ネイティブアプリは可能な限り避けるべきである

TL;DR: やるべきこと：アプリを公然と拒否し、代わりにウェブを声高に擁護してください。必要なければ、できるだけアプリをインストールしないようにしてください。サービスに機能するウェブサイトがある場合は、それを使用してください。デフォルトですべての権限を剥奪してください。これには、機能に必要ないものに対するバックグラウンド位置情報、マイク、カメラの権限も含まれます。インストールされているアプリを監査してください。積極的に必要としていないすべてのアプリをアンインストールしてください。「アプリをダウンロードしてください」というプロンプトには、懐疑的に対処してください。詳細については、私のガイドを参照してください：非常に基本的なフレームワーク ほとんどのネイティブアプリは、ウェブサイト版よりもはるかに多くのデータを収集します。ブラウザが意図的に制限しているハードウェア、センサー、バックグラウンドプロセスへのアクセス許可を要求します。これらのアプリに埋め込まれたサードパーティ製ソフトウェアは、同意プロンプトが表示される前に、あなたの位置情報、デバイス識別子、行動データを頻繁に第三者に送信します。このデータは、ブローカーによって購入、販売、集計されます。個人を特定したり、移民を追跡したり、リプロダクティブヘルスケアに関する訴追を可能にするために使用されてきました。 ホワイトハウスのアプリ 2026年3月27日、トランプ政権はiOSとAndroid向けの公式ホワイトハウスアプリをリリースしました。数時間のうちに、2つの独立したセキュリティ研究者がそれを逆コンパイルし、発見を発表しました[1]。このアプリは、ネイティブアプリモデルのあらゆる問題点を典型的に示しています。Appleは、アプリに収集するデータを開示するプライバシーマニフェストを提出することを要求しています。ホワイトハウスアプリは空の配列を宣言しました。データ収集ゼロです。一方、実際のバイナリには、位置情報追跡専用のサブフレームワークを含む、フルOneSignal SDKを含む10個の分析フレームワークが含まれていました[2]。GPSパイプラインは、フォアグラウンドで4.5分ごと、バックグラウンドで9.5分ごとに正確な座標をポーリングし、すべてをOneSignalの商用サーバーに同期していました。OneSignalのサーバー応答内のブーリアンフラグにより、アプリの更新やAppleのレビューなしに、リモートでGPS追跡を有効または無効にすることができました。Exodus Privacyの監査では、3つの埋め込みトラッカーが特定され、そのうちの1つはHuawei Mobile Services Coreでした[3]。アプリのプライバシーポリシーは、2025年1月20日に最後に更新されましたが、GPS追跡、OneSignal、またはバックグラウンドデータ収集については一切言及されていません。アプリのほぼすべての機能はwhitehouse.govで利用可能です。アプリのユニークな追加機能は、プッシュ通知、大統領への事前入力済みテキストメッセージ、およびICEのヒントボタン（ice.govでも利用可能）です。実際に大規模に追加されたのは監視パイプラインでした。アプリのネットワークリクエストの77%はwhitehouse.govではなく第三者に行きます。 アプリに埋め込まれたソフトウェア ほとんどの人は、アプリを単一の会社が構築した製品だと考えています。実際には、平均的なアプリは、それぞれ独自のデータ収集パイプラインと商業的インセンティブを持つ数十のサードパーティ製ソフトウェアパッケージの薄いラッパーです。アプリに位置情報へのアクセス許可を与えると、そのアプリに埋め込まれたすべてのパッケージがその許可を継承します。単一のパッケージが数百のアプリに表示され、数百万人の位置情報データを単一のアグリゲーターに供給する可能性があります。2025年1月、ハッカーがGravy Analyticsを侵害し、デート、フィットネス、ゲーム、ヘルスアプリなど、3,455のアプリから収集された約3000万件の位置情報レコードを漏洩しました[4]。その後、FTCはGravy Analyticsがアメリカ人の位置情報データを販売することを禁止しましたが[5]、その時にはデータはすでにサイバー犯罪フォーラムに出回っていました。別のケースでは、Googleは、ユーザーが位置情報追跡を明示的に無効にしていたにもかかわらず、位置情報データを収集し続けたとして、40州からの請求を解決するために3億9150万ドルを支払いました[6]。 なぜ誰もが気にかけるべきなのか 政府は最大の購入者の一部です。軍や諜報機関は、祈りアプリ、デートアプリ、フィットネストラッカーから位置情報データを購入しています[7]。移民執行機関は、人々を見つけて拘留するためにそれを使用します。警察署は、令状の要件を完全に回避して、容疑者、抗議者、および地域全体を監視するためにそれらを購入します[8]。裁判所は、政治集会、学校理事会会議、または銃器ショーにいたすべてのデバイスの記録を要求する「ジオフェンス」命令を発行し、実際の容疑者と一緒にすべての人を巻き込んでいます[9]。ロー対ウェイド判決が覆された後、法執行機関は、中絶クリニックへの旅行を追跡するために位置情報データを使用しました[10]。これらのいずれも裁判所の命令を必要としませんでした。なぜなら、データは商業的に入手可能だったからです。政府だけではありません。雇用主は労働者を監視するために位置情報データを購入します。ストーカーや虐待的なパートナーは、Life360のような家族追跡アプリを悪用します。保険会社、家主、広告主も同じ市場に参加しています。データブローカーは、薬物依存症クリニックを訪れる人々、特定の教会に出席する人々、銃器店や射撃場に行く人々といった機密性の高いカテゴリでソートされた情報を販売しています[11]。中絶クリニックに誰かを追跡するのと同じデータが、銃器販売店に誰かを追跡し、将来の政権が法律を一つも通過せずに非公式な銃所有者登録簿を作成するためにそれを使用することを妨げるものは何もありません。外国の敵対者がそれを購入することを妨げるものもありません。中国、ロシア、または任意の国家が、米国の企業に販売するのと同じブローカーを通じてアメリカの位置情報データを購入できます[12]。米国では、この種のデータを購入、販売、または武器化することに事実上制限はありません。包括的な連邦プライバシー法はありません。そして、それはすぐにそうなる可能性も低いです。私たちができる最善のことは、最初に共有するデータを最小限に抑えることです。 ウェブサイトにはできないこと、アプリができること 更新（2026年5月22日）：このセクションは、これらの機能の多くを可能にするブラウザAPIの設計に貢献したAlex Russellからの修正で更新されました。彼のProject Fuguでの仕事は、ユーザーを管理下に置きながら、ネイティブアプリとウェブのギャップを埋める上で極めて重要でした。この記事をより正確にしてくれたAlexに感謝します。彼の仕事とインプットは非常に価値があります。 ウェブサイトではなくアプリを使用する主な理由は、各プラットフォームがあなたの知識なしに技術的に何を実行できるかという点にあります。 | Capability | Native App | Website / PWA | |---|---|---| | Background location tracking | Yes, can poll GPS continuously | No | | Run at device startup | Yes | Yes (PWA, with user permission, never in background) | | Access biometric hardware | Yes | Limited (WebAuthn, user initiated) | | Modify or delete device storage | Yes | Limited (File System Access API, explicit user permission per file/folder) | | Embed invisible third-party software | Yes, all inherit granted permissions | No, scripts visible in page source | | Transmit data before consent prompt | Yes (common with third-party software) | Restricted by browser policies | | Push notifications while closed | Yes | Yes (PWA, user opt in required) | | Access contacts, call logs, SMS | Yes (if permitted) | Contacts only (Contact Picker API, explicit per-selection) | | Prevent phone from sleeping | Yes | Yes (Screen Wake Lock API, with user permission) | | Camera and microphone | Yes (persistent if granted) | Yes (per session, prompted each time) | | Offline functionality | Yes | Yes (via service workers) | パターンは明らかです。ウェブがギャップを埋めたところでは、明示的なユーザー許可、可視的なインジケーター、およびサイレントなバックグラウンド操作なしで行ってきました。ネイティブアプリは、埋め込まれたすべてのサードパーティ製パッケージにわたって権限を継承し、ユーザーの認識なしに動作できます。ブラウザはセキュリティ境界です。ウェブサイトはそれの中で動作します。ネイティブアプリはそれを迂回します。 デフォルトで提供されるアクセスは、深刻な損害を与えるのに十分です アプリをインストールした瞬間から、単一の権限プロンプトを許可する前に、次のことが可能です。 インターネット上の任意のサーバーに到達する IPアドレス、デバイスモデル、OSバージョン、タイムゾーン、国、キャリア、ネットワークタイプを読み取る デバイスに固有の識別子を生成して永続化する デバイス起動時にコードを実行する（Android）およびバックグラウンドで起動する 上記の情報をセッション間で追跡可能な署名に結合してデバイスをフィンガープリントする アプリに埋め込まれたすべてのサードパーティ製ソフトウェアパッケージに、この同じアクセス権をすべて付与する