アムステルダム発旅行アプリ「Polarsteps」、数カ月にわたり2,300万人の個人情報を露出

アムステルダム発の旅行記録アプリ「Polarsteps」が、ユーザーの氏名・写真・GPS位置情報・自宅住所を、誰でもアクセスできる状態で長期間にわたって放置していたことが、オランダの調査報道メディア「Follow the Money（FTM）」の取材で明らかになった。利用者数は世界で2,300万人超に上り、プライベート設定にしたアカウントのデータまでが対象に含まれていた点で、影響の深刻さが際立っている。

何が漏れていたのか

FTMの調査によれば、アプリの公開データフィードに誰でも接続することができ、そこから写真・動画2億3,000万点とGPS位置情報10億件以上（約200万件のトリップ分）を取得できる状態にあった。これらの情報はルートマップとして可視化でき、リアルタイムに近い形で旅行者の行動を追跡することすら可能だったという。

問題はプライベートモードのアカウントにも及んでいた。「フォロワーのみ公開」に設定していた100万件以上のトリップも含まれており、完全非公開のアカウントでさえ、フォロー関係や使用デバイスの情報が外部から参照できた。さらに、ユーザーが一度でもそのトリップへのリンクを保持されてしまえば、フォロワーから除外しても情報へのアクセスは遮断されなかった。

とりわけ深刻だったのが自宅住所の特定だ。ユーザーが自宅で撮影した写真に埋め込まれたメタデータ（位置情報）をもとに、FTMは数十件の住所を特定することに成功した。荷造り中のスーツケースを自宅で撮った一枚の写真が、住所特定のきっかけになり得るという事実は、プライバシーリスクの具体性を示している。こうした写真位置情報はPolarstepsのプライバシーポリシーには記載がなく、FTMがデータ開示請求を行ったところ、会社が提供した自己データのファイルにも含まれていなかった。

「1年前から把握していた」――指摘を無視し続けた疑い

この問題を最初に報告したのは、フランスのサイバーセキュリティ研究者だった。彼によれば、Polarstepsはその時点で「すでに問題を把握していた」と回答したという。しかし、FTMの調査ではデータは少なくとも6カ月以上にわたって露出し続けていた。ハッキングやパスワード流出とは異なり、基本的な技術知識があれば誰でもサーバーに接続してデータを取得できた。アクセス制限やCAPTCHA、ログイン認証といった一般的な防御措置が一切講じられていなかったためだ。

エラスムス大学でデジタル監視論を研究するマルク・スホイレンバーグ教授は、同社の対応を「過失（negligent）」と断じ、流出した位置情報がストーキングや嫌がらせ、脅迫に悪用される恐れがあると警告した。同社のウェブサイト自体が旅行者に対し、「リアルタイムでの位置情報共有は標的にされる可能性がある」と注意を促していたにもかかわらず、である。

会社側の対応と今後の焦点

Polarstepsは、パスワードやアカウントへの不正アクセスはなかったとし、オランダのデータ保護当局（AP）と連絡を取りながらシステム改善を進めていると説明している。2024年に就任したCEOのクレア・ジョーンズ氏は、「問題は自社で発見すべきだった」と認め、原因究明中であることを明かした。また、露出していたデータの多くは元々ユーザー自身が公開していたものだ、とも主張している。

今回の件は、在蘭日本人を含む世界中の利用者にとって無縁ではない。旅行ルートや滞在先、帰宅場所の情報が第三者の手に渡っていた可能性は排除できず、過去に同アプリを利用していたユーザーも確認が必要な状況だ。さらにFTMは、この調査の第二弾として、流出データをもとに国内外の基地や任務先まで追跡できた軍関係者数十人についての報告も予定しており、波紋はさらに広がる見通しだ。