Avastが購入した中古スマートフォンのうち、

個人情報が完全に消去されていたのはわずか4割。

ユーザ情報は引き続きアクセス可能な状態に

セキュリティソフトのベンダーであるAvast Softwareは、中古ショップで販売されていたスマートフォンに残存する個人情報の復元実験を行い、実験対象となったスマートフォン計20台の6割から個人情報等のデータを復元できたことを発表しました。

今回の実験では、ニューヨーク、パリ、バルセロナ、ベルリンの4都市で5台ずつ、合計20台の中古スマートフォンを購入。その後、一般的に使用される無償のリカバリー・ソフトウェアを使用し、端末上のデータを復元しました。その結果、以前の所有者が削除したと考えられる個人の写真、電子メール、テキストメッセージ、請求書、成人向け動画など、2,000件以上のデータを復元することができました。また、2台のスマートフォンでは、前の所有者がGmailアカウントのログアウトを忘れて売却したため、新たな所有者に前所有者のアカウントの電子メールの閲覧・送信が行われるリスクが存在していました。

Avastの調査チームが、今回購入したスマートフォンから復元したファイルは以下の通りです。

• 写真1,200枚以上
  
• 成人向けの内容の写真200枚以上
  
• 子供の写真149枚
  
• 電子メール／テキストメッセージ300件以上
  
• Googleの検索結果260件以上（うち、成人向けの内容170件）
  
• 前の所有者のID情報2件
  
• 請求書3件
  
• 雇用契約書1件
  
• 成人向け動画1件

Avastは、2年前にも米国のオンラインストアで販売されていた中古スマートフォンを対象に同様の実験を行いました。その際には、個人の写真や電子メール、テキストメッセージが4万件以上も復元されました。今回の調査結果から、残念なことに、技術が進化しているにも関わらず、一般消費者の個人情報保護についての認識が欠如していることが浮き彫りとなりました。

今回の実験対象となったスマートフォンはすべて携帯電話の中古ショップの店舗から直接入手したものです。Avastは、購入前にショップオーナーに、購入するスマートフォンはファクトリーリセットが行われたものであるかを確認しています。各ショップのオーナーたちは、購入するスマートフォンはファクトリーリセットされたものであり、以前の所有者のデータはすべて消去済みであると説明していました。

しかしながら、実験の結果、20台中2割のスマートフォンは、ファクトリーリセットが行われていませんでした。また、ファクトリーリセットが行われていた残りのスマートフォンのうち半分はファクトリーリセット機能に不具合のある旧バージョンのAndroid OSが搭載されていたため、個人情報が残されたままでした。

さらに、前の所有者の一部は、ファクトリーリセットを行うことなく、単にファイルを削除していただけでした。これではファイルを完全に消去したことにはならず、ファイルへの参照情報が削除されたにすぎません。それ以外のスマートフォン所有者は、データの削除やファクトリーリセットを忘れていました。

正規の所有者がスマートフォンを中古ショップに買い取りに出す場合は、スマートフォンからデータを取り除くなど、必要な予防措置を講じると考えられますが、紛失・盗難されたスマートフォンが買い取りに出される場合、こうした措置が取られる可能性は低くなります。紛失・盗難されたスマートフォンの行き着く先は中古ショップです。ショップオーナーには販売前にスマートフォンのデータを適切に消去・リセットする責任がありますが、所有者側にもスマートフォンの紛失・盗難時に備えて、データをリモートで消去可能な盗難対策を講じる必要があるとAvastは考えています。

Avast Softwareのモバイル担当プレジデントであるガガン・シン（Gagan Singh）は、次のように述べています。「最新のAndroid OSを搭載した端末のファクトリーリセット機能は非常に安全ですが、旧バージョンのAndroid OSを搭載した中古スマートフォンについては、未だにリセット機能が完全ではないものが販売されています。当社の調査からは、端末を買い取りに出す前に個人情報を削除し、ファクトリーリセットを実施するのを忘れている方も見受けられます。すべての情報を確実に消去するには、スマートフォンのファイルを上書きする必要があります。これを行わない限り、ユーザの個人情報は、簡単に次のスマートフォン所有者の手に渡ってしまいます。最終的には、端末を買い取りに出す前にすべての個人情報・機密情報をユーザ側で消去する必要があります。スマートフォンを店頭で販売する前に、ショップオーナーが残存データを削除してくれることなど、決して期待してはならないのです。」

ガガン・シンはさらに次のようにも述べています。「スマートフォンを買い取りに出す場合、IDや個人情報も一緒に売ってしまわないように気をつけてください。個人情報が悪意のある人の手に渡ってしまった場合、ID窃盗や脅迫などに使われる可能性があり、個人の生々しい情報がWebにアップロードされる可能性もあります。当然、ユーザの多くは自分の写真などを他人に見られたくはないでしょうから、スマートフォンを買い取りに出す際には、あらかじめ個人情報を端末から確実に消去する必要があります。」

Avastは、中古のAndroid OS端末を買い取りに出そうと考えている一般消費者に対して、無償の盗難対策アプリ、Avast Anti-Theftを提供しており、リモートでのデータの完全消去機能によって、端末上の全ファイルを永続的に消去・上書きし、個人情報を修復不能にすることをお勧めしています。Avast Anti-Theftは、Google Playより無償でダウンロード可能です。