【commと個人情報】電話番号から本名を特定される危険性について

以前「電話帳のアップロードを拒否しても、電話番号から自分のアカウントが特定される」ことを紹介しました。ここから、「電話番号から本名を特定されるのではないか」と不安に思い、実験してみたわけです。

その結果、commを利用することで知らない人の電話番号から、その人の本名を調べられることが分かりました（※知らない人がcommで電話番号登録をしていた場合）。

検証手順を紹介します。利用したのはcommのAndroid版の最新版1.2.5で、実験日は2012年12月10日です。

１．電話帳に「電話番号」を登録

まず、電話帳に、持ち主の分からない（ということにした）「電話番号」を登録します。

今回は仮に「匿名希望0」という名前で登録しました。電話帳にはこの一人だけを登録しています。

２．commで「電話帳アップロード」をONにする

そして、電話帳アップロードをONにします。

電話帳をアップロードしたことにより、先ほどの「電話番号」を使っている「commアカウント」が自動的に検索されます。

３．commの友だちリストを確認する

友だちリスト確認すると、次のように「新しい友だち」が表示されました。

しかしここでは「本名は表示されません」ここで表示される名前は「手元の電話帳に登録してある名前」です。

４．友だちの名前をタップする

この人の名前をタップすると、友だち個別の画面になります。

ここでも本名は表示されません。しかし、アイコン画像は表示されています。もし顔写真を登録していたら、まずこの時点で顔がバレるので、設定する際には気を付けた方がよいでしょう。

５．プロフィールを表示する

このページから「プロフィール」を開くと次の画面になります。

ここでも目立つところには「電話帳に登録した名前」が表示されますが、現在の状況を表示する箇所に、電話番号の持ち主が設定した本名（フルネーム）が表示されてしまっています。

このことから、「電話番号から、commに登録されている本名を検索可能」であり、本名登録と電話番号検索を前提とするcommが、「巨大な逆引き電話帳」として利用可能な状態にあることが分かりました。

いくつかのポイントを整理してみます。

１．「本名がばれる」のが問題なのではない

今回の検証結果は、ただ「本名が見えてしまう」ことを示しているのではなく、「特定の電話番号」から「その持ち主の本名」が「対応づけられてしまうこと」という、より強い結果を示しています。

commは名前で友だちを検索できる機能が有名ですが、この「名前を検索可能」という意味と、「電話番号から（知らない人の）名前を検索可能」という意味に大きな違いがあることに注意してください。

また、「本名」から「電話番号」を調べられるということは示していないことにも注意です。

２．電話帳のアップロードを拒否しても防げない

電話帳のアップロードを拒否したとしても、この「電話番号での検索」および「本名の表示」を防ぐことはできませんでした。

プロフィール画像の変更などのアクティビティを一切しなければ防げますが、どんな操作をすると表示されるか分からないため、現実的な対策ではありません。

３．本名登録が推奨されている

commでは本名での登録が強制されているという特徴があります。

comm会員になろうとする方は、当社所定の情報を当社に登録する必要があります。当社の特別の承認がない限り、他人名義その他本名以外の名義を本名として登録してはならないものとします。 （第７条 １．）

そのため、電話番号で検索した結果を本名以外に変更することは規約上できませんし、多くの人が本名を登録しています。

検証結果から考えられる危険性について例示してみます。ただしここで注意して欲しいのは、危険かどうかは利用者本人の判断によるものであって、このような危険性があるからcommの利用を中止すべきだというものではありません。あくまで、commを利用することによって発生する、あまり知られていない可能性を知ることで、利用者がより正しい理解の元にcommを使おうかどうしようかを判断できることこそが重要だと考えています。

１．本名は隠してたんだけど、電話番号は教えてしまったという場合

• 待ち合わせなどの都合で、知らない人に電話番号教えてしまった。
• なんだか恨まれたらイヤなので、苦情の電話で名乗らなかったが、非通知にまではしなかった。
• 間違い電話をしてしまった。

こんなとき、電話番号を知っている相手に、本名が特定される可能性が出てきます。わざわざcommを利用して電話番号から本名を検索するかどうかは別にしても、厳密に考えれば、commを利用するなら「電話番号を教えて良いのは、本名がバレても良い相手だけ」と言えます。

２．業者が悪用した場合

悪質な業者が大量の電話番号をランダムに入力してcommにアップロードし続けた場合、電話番号と本名のペアが大量に取得され、commに登録されていた電話番号・本名ペアという個人情報が次々と取り出されてしまうことになります。ここから名簿が作成され、イタズラ電話やらセールスの電話なんかが来たりしたらイヤだなー怖いなーと思う場合はcommを利用しないほうがよいかもしれません。

ただし、大量の電話番号をランダム入力するのにそこまで適した方法ではない（※）ため、実際そんなことは起こらないだろうし気にしない、という場合には無視して問題ありません。

（※）一度に大量の電話番号を電話帳に入れても、プロフィール画面を一つ一つ開くのは大変そうだという意味。意外と簡単なのかなぁ

ここで誤解防止のために書いておきますが、この検証結果は、「アップロードした電話帳が公開されている」ということを示しているわけではありません。

というわけで、commに登録していない人は、comm経由で電話番号から本名が取り出される危険はこの範囲では考えられません。

ところで、「これっていいの？」、と、comm会員規約を見てみると、こんな項目があります。

comm会員の本名は、ウェブサイト上で当社が定める期間、公開されます。また、comm会員がcomm会員である旨は、他のcomm会員に通知されることがあります。 （第７条 ２．）

この項だけに注目するならば、「ウェブサイト」という表現がよくわかりませんが、本名がどこかに公開されることは了承をとっている、という可能性がなくはないかと思います。

しかしながら、「そうはいっても、電話番号から本名がバレるなんて同意した覚えはない！」と感じる人も多いかと思われます（もし読んでいなかったのなら、ちゃんと読みましょう）。

このように、「電話番号から本名を取得されるのがイヤ、という"場合"」は、「偽名」や「設定変更」という対策が（利用規約上は）できないため、commアカウントを作成しない・すでに作成している場合は削除（退会）するという対策しかなさそうです。

commは「改善」という言葉をよく使っています。

というわけで、これが「嫌な人向け」に、commの仕様が変わるとすればどんな「改善」ができるのか考えてみました。

電話帳の登録名を表示する

電話番号から検索して見つけたアカウントの名前を、「本名」ではなく、「その電話番号に設定してある電話帳の登録名」を表示する方法があります。

実際commも大部分でこのようにしていますが、利便性のためか個人情報保護のためかははっきりしません。

検索可能・不可能を設定できるようにする

また、設定で「電話番号検索不可」を選択できるようにしてあれば、と思います。この設定項目はアカウント作成完了前に設定できる必要があります。

現状名前検索の検索結果に表示されないようにすることはできるのですが、この名前検索の設定はアカウント作成直後「ON」になっているため、後から「OFF」に設定する必要があります。

利用規約を変更する

先ほど紹介した部分の利用規約がこのことを表しているのだとしたら、利用規約をもっと分かりやすい文面に変更するという方法がありそうです。

今回の件を通じて思ったことを書いておきます。

LINEやcommに関するいろいろな場所での発言を見ていると、大切なのは、「ユーザがアプリについてよく理解した上で利用するかどうかを判断すること」と、「その理解のために必要な情報をアプリ作者側が提供すること」だと感じます。

特に、後者の「必要な情報を提供する」というのは、「よく知らずに使ってしまうことを防ぐ」だけでなく、「誤解を元にした批判を防ぐ」という意味でも大切だと思います。

実際に、LINEやcommの電話帳アップロードについては誤解（※）を元にした批判がとても多く、残念に感じることが多いです（もちろんすべてではありません）。それらを読むと、アプリの仕組みについて詳細に解説しないことは、ユーザにとってもアプリ提供者側にとっても、どちらにとっても不幸なことだなぁと思います。

（※）たとえばLINEが電話帳を丸ごとアップロードしているという誤解。実際には、読み取り可能な情報のうち、友だちの検索に必要な「電話番号」と「メールアドレス」しかアップロード（送信）していない（名前すら含まれない）。

知り合いまたは知り合いの可能性がある他の利用者を探して友だちとして登録または推薦するため及び不正利用防止のため、端末のアドレス帳を取得します。（アドレス帳からは電話番号と携帯電話用メールアドレスのみ取得いたします。アドレス帳に登録されている氏名、写真、住所、携帯電話用以外のメールアドレス等の情報は取得いたしません。） （ラインのプライバシーポリシー）

（※のつづき）この電話帳を丸ごとアップロードしているという誤解から、「勝手に電話帳に登録してある人たちのいろいろな情報を漏らしている」という批判が「直に」発生しています。しかしこれは「規約に反して名前などの電話帳の情報を勝手にアップロードしている」という前提、つまり「LINEが言っているプライバシーポリシーは嘘だ」という指摘を含む批判であり、これを意識せずにアップロードされた電話帳全体を悪用しているのではないかと勘ぐって批判している場合が多いように感じる（もちろん、例えば「電話番号だけであっても、電話帳ベースの友人関係が漏れる」という批判はこのことに影響されない）。やはり何より問題なのは、電話帳アップロードの詳細な仕組みを解説するページや資料が用意されていないことである。（以上、こんな短いスペースに書くべき話題ではないため、これを読んで気になった場合は、新たな誤解をしないように、いろいろと調べてみることをオススメします。）

今回は、commと個人情報という観点から、電話番号から本名を調べることが可能かどうかということを検証し、可能であるという結果を得ました。そして、注意すべきポイントや危険性などについて解説しました。

ここがまとめなのですが、少しおまけが続きます。

そもそも「最後の最後まで本名が表示されなかった」ことに注目してみると、「電話番号から本名がバレてしまう」のを防ごうとしていた可能性を感じます。実際に、LINE（こちらはPC版ならでは）でも似たような指摘があったので、commは意識していたのかもしれません（LINEが現在どう変わっているかは未確認）。

このように電話番号から本名が表示できてしまう実装が意図に反していたと仮定した場合に、「それでも本名が表示されてしまった」という事実について考えてみます。

そもそも「commは本名を何のために使うのか」を考えてみると、基本的に「本名で検索するため」だと考えられます。他にも用途があるのかもしれませんが、どちらにせよ本名を参照（利用）する場所は限定できるはずです。つまり、ちゃんと個人情報（本名情報）の保護を意識した場合、特定の条件が揃った場合からしか本名を参照できないような設計になっているべきだといえます（その条件が公開されているとなお良いかと）。つまり、アプリを記述する上で、そのような工夫がなされているべきであって、そうでなければちょっとした実装ミスで本名や表示してはいけない情報が簡単に漏れてしまうことになります。

なんかそういう個人情報の保護を保証する仕組み・枠組み、参照される条件のユーザへの提示方法を考えるの、楽しそうです。

当分このままにしておこうかと思います。個人的には、本名を表示しないように頑張ったけれども見逃してしまったバグじゃないかなぁ、と思うので、ちょっと嫌なのですが、素早い「改善」に期待してみようかと思います。

Android版comm 1.2.6が公開され、プロフィールに表示されていた本名が、電話帳の登録名に変更されました。アップデートに関する詳しい内容や考察はこちらに書いておきました。