Google Pixel 9 シリーズで位置情報や電話番号などの情報がGoogleに送信していることが判明

Google Pixel 9 シリーズで位置情報や電話番号などの情報がGoogleに送信していることが判明

最近のスマートフォンでは、プライバシーへの懸念から位置情報をはじめとするデータをネットワークを通じて第三者（GoogleやAppleなど）に送信する際にユーザーの許可を求めることが求められており、ユーザーへの通知なくデータを収集することは法的に認められていない場合や、ユーザーからの信頼を失う可能性があります。

しかし、Googleが最近発売したGoogle Pixel 9シリーズにおいて、位置情報などのデータがユーザーへの通知なくGoogleに送信されている可能性が、セキュリティー関連の情報を扱うCybernewsの調査により明らかになりました。

CybernewsではPixel 9 Pro XLを入手し、新規でGoogleアカウントを設定後にRoot化し、中間者攻撃的な手法でPixel 9 シリーズから送受信されるデータを調査する方法で検証が行われました。ただし、この調査ではRoot化の関係上、GeminiなどのAI機能が無効化されており、すべての機能でのデータのやり取りが確認できたわけではありませんが、セキュリティーおよびプライバシーに関する懸念となるような挙動が確認されています。

個人の特定な可能な情報を15分おきにGoogleに送信

送受信されるデータを調査した結果、Pixel 9 シリーズはユーザーのメールアドレス、電話番号、位置情報などを様々なGoogleサービスに送信しており、設定していないにもかかわらず、エンタープライズ向けにデバイスを管理するデバイスマネージメントや、ポリシー適用ログ、Google Photoにアップロードされた写真を顔ごとにグルーピングするFaceグルーピングなどのサーバーに送信されていました。また、15分おきにGoogle側にGoogleサービスへのアクセスを要求する認証要求も送信されていました。

さらに、40分おきにデバイスの基本情報も送信されており、この情報にはファームウェアバージョン、Wi-Fiや4G/5Gなどのネットワーク接続形態、SIMカードのキャリア、ユーザーのメールアドレスなどが含まれていました。

なお、位置情報も送信されていましたが、この位置情報はGPSを無効化しても作動し、例えばWi-Fiに接続している場合はそのWi-FiネットワークのIPアドレスなどを基に大まかな位置情報を推察する仕組みになっているようです。

個人向けデバイスと設定してもリモート管理や制御機能へアクセスする模様

Androidではエンタープライズ向けにCloudDPCと呼ばれるパッケージが最初から導入されており、この機能によりセキュリティーポリシーに基づいて設定を変更したり、アプリの配信や削除、データ削除などが可能になっています。ただし、これはあくまでエンタープライズ向け機能であり、ユーザーが設定しない限り有効化されません。しかし、Pixel 9 シリーズでは初期設定状態からこのCloudDPCがGoogleサーバーにアクセスしており、デバイスにインストールされているアプリ（サイドローディング含む）の確認や、場合によってはアプリの強制インストールや削除など、ユーザーが認識しない状態で何らかの改変が可能な状態になっているとのことです。

特に懸念されるのがStaging environment serviceが定期的に起動するようになっており、Googleがリモート経由で新しいアプリやサービスをインストールすることが可能な状態になっている点です。この設定により、Google側がアプリをインストールできる懸念があるだけでなく、悪意あるユーザーがこのサービスにアクセスできてしまうと不正アクセスを許してしまう可能性があります。

勝手にA/Bテストするなどユーザー挙動を調査できる設定も存在

Pixel 9は実験用の設定などを司るサービスにも定期的にアクセスしていたようで、ユーザーに明示的な許可なく限定的にA/Bテストや新しいUI、広告設定を試せるようになっている可能性があります。これにより、ユーザーが購入したPixel 9からサービスの収益改善用にデータを収集する設定なども用意されていることが明らかになっています。

今回明らかになった個人データの送信や設定へのアクセスにより、ユーザーが所有するはずのデバイスもGoogleの管理下にあるような振る舞いとなっており、ユーザーのプライバシーが侵害される可能性があります。一方で、デバイスがAI対応するにあたり、不正なデバイスからのアクセスを遮断するなどの安全性を担保する必要性もあるため、現状ではデメリットに対してメリットが上回っているとも評価されています。ただし、ユーザーからの懸念を払拭するために、企業側はどのようなデータを、なぜ、そして誰に送受信するのかを明確にし、ユーザーが完全にコントロールできるようにすることが求められると締めくくられています。