IPアドレスとプライバシー

以下のサイトを見て思ったことをつらつらと。

いわゆるIPアドレス晒しは限られたケースを除けばやるべきではないと思う。IPアドレス晒し=個人情報漏洩ではないし、おそらく違法性もないが、結果として相手のプライバシーを必要以上に晒してしまう可能性がある以上、他の方法で対処できない場合に限るほうがよいと思う。

個人情報はどこまでわかるか

掲示板やチャット等で「お前の住所や電話番号がIPアドレスからわかるぞ」いう脅しを受けた人がいるかもしれませんが、それは嘘です。

そのIPアドレスを誰が使っているかは、その利用しているプロバイダのログから確定することができます。でも、一般人が問い合せをしても、まともなプロバイダであればどの個人であるかを部外者にもらすことはまずありません。
初心者向け:IPアドレスから個人情報はどこまでわかるか?(二月のかもめ。)

基本的にはその通りだが、kanose さんのエントリにもあるように学校や企業などアドレスから組織が特定できる場合は、それまでにその人が残してきた情報を突き合わせると個人が特定される可能性はある。

プロバイダの場合でも、プロバイダによっては都道府県やもう少し狭い範囲までリモートホスト名からわかる場合がある。個人特定に至るにはハードルが高いものの、都道府県レベルでも住所を知られたくない人は注意。

個人情報だけがプライバシーではない

個人情報、個人情報保護法などで問題となるようなリアルな個人を特定可能な情報は、IPアドレスからは容易には得られないが、固定IPアドレスを使用している場合は、あるサイトでの行動と別のサイトでの行動をIPアドレスによって結びつけられ、行動を追跡されうる(固定IDによるトラッキング)。Web 上のトラッキングクッキーやリアル世界のICタグについて問題視されたのはこの意味でのプライバシーだ。

ネット上で匿名で活動している人で、複数のアイデンティティを使い分けることで活動の幅を広げている場合があるが、そういう人は「あの人とあの人は実は同一人物」とバレてしまうと活動に支障が出る。また、それぞれのアイデンティティで別々の人のものとして開示していた情報を組み合わせると個人特定が容易になる場合もある。

直接攻撃の可能性

IPアドレスが人に知られてしまうことで、その相手から直接パソコンに攻撃される可能性はあります。ただし、正しいセキュリティ対策をしていれば防げますので、セキュリティ対策を行ってください。
初心者向け:IPアドレスから個人情報はどこまでわかるか?(二月のかもめ。)

晒されたIPアドレスに外部から接続して何かする、という攻撃は個人の努力(ファイアウォールやセキュリティパッチ等)で大抵は防げるのだが、ウェブサービス脆弱性を利用したXSSCSRFによる相手に踏ませる系の攻撃は可能だ。

もちろんそういう攻撃はIPアドレスを知らなくても常に可能だが、義憤に燃えたはまちちゃんみたいな人が、誤爆を避けつつピンポイントで攻撃するのに特定のIPアドレスからアクセスした場合のみ発動する仕掛けをばらまく(さりげなく自分のサイトに仕込んでおくのもいい)ということが可能になるので、攻撃しやすくなるということはあるだろう。

IPアドレスを晒さざるをえない場合

IPアドレスが会社や学校など、その人の実生活に直接繋がる場合、その情報を匂わせたり、公開したら、脅迫的言動と見る可能性が高くなってくる。ただ、そうした行為が行われた背景として、IPアドレスを記録される側(コメントしてくる者)が、ブログのコメント欄にずっと定期的に現れ、ブログ管理者との間のトラブルになっている時も多く、これに関しては判断が難しい。相手が脅迫的言動をしてきた対抗策としてIPアドレス公開が行われることもあるからだ。
IPアドレスの公開が脅迫的言動と見なされるか?について(ARTIFACT@ハテナ系)

自衛としてのIPアドレス公開というのは確かにある。僕の知る範囲では相手の無知や神経過敏につけこんで、怖がらせて荒らしの行動を萎縮させるために公開することが多いようだ。しかし、相手が maya777 さんや kanose さんが書いた記事を読んで無知や神経過敏が解消されると、その効果が失われてしまう。

自衛目的であっても、効果もないのに相手を傷つけかねない対抗策をとるのは過剰防衛だ。自衛としてのIPアドレス公開で、かつ実効性もあるものというと、どのようなものがあるだろう?

思い当たるのは、あちこちのサイトでデマを振りまいたり、嫌がらせのターゲットになりすましてデタラメを書いて相手の信用を貶めたりするタイプの荒しへの対抗するため、「このIPアドレスから書き込まれたこういう内容はデマです/偽物です」というような宣言をするためにIPアドレスを公開するケース。菊池誠さんに被害を与えた「うま」の例が相当する。

もっとも、なりすましへの対抗なら大抵はIPアドレスの一部で十分(自分の使うアドレスと区別がつけばよい)。なりすまし投稿でなくてもIPアドレスから荒らしと疑われる人が出てくる可能性にまで配慮して全部公開というのもありだが、晒したIPが固定IPでなければ同様の誤爆問題は出てくる。程度としてどちらがマシかは微妙。

他にはどんなケースがあるだろう。パターンはそんなに多くはない気がする。kanose さんのエントリにもあるようにケースバイケースの面があるので、いろいろ事例を集めてまとめると有用かもしれないが、プライバシーの問題だけに事例集めが二次被害をもたらさないようにしないといけない。結構大変かも。

おまけ

僕が大学の研究室のサーバ管理者をやってた1994年から96年にかけては、管理者仲間の間では基本的に管理者にしかわからない情報を外に漏らすのはNGという暗黙のルールがあったように思う。*1僕自身一度 netnews でモメた相手に粘着された時、よその大学で管理者やってる人にメールでぽろっと「あー、またあの人僕のサイト何度もチェックしてるよ」みたいなことを愚痴ってしまって「そういうの他人に漏らすのよくないよ」とたしなめられたことがある。

個人のサイトの場合、大学や企業のシステムにおける管理者と一般ユーザのような力関係が成り立たない(個人サイトにアクセスするのもしないのも自由)ので、サーバ管理者の倫理を個人サイトの管理人にそのまま適用するのは過剰かもしれないが、多くのサイトがアクセスログの情報をルーズに扱うようになり、ユーザがそういう扱いを心配しなきゃならないようになるのは好ましくないとは思う。


*1:全国規模のコミュニティに所属していたわけではないのでどの程度一般的だったのかはわからないが。