フィットネストラッカーのヒートマップにより、人々の運動習慣や軍事基地の位置が明らかになってしまいました。匿名化されたフィットネスのメタデータであっても、公開されている位置情報と組み合わせると、個人を特定できる詳細が明らかになってしまう可能性があります。

人気のフィットネスアプリ「Strava」は、ユーザーの運動ルートを追跡するために、膨大な量のGPSメタデータを収集しています。 2017年、同社は3兆個のGPSデータポイントに基づくグローバルヒートマップを公開しました。アナリストたちは、この地図が意図せず、シリアやアフガニスタンなどの紛争地域にある米国、ロシア、トルコの軍事基地の配置を明らかにしていることにすぐに気づきました。個人データが直接漏洩したわけではありませんでしたが、集計されたメタデータから、パトロールルート、基地の境界、および作戦区域が明らかになりました。

さらに最近では、2022年に『ル・モンド』紙のジャーナリストたちが、Stravaのソーシャル機能がどのように悪用される可能性があるかを明らかにしました。イスラエル軍の基地付近に偽のランニングルートを設定することで、Stravaの「近くのランナー」機能をトリガーし、公開されたプロフィールからメタデータを収集しました。これにより、彼らはイスラエル兵を特定し、その行動パターンを追跡し、さらには基地外での民間人としての動きまで観察することが可能になりました。

仮名化された取引であっても、メタデータは残ってしまうのです。フォレンジック企業は、取引パターン、IPリーク、ネットワーク分析を利用して、ウォレットを実在する身元に結びつけています。

ビットコインはしばしばプライベートなものとして見られがちですが、その公開台帳にはすべての取引が記録されており、豊富なメタデータの源となっています。 ChainalysisやBitqueryといったフォレンジックツールは、取引パターン、IPリーク、ウォレットの挙動を追跡し、仮名アドレスを実在する身元に結びつけます。法執行機関は、詐欺やマネーロンダリングの捜査にこれらを利用しています。しかし、こうしたツールは、内部告発者や活動家、あるいはプライバシー保護のためにビットコインを利用している人々の身元を暴露してしまう可能性もあります。

学術研究によると、ユーザーの匿名性を解除するには、ごくわずかなメタデータだけで十分であることが示されています。ある事例では、研究者たちがビットコインの取引とIPアドレス、およびウォレットの再利用パターンを照合することで、個人を特定しました。ネットワークレベルのメタデータからも、さらなる脆弱性が生じます。ユーザーのウォレットが既知のエントリノード群に接続したり、ブロードキャスト中にIP情報を漏洩したりした場合、名前ベースの識別子がなくても、そのユーザーを特定されてしまう可能性があります。これにより、新しいウォレットアドレスを使用すれば真の匿名性が得られるという一般的な通説が覆されることになります。