アジアン・セキュリティ最前線 第5回

検索もしていないのに直前の会話に出てきた商品を勧めてくる……

スマホ経由で会話を盗聴？疑惑が膨らむ外売アプリ｜中国

北京のある女性が「うな丼が食べたい」という話をしてから、ウーラマを開くと、検索前からおすすめ飲食店の１位にうな丼の専門店が現れた。このスナップショットを撮り、ウェイボーに投稿したところ、大きな反響があった。同じ経験をしている人が多数いたのだ。

（「IT時報」の記事より引用）

何気ない日常の会話を盗聴して反応するアプリが存在する？

　スマートスピーカーが家族の会話を盗聴しているのではないか。そんな不安がスマートスピーカーの普及を阻んでいるとも言われる。真偽が不明な話はいくらでもある。リビングで電子レンジの話をしていたら、アマゾンのおすすめ商品に電子レンジが出てきた。Amazon Echoをハッキングする手法が発見され、盗聴器がわりに使われる可能性がある。などなど。

　スマートフォン用のAlexaアプリを開くと、履歴を見ることができる。ここにはEchoを使った履歴の一覧が表示される。多くはテキストとして保存されているが、うまくテキスト化できなかったものについては、音声で保存されていて、タップすることで再生できる。確かに自分の声であり問題はないのだが、忘れていた自分の声を聞くのはどこか産毛が逆立つような気味の悪さがある。

Amazon Echoを制御するAlexaアプリ。設定の中から過去のEchoの利用履歴が見られる。多くの場合、話した内容がテキスト化して保存されているが、音声がそのまま保存されるケースもある。タップすると、その時の音声が再生される。

　しかし、盗聴の不安があるのはスマートスピーカーだけではない。スマートフォンにもマイクはついているのだから、盗聴をしようと思えばできないわけではない。そんなスマホを利用した盗聴疑惑が中国で起き、メディアを賑わしている。

中国で話題になった盗聴疑惑のあるアプリ

　問題となったのは、美団（メイトワン）、餓了麼（ウーラマ）という２つの外売（配達販売）サービス。ウーバーイーツのように、スマホからファストフードやレストランの料理を注文すると、配達してくれるサービスだ。大量のクーポンや割引があるため、会社での昼食、午後のコーヒー、夕食などによく利用されている。

外売アプリ「美団」。アプリを開くと、まずお勧めの飲食店一覧が表示される。一般的には過去の利用履歴、現在地からの距離などで順位が決まると考えられている。このリストの上位にくるかどうかで注文量が大きく変わるので、店舗側にとっては大きな問題だ。

　2018年の11月の中頃、北京のある女性が、友人と「うな丼が食べたいね」という話をした。それからうな丼を注文するため、スマホを取り出し、ウーラマを開いた。すると、まだ検索をする前だというのに、おすすめ飲食店のトップにうな丼の店が表示された。女性はあまりの偶然に疑う気持ちが湧いてきた。

　翌日、その偶然が気になり、実験をしてみた。スマホがロックされた状態のまま「ピザが食べたい」と声に出し、それからスマホをロック解除し、ウーラマを開いてみた。すると、ピザの店がおすすめ飲食店のトップに表示されたのだ。

　女性は、少し気味が悪くなって、SNSウェイボーでこの顛末をつぶやいてみた。すると、わずか1時間の間に154通の反応があり、そのうちの1/6ほどの人は「自分も似たような経験をした」というものだった。

中国のIT系メディアの調査ではグレー判定

　中国のウェブメディア「IT時報」の記者は、この話の真偽を確かめるため、2台のiPhoneを使って実験をしてみた。まず、美団、ウーラマを開いて、お勧めの飲食店のリストをメモしておく。それからアプリを閉じて、２人の記者がスマホのかたわらで「日本料理が食べたい」などという話をする。その２分後に外売アプリを開いてみた。すると、ウーラマでは第２位に日本料理の店が表示された。１位と３位の店は以前と同じだった。いったん閉じて、２分後に再び開くと、日本料理の店は消えていた。その他、香港料理など別の料理名でも試してみると、だいたい80％の確率で、言葉にした料理に関連する飲食店が現れる。

この事件の顛末を追ったIT時報の記事

　試しに、「マイク使用を不可」の設定にして、同じ実験を試してみると、このようなことは起こらなかった。

　美団、ウーラマに取材をすると、両社ともそのような音声を収集するようなことはしてないし、そもそもそのような機能は実装されていないと回答した。

　そこで、記者はスマホの通信をモニタリングできるCharlesという開発支援ツールを使って、美団アプリの通信を監視してみた。すると、アプリを開いている間に約400個程度のデータを送信している。周りを静かにして、話し声を出さなようにすると、送信するデータの数は少なくなっている。あたかも音声データをどこかに送信しているような状況を示す。

　その結果を専門家に見てもらうと、音声データを送信していると考えるのは難しいという結果だった。アプリを起動している時、数百程度のデータパケットを送信することは珍しいことではない。アプリの状態や操作状況を送信し、サービスの品質改善に役立て、また同時にマーケティングデータを取得するというのはもはや一般的なことになっている。この中に巨大な音声データを忍び込ませて送信するというのは考えづらいという。

　また、音声データをスマホ内で分析をし、テキストなどの軽い形のデータに変換して送信している可能性はないのか。それも考えづらいという。音声データの解析はかなり計算量を必要とする作業で、アプリ起動中であればともかく、アプリを閉じている時にバックグラウンドで処理するのはかなり大変なことだという。音声データをクラウドに上げて、解析はクラウド側で行うのが一般的だという回答だった。

アメリカで起こった盗聴アプリ事件

　しかし、2018年の1月に、米国でゲームアプリの盗聴が発覚したことをニューヨークタイムズが報じている。アルフォンソというスタートアップが開発した技術は、250以上ものiOS、Androidゲームアプリに搭載され、アプリ起動中だけでなく、アプリがバックグラウンドで動作している間中、スマホのマイクを通じ、環境音を拾い、どのテレビ番組を見ているかを解析し、そのデータを広告やマーケティング関連企業に販売をしていた。

事件を伝えるニューヨークタイムズの記事

　特に問題になったのが、音楽アプリ「Shazam」だ。Shazamはテレビやラジオで流されている曲を聴かせると、その曲名やアーティスト名を教えてくれるというアプリで、Shazamを使っている間はマイクがオンになる。Shazamにはアルフォンソの技術が組み込まれ、音楽だけでなくテレビ番組の分析も同時に行われていた。

　Shazamはアップルにより買収され、iPhoneの音声アシスタントSiriに組み込まれたが、このアルフォンソの技術を排除したのか、残したのか、アップルは言明を避けている。

　IT時報はしつこく外売アプリの実験を繰り返していた。すると、2019年の1月になって突然、ウーラマのアプリでは問題の現象が消えてしまった。何をしゃべろうとも影響されずに、過去の使用履歴などからおすすめの飲食店が表示されるようになった。突然、現象が消えてしまうというのも奇妙な話だ。

個人データは自分で守らなければならない時代に

　どの国においても、利用者の同意を得ることなく、個人情報を収集することは法に触れる。それは中国ですらそうだ。しかし、アプリの利用規約にサラリと情報収集について触れられていたとしても、それをきちんと読む人はそうは多くないのではないか。また、同意を得ず収集をしたとしてもなかなか利用者は気づきづらい。

　幸いなことに、マイク、カメラといったセンサーには、Android、iOSといったOSを経由しなければアプリはアクセスができない。そのため、設定でアプリごとにマイクの使用を許可したり、禁じることができる。必要もないのに、マイクやカメラのアクセスを求めてくるアプリは、消去してしまうか、マイクの使用を不許可にしておく方がいい。プライバシーは自分で守らなければならない時代になっている。