位置情報を許可しているアプリは天気アプリくらいだから安心、と考えている人は多いと思います。しかし実際には、ごく普通のスマホアプリに位置情報を許可しているだけで、海外の政府機関にまで流れています。
問題の中心にあるのは、位置情報そのものではなく「広告ID」と呼ばれる、ほとんどの人が存在すら知らない番号です。広告IDと位置情報がセットで流通すると、自宅、職場、通院先、夜の行動範囲が誰にでも買える状態になります。
この記事では、データが流通する経路を実際の事例で解説したうえで、iPhoneとAndroidで今日からできる無料の設定変更、それでも残るリスクへの根本的な対策まで、初心者の方にも分かるようにまとめました。
何が起きているのか：研究で明らかになった位置情報の流通
天気やニュースなど、ごく普通のスマホアプリに位置情報を許可するだけで、そのデータが最終的に政府機関にまで渡っているというのが、カナダの研究機関とチェコ・ハンガリーの市民団体の調査により明らかになりました。
研究チームはアプリと広告SDKをリバースエンジニアリングし、各国政府への情報公開請求と政府機関の調達記録の精査を組み合わせて、データの流れを実証的に追跡しました。
その結果、注目されたのが2つの企業です。
ひとつは、イスラエル拠点のCobwebs Technologiesが提供する「Penlink/Webloc」という監視プラットフォームです。複数のデータブローカーから集めた位置情報を統合し、対象者の広告IDを入力するだけで数か月分の移動履歴を地図上で確認できるようにしています。
もうひとつは米国の「Fog Data Science」です。広告IDで紐付いた位置情報を、ネバダ州の法執行機関に令状なしで販売していたことが裁判記録から判明しました。本来、警察が個人の位置情報を取得するには裁判所の令状が必要ですが、データブローカーから購入した情報なら令状なしで使えるという法的な抜け穴が利用されていました。
鍵を握る「広告ID」の正体
広告IDとは、スマホ1台ごとにOSが自動で発行するランダムな識別子のことで、複数のアプリ間で同じ人を特定するための番号として使われます。
iPhoneでは「IDFA（Identifier for Advertisers）」、Androidでは「AAID（Android Advertising ID）」と呼ばれます。実際の値はこのような形をしています。
6D92078A-8246-4BA4-AE5F-76C163AD7B67この番号は本名や電話番号と直接紐付いていないので、各企業は個人情報ではないという建前で扱っています。しかし位置情報と組み合わさると、話は変わります。
ある広告IDの位置データを24時間追跡したとき、夜間に滞在する場所が自宅、平日昼間に滞在する場所が職場、週に何度も訪れる場所がジムや病院だと推測できます。住所と勤務先が判明した時点で、公開情報と照合するだけで個人を特定できてしまいます。
Cookieより厄介な3つの理由
ブラウザのCookieより広告IDのほうが追跡に使いやすいのは、次の3点が理由です。
- ブラウザを変えても同じIDが使われる
- アプリを変えても同じIDが使われる
- ブラウザを開いていなくても、アプリ経由で送信され続ける
サードパーティCookieは近年、各ブラウザで規制が進んでいますが、広告IDはOSレベルで発行されるため、ブラウザ規制の影響を受けません。スマホを使っているかぎり常に発行され続ける点で、追跡する側にとってはCookieより便利な道具になっています。
データが売られる6つのステップ
スマホアプリから集められた位置情報が政府機関や企業に届くまでには、6つの段階があります。一見複雑に見えますが、流れ自体はシンプルです。
ステップ1：普通のアプリが位置情報を取得
天気、ニュース、ゲーム、フィットネス、ショッピングなど、ごく普通のアプリがユーザーの許可を得て位置情報を取得します。「使用中のみ許可」でも問題なく機能します。
ステップ2：アプリ内の広告SDKがデータを送信
無料アプリの大半は、収益化のために広告SDKを組み込んでいます。代表的なものはGoogle AdMob、Meta Audience Network、AppLovin、Unity Adsなどで、日本のアプリでも広く使われています。
このSDKは広告を表示するついでに、広告IDと位置情報、デバイス情報をセットにして外部サーバーに送信します。これはアプリ開発者が個別に許可した動作ではなく、SDKに最初から組み込まれている動作です。
ステップ3：RTB市場で広く配信される
送信された情報は「RTB（リアルタイム入札）」という仕組みで配信されます。
RTBとは、ユーザーがアプリを開いた瞬間に「東京都新宿区にいる、広告IDがXXXX、iPhone 15、20代男性、過去にスポーツアプリを利用」といった情報を、世界中の数百から数千社の広告主に同時配信し、最も高い金額を入札した広告主の広告を表示する仕組みです。
問題なのは、落札をしなくても、入札に参加しただけでその情報を保存できることです。アプリを1回開くたびに、何百社ものデータブローカー候補に情報が拡散される構造になっています。
ステップ4：データブローカーが収集して販売
データブローカーは、RTBで流れる情報を片っ端から集め、加工して販売しています。具体的にはこのような加工です。
- 同じ広告IDの軌跡をまとめて移動履歴を作る
- 複数のデバイスを紐付ける（家族や同僚など）
- 行動パターンから年収、健康状態、政治志向などを推測する
販売形態は月額契約や個別販売など様々で、信用調査、マーケティング、人材調査などの名目で売られています。
ステップ5：統合プラットフォームが束ねる
複数のデータブローカーから買い集めた情報を統合し、検索可能な状態で提供するのが、Penlink/Weblocのような統合プラットフォームです。
捜査官や調査員は、画面に対象者の広告IDや特定の建物の住所を入力するだけで、その人物の数か月分の移動履歴を地図上で確認できます。Cobwebs Technologiesの調達文書には、こうした機能が政府向けに販売されていることが明記されています。
ステップ6：政府機関や企業が購入
最終的にデータを買うのは、政府機関や企業、調査会社です。具体的には次のような購入者が確認されています。
- 政府機関（情報機関、移民当局、警察、軍）
- 広告主・マーケティング会社
- 保険会社・金融機関
- 民間調査会社や私立探偵
合法的なビジネスとして成立しているため、裁判所の令状も本人への通知も不要です。
確認されている購入者の例
研究で実際に位置情報の購入が確認された政府機関をいくつか紹介します。
- 米国 ICE（移民・関税執行局）：不法移民の追跡に使用
- 米国 軍関係機関：国外渡航者の監視に使用
- 米国 ネバダ州法執行機関：容疑者の動向把握に使用（令状なし）
- ハンガリー 国家安全保障局：反政権派の監視に使われた疑惑あり
- エルサルバドル 国家民事警察：治安維持名目
このうちハンガリーのケースは、EUの一般データ保護規則（GDPR）に違反している可能性があり、欧州議会で問題提起されています。
民間警察への直接販売を行っているFog Data Scienceの事例では、本来は令状が必要な位置情報が、商品として購入することで令状なしに使えてしまうという法的抜け穴が問題視されています。情報提供ではなく商品として扱われている点が、従来の捜査協力との大きな違いです。
日本ユーザーは安全なのか
日本ユーザーも例外ではありません。同じ仕組みは日本でも完全に動いています。
日本のアプリ開発者も同じ広告SDK（AdMob、Meta、AppLovinなど）を使っており、RTBは国境を越えて動作するので、日本人の位置情報も世界中のデータブローカーに流れています。
実際、海外のデータブローカーが販売しているデータベースには、日本国内の特定建物に出入りする広告IDのリストが含まれていることが、過去の調査で複数回指摘されています。
日本の政府機関がこうしたデータを直接購入しているかは公開情報からは確認できませんが、次のような経路でリスクは現実に存在します。
- 海外の捜査機関が、日本国内の対象者を追跡できる
- 企業の競合調査で、特定企業に出入りする人物のリストが買われる
- ストーカーや興信所が裏ルートで購入する
「自分は犯罪者でも活動家でもないから関係ない」と思っている人ほど、日常の行動範囲が知らない第三者に把握されているという状況になりやすいので、対策は早めに行ったほうがよいといえます。
対策1：今すぐできる無料の設定変更
ここからは具体的な対策を紹介します。最も効果的で、最も手間が少ないのが、OSの設定変更です。iPhoneとAndroidそれぞれで5分以内に終わる方法をまとめました。
iPhoneの場合：トラッキングを全アプリでオフにする
iPhoneでまず行うべきは、ATT（Appのトラッキング透明性）の全アプリオフ設定です。これだけで広告IDの取得を実質的にゼロにできます。
iOS 14.5以降に搭載されているATTは、アプリが広告IDにアクセスするには事前にユーザーの許可を求めるという仕組みです。設定を一括でオフにすれば、すべてのアプリが広告IDを取得できなくなります。
設定手順は次のとおりです。
- 「設定」を開く
- 「プライバシーとセキュリティ」を選ぶ
- 「トラッキング」を選ぶ
- 「Appにトラッキングを求めることを許可」をオフにする
オフにした時点で、過去に許可していたアプリも含めて広告IDが取得できなくなります。新規アプリも個別に確認ダイアログを出さなくなるので、毎回タップする手間も省けます。
Androidの場合：広告IDを削除する
Androidでは、広告IDを「リセット」ではなく「削除」することができます。Android 12以降の機能で、削除すると広告IDがゼロ埋めの値（00000000-0000-0000-0000-000000000000）に置き換わり、アプリ側からは「IDなし」のユーザーとして扱われます。
設定手順は端末によって若干名称が違いますが、おおむね次の流れです。
- 「設定」を開く
- 「Google」を選ぶ（または「プライバシー」）
- 「広告」を選ぶ
- 「広告IDを削除」をタップする
一部の中華系メーカー製の端末や古いAndroidでは、この選択肢が出ない場合があります。その場合は同じ画面にある「広告IDをリセット」を定期的に実行してください。完全な対策にはなりませんが、それまでに蓄積された移動履歴とのつながりを断ち切れます。
アプリごとの位置情報権限を見直す
広告IDを潰しても、アプリ自身が直接位置情報を送信するルートは残ります。アプリ側の位置情報権限も合わせて見直しましょう。
iPhoneは「設定」から「プライバシーとセキュリティ」、「位置情報サービス」の順に進みます。Androidは「設定」から「位置情報」、「アプリの位置情報の権限」へと進みます。
各アプリについて、次の方針で見直すのがおすすめです。
- ゲーム、SNS、ニュースアプリは「許可しない」が基本
- たまに使う地図アプリは「次回または共有時に確認」
- 常用する地図・配車アプリは「使用中のみ」
- 「常に許可」はナビ系の常用アプリ以外、原則使わない
さらに「正確な位置情報」をオフにすると、誤差数キロの粗い位置だけを渡せます。天気アプリやニュースアプリには十分な精度です。
使っていないアプリをアンインストール
最もシンプルで効果が大きいのが、使っていないアプリの削除です。アプリは存在するだけで、バックグラウンドで定期的にデータを送信し続けます。
判断基準は次のとおりです。
- 半年以上使っていないアプリは削除する
- 1つの機能しか使っていないアプリは、ブラウザ版で代替できないか検討する
- 無料の天気アプリは、プライバシーに配慮されたものに乗り換える
-
プライバシー保護を重視した天気アプリ Weawow + 4選
2025/8/25
天気予報アプリは、スマホに必須アプリの一つですが、位置情報を取得されるのが気になるという方も多いと思います。Weawowは、位置情報を無効にすることができ、何の情報もトラッキングされず、広告も表示され ...
機内モードや位置情報オフは保険にしかならない
機内モードや端末全体の位置情報オフは、補助的な対策にはなりますが、それだけで安心するのは危険です。
Wi-Fiアクセスポイントからの推定測位、過去のキャッシュ、再接続時にまとめて送信されるデータなど、位置情報が漏れる経路は複数残っています。
-
機内モードにすれば位置情報はバレない？ 色々な方法でバレます！
2025/7/10
GPS位置情報を共有したくない場合に、機内モードにすればバレずに済むのではないかと思われるかもしれません。しかしほとんどの場合、機内モードにしても、GPSは有効なままです。また、位置を確認できる方法は ...
対策2：根本的に防ぐためのツール
設定変更だけでは、アプリ自身が直接送信するルートと、IPアドレスから推定される大まかな位置情報まではカバーしきれません。ここから先は専用ツールでの対策が現実的です。
広告ブロッカーで送信元を遮断する
広告SDKがデータを送信する宛先（広告サーバーやトラッキングサーバー）を、ネットワークレベルで遮断するのが最も根本的な対策です。
これを実現するのがAdGuard広告ブロッカーです。AdGuardが強い理由は次のとおりです。
- ブラウザ以外のアプリも含め、端末全体の広告通信を遮断する
- 広告SDKのトラッキング先も遮断する
- iPhone・Android・Windows・Macに対応
- 設定が初心者向けで分かりやすい
ブラウザの広告だけでなく、位置情報を送信している裏側の通信そのものを止められる点が最大の利点です。
より手軽なAdGuard DNSであれば、無料から始めることができます。
VPNでIPアドレスからの位置推定を防ぐ
広告IDを潰しても、IPアドレスは通信のたびに必ず送信されます。IPアドレスからは、おおむね市区町村レベルの位置、利用しているプロバイダ、自宅か外出先かの判別までが可能です。
IPアドレスを匿名化するのがVPNです。VPNを使うと、相手から見えるIPアドレスはVPNサーバーのものに置き換わり、本来の所在地は隠れます。
位置情報対策で特におすすめなのがProton VPNです。理由は次のとおりです。
- 本社がスイスにあり、プライバシー保護が法制度で守られている
- ノーログポリシーが第三者監査で証明されている
- クライアントがオープンソースで公開されており、不正な動作の有無を検証できる
- 無料プランでもトラッキング対策には十分使える
- 広告とトラッカーを遮断するNetShield機能を搭載している
特にNetShield機能は本記事のテーマと相性が良く、VPNと広告ブロックを1つのアプリで完結できます。
まとめ
スマホの位置情報がデータブローカーに流通し、政府機関や企業に売られている実態は、日本ユーザーにとっても他人事ではありません。ただし、対策は知っていれば誰でもできます。今日からできるアクションを最後にまとめておきます。
無料でできる設定変更は次のとおりです。
- iPhoneは、トラッキング許可をオフにする
- Androidは、広告IDを削除する
- アプリの位置情報権限を「使用中のみ」、「正確な位置情報オフ」に見直す
- 半年以上使っていないアプリをアンインストールする
より本格的に守りたい人には、次の2つのツールがおすすめです。
- AdGuard広告ブロッカーで、アプリ内のデータ送信そのものを遮断する
- Proton VPNで、IPアドレスからの位置推定を防ぐ
