米軍がビビって広告ID切った。で、俺らはどうなんや？

米軍が、兵士や職員が使ってるスマホやPCの「広告ID」を無効化してたってロイターが報じてた。上院議員のロン・ワイデンさんが公開した書簡で発覚したらしい。

US military turns off ad trackers on devices amid Middle East targeting reports

きっかけは今年7月の別の報道。中東に展開してる米軍要員が、SNSに投稿した動画のせいでイラン側に基地の位置を割り出されるんじゃないかって懸念があって、一部は携帯の提出まで命じられかけてたってやつ。あれの続報みたいな位置づけなんよな、たぶん。

各軍の対応がバラバラなのも面白くて、

• 空軍：2ヶ月前にPCと携帯の広告ID切った

• 特殊作戦軍：Windows端末で「最近」切った

• 陸軍：Windows機はなんと2021年以前から切ってて、スマホは今年2月からデフォルトで無効化

• 海軍：無回答（お前が一番怪しい）

っていう温度差。
陸軍だけやたら早いのは、たぶんもっと早い段階で痛い目を見た経験があるんだろうなって邪推してる。

で、ワイデンさんともう一人の下院議員が9月5日に国防総省へ書簡を送って、「位置情報データの脅威にちゃんと対応できてるのか調査しろ」って要求した。

ワイデンさん本人は今の対策を「脅威の無力化に効果的とは言えない」ってバッサリ切ってて、記事に出てくる広告技術企業の共同創業者も「方向性としては前向きだけど、ネットワークデータとの照合とか、もっとややこしい手口での追跡はまだ普通に可能」ってコメントしてる。

要するに、対策打ったけど「これで安心」ではないっていう記事。

ここまで読んで、俺が最初に思ったのは、「軍隊が組織的にリソース割いも不十分って言われるレベルなのに、個人の環境では何の防御されてなくない？」ってこと。

広告IDって結局何なんだ

「広告ID」って言葉、みんな聞いたことあるけど中身を説明できる人は少ない気がするので一応。

正式にはMAID（Mobile Advertising Identifier）。

AppleはIDFA、GoogleはGAIDって呼び方してるけど中身は同じで、スマホ1台につき1個振られてるランダムな文字列。免許証番号とかマイナンバーみたいな「あなたの名前」とは紐づいてない、っていうのが建前上の売り文句だけど、一端末一個っていう固有の時点でお察し。

この識別子、動き方がえげつない。

まずアプリの中に「広告SDK」っていう部品が仕込まれてて、これがアプリを開くたびに広告IDとセットで色々送る。位置情報、使った時間帯、他に何のアプリ入れてるかとか、それはもう幅広く。

しかも、その送信先はそのアプリを作った会社じゃない。
SDKを提供してる広告ネットワークやデータブローカーっていう、ユーザーが名前も知らない業者。

スマホ1台に複数アプリ入れてるだろうけど、それぞれのアプリから同じ広告ID宛てにデータが集まってくる構造になってて、ブローカー側はそれを全部一つの広告IDに束ねて「このIDの持ち主はこういう生活パターンの人間」っていうプロファイルを組み立てる。

で、それを商品として広告主やら他の業者やらに売る。

ここまでユーザー本人の同意や関与はゼロ。アプリの利用規約に「第三者と共有する場合があります」って一行書いてあるだけで、実際に誰にどう流れてるかを追う手段は本人にはない。

「匿名だから問題ない」ってよく言われるんだけど、これは半分嘘。名前が付いてなくても、毎晩同じ場所(自宅)に戻って、平日昼は別の同じ場所(職場)にいる、っていうパターンが取れた時点で、その気になれば個人特定は難しくない。位置情報の粒度が細かければ細かいほど、匿名性はほぼ意味をなさなくなる。

米軍が今回焦ったのはまさにそこで、「広告目的の統計データ」のはずのものが、実質「この部隊は今ここにいる」っていう軍事情報として機能してしまった。

今はAIがあるから、統計データを食わせれば、「明日の9時にこの人はここにいる可能性が◯％」って出せそう。

しかもこの広告データの取引には、規制がほぼない。記事中でも触れられてたけど「クレジットカードさえあれば買える」くらいのハードルの低さらしい。

個人情報保護の枠組みは「広告のための統計データです」っていう建前の前ではほぼ無力で、買う側の身元も用途も、実質チェックされない。

軍事目的への転用が今回のニュースだけど、同じ理屈はストーカーや配偶者間の暴力にもそのまま当てはまるよな、って考えると普通に怖い。

技術は用途を選ばないから。

プライバシー廃人の入り口はこちら▼

「じゃあ広告ID切れば解決か」

広告IDを無効化するのは間違いなくやるべきことで、iPhoneなら「Appにトラッキングしないよう要求」、Androidなら広告IDのリセットか削除、位置情報は「常に許可」から「使用中のみ」に絞る。

これは最低限やっといたほうがいい。
だけど、これをやったら「もう追跡されない」と思うのは間違い。

広告IDが無くても、IPアドレスと端末の細かい仕様(画面サイズ、フォント、バッテリー残量とかの組み合わせ)を突き合わせれば、同一人物だとほぼ特定できてしまう。（いわゆるフィンガープリント）

追跡する側からすれば、入り口が一つ閉まっただけで、窓は開けっぱなしみたいな状態。

つまり広告IDを切るのは「対策」であって「解決」じゃないんだ。

じゃあ端末設定以外に、個人レベルでどこまで塞げるのか、思いつく範囲で並べてみる。

ブラウザ

広告事業が収益の柱になってるChromeを常用するのはそもそも矛盾してる気がするので、Braveか、Firefox＋uBlock Originあたりに切り替える。サードパーティCookieは全部ブロックする設定にして、フィンガープリント耐性のオプションも入れておく。

検索エンジン

Googleじゃなくて、検索履歴を広告プロファイルに紐付けない設計のDuckDuckGoやBrave Search、Startpageに変える。

DNS

意外と見落とされがちだけど、普通の回線業者のDNSをそのまま使ってると、どのサイトにアクセスしたかのログはISP側に残る前提で考えたほうがいい。DNS over HTTPS対応の暗号化DNS(Cloudflareの1.1.1.1、Quad9、NextDNSとか)に切り替えると、経路上の盗聴を防げるし、NextDNSみたいなサービスはトラッカーのドメイン自体を名前解決の段階でブロックしてくれるから、広告ブロッカーより前の層で効くらしい。

VPN

ISPから通信内容を隠す意味では有効だけど、VPN業者自身がログを取ってたら本末転倒なので、第三者監査でノーログを証明してる業者(Mullvad、ProtonVPN、IVPNあたりがよく挙がる)を選ぶのが最低条件。
ただし、スマホのGPSやWi-Fi測位はVPNを迂回するから、位置情報トラッキング対策としての効果は限定的。アプリに位置情報権限を渡していると、いくらVPNを刺していても緯度経度を直接引かれて広告SDK経由で送られる。VPNが隠せるのはIPだけ。

さいごに

こうやって並べてみて改めて思うのは、これ全部やっても完全に防御できないってこと。

広告ID、IP、DNS、アカウントの名寄せ、端末フィンガープリント。
それぞれ別の追跡経路で、対策も別々に打つしかない。

「一個やったから安心」っていうものは一個もなくて、どれも「その経路だけ塞いだ」って感じ。

米軍っていう、個人とは比較にならないリソースと権限を持ってる組織が、広告ID切った上で「これでも不十分」って専門家に言われてるんだから、個人が同じ土俵で完全な匿名性を確保するなんて、そもそも無理な話なんだろうなと思う。

じゃあやらなくていいかって言うと、それも違う気がする。

追跡経路を一つ減らすことには意味があるし、少なくとも「クレジットカードさえあれば誰でも買える」ような追跡からは距離を置ける。

完璧を目指さずに、できる範囲で穴を塞ぎ続けるくらいしか現実的な手はないけど、ちょっとは気にしたほうがいいかもね、ってお話でした。

追記：対策方法を別記事に纏めました▼

以下はソースとClaudeさんの要約

US military turns off ad trackers on devices amid Middle East targeting reports

米軍が広告トラッカー(MAID)を無効化した件のReuters記事の要約です。

概要
米軍がスマートフォンやPC上の広告識別子(MAID)を無効化していたことが、上院議員ロン・ワイデン氏が公表した書簡で明らかになりました。背景には、中東に展開する米軍要員が商業的に取得された位置情報データを使って標的にされたとの報道があります。

各軍の対応

• 空軍：2ヶ月前にPC・携帯電話の広告IDを無効化

• 特殊作戦軍：Windows端末で「最近」無効化

• 陸軍：Windows機は2021年以前から、Android/Appleのモバイル端末は2026年2月以降デフォルトで無効化

• 海軍：コメント要請に応答なし

背景
7月にはReutersが、投稿された動画がイランによる米軍基地の標的特定を助けている懸念から、中東駐留の一部要員が携帯電話の提出を命じられる可能性を報じていました。

議会の動き
ワイデン議員と共和党のパット・ハリガン下院議員は9月5日、国防総省に対し、位置情報データの脅威に軍が適切に対処してきたか調査を求める書簡を送付。ワイデン氏は現状の対策が「脅威の無力化に効果的でない」と指摘しています。

専門家の見解
プライバシー広告技術企業Decryptadsの共同創業者は、この措置を「間違いなく前向き」と評価しつつ、ネットワークデータとの照合など、より複雑な手法での追跡はなお可能だと注意を促しています。