識できないかもしれません。

「今のところ私が目にしているデータは、アプリがどのウェブサイトのドメインと通信しているかという情報だけなので、どのドメインを気にすべきか分からない一般消費者にとっては、あまり価値がありません」と、セキュリティ企業MalwarebytesのMacおよびモバイルプラットフォーム担当ディレクター、トーマス・リード氏は語る。「個人的には、自分のアプリが怪しいドメインと通信していないか、興味があります。」

コンテンツ配信とデジタル広告のエコシステムは、密集したプラットフォームの迷路であり、多くのアプリサービスを舞台裏で静かに促進しています。エンドユーザーに対する匿名性もその目的の一つです。おそらく、お気に入りのレストランがどのベンダーやサービスプロバイダーを利用しているのか、あなたも知らないでしょう。しかし、これはつまり、アプリプライバシーレポートに記載されているすべてのドメインを精査することが困難になる可能性があることを意味します。ただし、直感を頼りにすることはできます。例えば、米国製だと思っていたアプリが、多くの外国のドメインに接続しているのを見つけた場合などです。

次のセクションには「ウェブサイトネットワークアクティビティ」が表示されます。こちらもアプリ内ブラウザ、またはSafariやChromeなどのモバイルブラウザから読み込まれたサイトについて同様の情報を提供します。例えば「wired.com」にアクセスすると、「fastly.net」や「googlesyndication.com」など、どのドメインからアクセスされたかが表示されます。また、これらのサイトを読み込んだアプリの内訳も表示されます。例えばSafariの閲覧履歴には「wired.com」が表示されるかもしれませんが、生理周期トラッカーのアプリ内ブラウザで記事のリンクを開いたことを覚えていない限り、生理周期トラッカーには表示されない可能性が高いでしょう。

最後のセクションでは、すべてのアプリとそれらが読み込んだ Web サイト全体で最もアクセスされたドメインを追跡します。

「たくさんのドメインに接続しているものは何だと思いますか？ソーシャル、ショッピング、検索など、かなり予想通りです」と、ジョンズ・ホプキンス大学の暗号学者、マキシミリアン・ジンクス氏は言います。「しかし、これらのドメイン以外に何か見つかれば、それは興味深いものになるかもしれません。同様に、私だけでなく多くの人が最もアクセスしているドメインは、コンテンツ配信ネットワーク、Googleフォント、アナリティクスなどのドメインです。これもかなり予想通りなので、リストに奇妙なドメインが見つかった場合、スパイウェアアプリや不正なブラウザ拡張機能の兆候である可能性があります。」

ジンクス氏によると、レポートには「共有」機能が搭載されており、必要に応じてデータをエクスポートしてさらに分析することが可能です。また、平均的なユーザーにとって、レポート上部にあるデータとセンサーの内訳は、おそらく最も簡単に確認でき、最も重要な情報であると強調しています。

「アプリが予期せず位置情報やマイク、その他のセンサーを追跡している場合、それは大きな危険信号です」と彼は言います。「アプリが本当に説明のつかないアクセスをしていると思われる場合は、アンインストールし、App Storeを通じてAppleに報告することをお勧めします。」

アプリ全般のセキュリティとプライバシーを心配しており、露出を減らしたい場合は、できるだけ多くのアプリを削除するのが最も確実な選択肢です。

「私の個人的なレポートはかなり退屈です」とジンカス氏は言う。「たくさんのアプリをインストールしていないからです。」

WIREDのその他の素晴らしい記事