常時測位：止めたつもりでもスマートフォンがあなたを追跡し続ける仕組み

GPSを切るだけでは足りない。携帯網、Wi-Fi、Bluetooth、センサー。スマートフォンの位置測定が実際にどう動き、何が本当にそれを制限するのか。

2026年8月2日
|

読了時間: 2 分

常時測位：止めたつもりでもスマートフォンがあなたを追跡し続ける仕組み
Arpokrat Security Team Privacy Advocates & Developers
共有

2024年、メリーランド大学の二人の研究者が、特別な権限も専用機材も持たないままアップルのWi-Fi測位サービスに繰り返し問い合わせを行い、1年で世界の20億を超えるWi-Fiアクセスポイントの正確な位置を再構築した。彼らの論文 Surveilling the Masses with Wi-Fi-Based Positioning Systems は、この地図が何を可能にするかを示している。ウクライナに出入りする機材を追跡すること、マウイ島の火災後の住民移動を観察すること、自宅のルーター経由で特定の個人を追うこと。

これらの機器はどれもGPSを有効にしていなかった。位置は別のところから来ていた。

これはモバイルのプライバシーをめぐる最も広く共有された盲点である。位置情報のスイッチが存在し、それを切れば端末は自分がどこにいるか分からなくなる、という思い込みだ。この思い込みは七つの異なる水準で誤っている。

位置情報は、端末が有効にする機能ではない。端末がそもそも何であるかという性質である。

GPS、つまり最も問題の少ない経路

誰もが名前を挙げられる唯一の仕組みは、同時に最も心配しなくてよい仕組みでもある。

米国のGPS、Galileo、GLONASS、BeiDouを包括する総称であるGNSSは、受信によって働く。衛星は時刻印を付した信号を絶えず送信し、受信機はそのうち複数を捉え、伝搬時間の差から自らの位置を計算する。遮蔽物のない屋外での一般的な精度は3〜5メートル、都市部では建物の壁面が信号を反射するため数十メートルになることが多い。

決定的なのは、この計算が受動的である点だ。端末は衛星に向けて何も送信せず、どの衛星事業者もあなたの存在を知らない。GNSSだけが問題であれば、GPSを切れば十分だっただろう。

ただし一点、含みがある。初回測位を速めるために端末は A-GPS を使う。SUPL プロトコル経由で、サーバーから衛星の軌道暦を取得するのだ。正しいデータを受け取るために、端末は接続中の基地局セルの識別子をそのサーバーへ送る。純粋なGNSSはあなたを売らないが、そこに接ぎ木された高速化の仕組みは売る。

携帯網：通信事業者が構造上知っていること

着信があなたに届くためには、網はあなたがどの区域にいるかを知っていなければならない。これは有効化できるオプションではなく、サービスが成立するための条件である。端末は最寄りのアンテナに絶えず自らを申告し、その登録は事業者側に記録を残す。アプリの導入も、権限の付与も不要だ。有効なSIMカードが一枚あればよい。

精度は方式によって異なる。

  • セルIDのみ：稠密な市街地で200メートル、一つのアンテナが非常に広い半径を覆う農村部では30キロメートル超。
  • 拡張セルID。アンテナのセクター（多くの基地局は120度の三セクターに分割されている）と信号強度を加える方式で、100メートルから数キロメートル。
  • タイミングアドバンス。端末とアンテナの間の往復遅延を測る方式で、GSMでおよそ550メートル、LTEで78メートル前後。
  • 三基以上のアンテナによる多点測位：市街地のLTEで50〜300メートル。

5G は二つの累積的な理由で桁を変える。第一に密度。5Gのセルははるかに短い半径しか覆わないため、接続しているという事実そのものが既に細かい情報になる。第二に標準化。Release 16以降、3GPPはネイティブな測位信号を組み込んでいる。商用目標は端末の80 %について屋内3メートル未満、屋外10メートル未満であり、Release 18 は一部の産業用途でセンチメートル級にまで踏み込む。

つまり、あなたを接続させている基盤設備そのものが、あなたが何も有効にしていないのにGPSと同等の品質を持つ測位システムになる。このデータは各国の規則に従って保存され、まちまちな手続で当局に開示される。これはホストされたデータに適用される管轄 について論じたときと同じ根本的な論点だ。技術的な保護と法的な保護は重ならない。

Wi-Fi：ハードウェアアドレスでできた世界地図

すべてのWi-Fiアクセスポイントは、固有のハードウェア識別子である BSSID を絶えず発信している。この識別子は固定で、地理的にも安定している。家庭用ルーターは何年も同じ場所に置かれたままだ。

アップル、グーグル、そして少数の専門事業者は、各BSSIDを座標に対応づけるデータベースを保有している。それを作るのは彼ら自身の利用者の端末であり、見えているアクセスポイントの一覧をGNSS測位の結果とともに送り返す。その後、処理は反転する。既知のアクセスポイントを四つ見ている端末は、もはや衛星を一つも必要としない。稠密な市街地では精度は日常的に数十メートルに達し、屋内ではそれを下回る。

この仕組みを無効化しにくくしている性質が二つある。第一に、端末は Wi-Fiがオフに見えるときでもスキャンを続ける。Android 4.3以降、システムは測位精度の向上を目的とした周期的なスキャンを、クイックパネルのスイッチとは独立に維持している。この挙動は位置情報サービスの奥深くに埋もれた別個の設定に依存しており、ほぼすべての利用者が一度も開いたことがない。

第二に、このデータベースは外部から問い合わせ可能である。ライとレビンが突いたのはまさにこの穴だ。測位インターフェースは要求された位置だけでなく近隣のアクセスポイントの位置も返すため、その場所に一度も物理的に近づかないまま地図を刈り取ることができる。

BluetoothとBLE：他人の端末によって位置を特定される

Bluetooth Low Energy は近接の層を追加する。到達距離は数メートルから数十メートルで、携帯網よりはるかに細かい粒度を持つ。用途は二つ並存する。店舗、空港、商業施設に設置された商用ビーコンは識別子を発信し、端末上のアプリがそれを認識する。これによって、あなたがどの棚の前でどれだけ立ち止まったかが明らかになる。もう一つは協調型の位置特定ネットワークで、アップルのFind Myがその原型であり、その後グーグルとサムスンも同種の仕組みを採用した。

この第二の仕組みは、暗黙の前提を裏返す。ダルムシュタット工科大学の研究者がPETS 2021の論文集で発表した基準的な分析 Who Can Find My Devices? は、アップルのプロトコルをリバースエンジニアリングで再構成した。オフラインの機器がBLE信号を発すると、近くにある任意のアップル製端末がそれを受信し、自分の位置を添えて暗号化したうえでアップルのサーバーへ送る。その端末の持ち主にも、位置を特定される機器の持ち主にも知られることなく、である。

帰結は構造的だ。SIMカードもWi-Fiも、いかなるネットワーク接続も持たない機器が、依然として位置特定の対象であり続ける。ポケットに端末を入れた見知らぬ人が近くを通りさえすればよい。あなたの孤立は、もはやあなたの設定ではなく通行人の設定に依存する。

慣性センサー：位置情報の権限なしに位置を割り出す

端末には加速度計、ジャイロスコープ、磁力計、そして多くの場合気圧計が入っている。これらのセンサーは位置情報とは別の権限区分に属する。アプリはあなたがどこにいるかを一度も尋ねることなく、これらを読み取れる。

プリンストンの研究者が PinMe でそれを実証した。彼らのアプリはIPアドレスとタイムゾーンから大まかな位置を得たうえで、センサーを読む。加速度計は加速と制動の特徴を、ジャイロスコープは曲がる順序を、磁力計は進行方位を、気圧計は高度の変化を与える。ニューラルネットワークが移動手段を、徒歩、自動車、鉄道、航空機のいずれかとして判定し、経路は公開されている地図・標高・気象のデータに突き合わせられる。結果として、位置情報の権限なしに、GPSに匹敵する精度の軌跡が得られる。著者自身が記しているとおり手法には限界があり、道路のない地域では失敗し、多くの経路が同じ特徴を生む均質な格子状の街区では精度が落ちる。それでも、拒否した権限が閉じた扉を意味しないことの証明であり続けている。

気圧計はさらに、GNSSが不得手とする次元、すなわち垂直方向をもたらす。米国の緊急通報に関する要件は、屋内からの通報の80 %について上下3メートルの階層精度を課している。誰かが何階にいるかを知ることは、どの街区にいるかを知ることとは性質が異なる。

データ市場：最も平凡な経路

ここまでの仕組みは、位置がどう計算されるかを述べたものだ。残るのはそれがどこへ行くかであり、日常的なリスクの大半はそこで生じている。

数千のアプリが広告SDKを組み込んでいる。開発者が自分の仕事を収益化したり読者数を測ったりするために追加する、第三者提供のソフトウェア部品である。これらの部品はホストとなるアプリの権限を継承する。あなたの位置を正当に必要とする天気アプリが、あなたが名前を読んだこともない事業者へそれを渡すのだ。さらに広告入札のストリームが加わる。バナーが一度表示されるたびに、あなたのおおよその位置が数十の潜在的な買い手へ配信される。何も買わずに聞いているだけの相手も含めて、である。

この原材料が一つの産業を養っている。電子フロンティア財団は Fog Data Science の事例を記録した。同社は2億5000万台を超える端末に関する数十億件のデータポイントを保有すると称し、それを米国の地方警察に販売していた。ブライアン・クレブスは Locate X を紹介している。地図上に多角形を描き、その領域に出入りした端末の履歴を表示できる製品だ。

この経路に技術的な離れ業は要らない。誰かが金を払う気になりさえすればよい。値段は慎ましい。

IMSIキャッチャー：能動的な位置特定

ここまで見てきた仕組みは、正常な動作を利用するものだった。これに対し、網に介入する第三者が行う能動的な位置特定も存在する。

IMSIキャッチャー、別名セルサイトシミュレーターは、正規のアンテナになりすます機材である。到達範囲内の端末はそこに接続し、加入者識別子と、限られた範囲内にいるという事実を明かしてしまう。

5Gは、平文で送られる恒久的な識別子を暗号化された識別子SUCIに置き換えることで、この扉を閉じるはずだった。閉じ方は部分的である。5G SUCI-catchers: still catching them all? と題して発表された研究は、暗号化にもかかわらずセッションを再び相関づけられる連結攻撃を記録している。とりわけ、攻撃者が端末を旧世代へ、特に認証が一方向でしかない2Gへ降格させることに成功すれば、保護は完全に崩れる。5G対応の端末が1990年代の網向けに考案された攻撃に対して脆弱であり続けるのは、今なおそこへ降りることを受け入れているからだ。

対抗策と、その実際の効果

以下の各措置はいずれも何かをする。すべてをするものは一つもなく、実際に果たす役割と世間が期待している役割との落差が、誤った判断を生む。

機内モード

機内モードはセルラーモデム、Wi-Fi、Bluetoothの送信を止める。これは本物の効果であり、これほど小さい労力で得られる最良の結果だ。

しないこと。慣性センサーは止まらず、既にキャッシュされた位置は消えないので再接続時に送信される。さらに多くの端末では、機内モードを抜けないままWi-FiやBluetoothだけを再び有効にできる。そして最後に、これは電源の遮断ではなくソフトウェア上の状態にすぎない。その信頼性は、それを執行するシステムの健全性に依存する。

見落とされがちな細部がある。網からの離脱と再接続そのものが、事業者側では時刻印の付いた事象である。21時にあるセルから消え、23時に別のセルに再び現れた端末は、沈黙ではなく情報を生み出している。

MACアドレスのランダム化

今日のモバイルOSは、場所から場所への追跡を防ぐため、スキャン時にランダムなMACアドレスを送出する。意図はよいが、結果は不完全だ。Why MAC Address Randomization is not Enough をはじめとする基準的な研究は、探索フレームの中身だけで端末を再識別できる場合が多いことを示している。情報要素の数、その値、その並び順が一つの指紋を形づくるのだ。加えてシーケンス番号は増加する値であるため連鎖させられ、機種ごとに固有の時間的特徴も残る。少なくとも20分間、端末の半数を正しく追跡できたと報告する研究もある。

最後に概念上の限界がある。ランダム化が関わるのは探索の段階だけだ。ひとたびネットワークに接続すれば、使われるアドレスはそのネットワークに対して安定している。接続が機能するために、設計上そうなっている。毎朝通うカフェは、あなたを覚えている。

スキャンを本当に止める

これが最も費用対効果が高く、最も無視されている設定だ。AndroidではWi-Fi検索とBluetooth検索は二つの別個の項目であり、位置情報サービスの中にあって、クイックパネルのスイッチとは独立している。これらが有効なままなら、パネルからWi-Fiを切るだけでは足りない。スキャンは続く。

これらを無効にすれば収集の層が丸ごと一つ消える。代償は初回測位が少し遅くなることだけだ。大半の読者にとって、払う労力と得られる結果の比率はこれが最良である。

アプリの権限

明らかに必要としていないアプリから位置情報の権限を取り上げることは、依然として有効だ。近年のシステムは三段階を用意している。その都度の許可、使用中に限定した許可、そしてキロメートル単位の区域しか伝えないおおよその位置である。

ただしこれは、あなたの位置に正当にアクセスする理由を持つアプリの内部に同居するSDKからも、慣性センサーからも、そもそも権限を通らないネットワーク層からも守ってくれない。

VPNが守らないもの

明確にしておくべき点がある。逆の思い込みが非常に広まっているからだ。VPNはあなたの位置を隠さない。 隠すのは公開IPアドレスであり、したがってIPによる位置推定を狂わせる。もっともそれは、この一覧の中で最も粗い仕組みでしかない。

VPNはGNSS受信機にも、Wi-Fiのスキャンにも、Bluetoothにも、センサーにも触れない。あなたの通信事業者が知っていることも何一つ変えない。暗号化されたトンネルはその事業者のアンテナを経由し、セルへの接続は事業者から見えたままだからだ。位置情報の権限を持つアプリがトンネルの内側で正確な座標を送ることも妨げない。VPNは信頼できないネットワーク上で通信の内容と宛先を守る。それだけでも十分に大きい。位置はその守備範囲ではない。

物理的な限界

ファラデーポーチは文字どおりに機能する。送信も受信も遮断する。まだそれが可能な機種であればバッテリーを外すことも同様だ。専用の端末を用意すること、あるいは端末を別の場所に置いてくることが、最も堅牢な措置であり続けている。

これらの解決策には正面から見据えるべき共通の欠点がある。異常を作り出してしまうのだ。毎週火曜の夜に2時間黙り込む端末は、何かを語っている。瞬間の位置ではなくパターンを分析する敵に対しては、不在そのものがデータになる。

三つの敵、三つの戦略

これは本稿で最も重要な区別であり、そして最も読まれることの少ない区別でもある。

広告主やデータブローカーに対しては、この戦いは勝てる。権限の規律、スキャンの無効化、独自の位置情報サービスを持たないシステム、広告識別子のリセット。これらを合わせれば収集される量は非常に大きく減る。この敵が求めているのは安価な量であって、あなた個人の事情ではない。

あなたの通信事業者に対しては、いかなる設定も足りない。セルラー測位はサービスの条件そのものだ。実際の変数は法的なもの、すなわち法が何の保存と提供を認めるか、そして物理的なもの、すなわちどの端末を、どのSIMカードで、誰の名義で、どこで電源を入れるかに限られる。

標的を絞った国家的な敵に対しては、考え方はさらに変わる。事業者データへの合法的なアクセス、セルサイトシミュレーターによる能動的な位置特定、プラットフォームへの開示要求、そして必要に応じた端末そのものの侵害を組み合わせてくるからだ。ソフトウェア上の対抗策は攻撃面を減らすが、現実的な目標は消えることではない。何が露出したままなのかを正確に知ることである。

ArpokratOSのアプローチ

ArpokratOS はこの状況に対し、上の区別から導かれる選択で応じる。無力化すべきものはメニューの中ではなく、システムの水準で無力化する。

GNSS については、ハードウェアのドライバーが取り除かれている。端末は、アプリケーションに対しても、システム自身に対しても、そのチップが存在しないかのように振る舞う。設定画面のスイッチとの違いは表面的なものではない。スイッチはポリシーである。それを適用するのは一つの層であり、十分な権限を持つ部品に迂回されることも、更新によって再び有効化されることも、侵害されたシステムに無視されることもある。コード経路そのものを取り除けば、有効化すべきものがもう存在しないのだから、問いは消える。

Bluetooth も同じ論理でCore層で扱われる。設定でオフにされたBluetoothは、多くの端末で実際にはソフトウェアスタックを生かしたままにして、近接サービスや協調型の位置特定ネットワークを支えている。システムの水準で存在しなければ、店舗のビーコンと会話することも、Find My型のネットワークに参加することも、操作を要さない攻撃面になることもできない。

これが何をしないのかも、はっきり述べておかなければならない。ArpokratOSは端末を検知不能にはしない。 SIMカードが有効である限り、事業者は接続中のセルを把握しており、いかなるOSもそれを変えない。全通信をTorで流したとしても同じだ。経路制御が守るのは内容と宛先であって、電波の幾何ではない。不可視を約束する者は、物語を売っている。

このような設計がもたらすものはもっと控えめだ。実際の収集の大部分が通過するアプリケーション層と近接層を取り除くこと、そして残るものについて明示的な脅威モデルを持つこと。これはデスクトップ用のシステムを選ぶときの推論と同じであり、オペレーティングシステムの比較 で詳述している。有用な問いは、ある道具が守ってくれるかどうかではなく、何から、どんな代償で守るのかである。

結論

本稿は消える方法を提供しない。その方法は存在せず、反対のことを主張する文章が主に生み出すのは偽の安心である。それは無防備であることより危険だ。人に危険を冒させるからである。

目的は、位置を特定されるかされないかという二択の問いを、有用な問いに置き換えることだった。誰に、どの精度で、相手にどれだけのコストを強いて、そしてそれは自分にとって重要か。答えは、情報源を守る記者、機微な法域に出張する経営者、面会予定そのものが戦略を漏らしてしまう弁護士、そして広告主に生活習慣を知られるのが不快なだけの個人とで異なる。

そもそも注目すべきは、これらの仕組みを個別に取り出したときの性能ではなく、それらが互いに重なり合っているという事実だ。50メートル精度の位置一つは大して面白くない。だが50メートル精度の位置が、15分ごとに、2年間続けば、住まいが、職場が、信仰が、健康状態が、交際が、情報源が描き出される。位置情報は、他のあらゆるデータを読み解けるものにするメタデータであり、だからこそ高値がつく。

出典

タグ
#位置情報 #監視 #携帯通信 #プライバシー #メタデータ #データブローカー #ArpokratOS
共有

関連記事