ファイルを開けないアプリが、他人の操作を推測できる理由

ファイルの「変更があった」という通知は、ファイルそのものより無害に思える。ところが、通知に含まれるファイル名、パス、発生時刻を重ね合わせると、何を読んだかは分からなくても、何をしていたかを推測できる。オーストリアのグラーツ工科大学の研究者らは、Linux、Android、Windows、macOSのファイル通知に、この種の情報漏えいにつながる経路があることを示した。想定される観測者は、同じ端末上で動く、特別な権限を持たないアプリやユーザーだ。620

通知だけで、なぜ分かるのか

ファイル通知は本来、ソフトウェアがファイルのアクセスや変更に反応するための仕組みだ。Linuxのinotify、その仕組みを利用するAndroidのFileObserver、WindowsのReadDirectoryChangesW、macOSのFSEventsなどがある。報道ではそれぞれ2005年、2008年、2000年、2007年からの仕組みとされるが、これらは記事に記載された年代であり、各機能の初登場日を別途検証したものではない。317

重要なのは、ファイルを読む権限と、そのファイルに関する出来事を知ることが必ずしも同じではない点だ。通知から内容そのものは読めない。それでも、イベントの種類や発生間隔は行動の手がかりになる。Androidの公式資料も、FileObserverは端末上の「どのプロセス」によるアクセスや変更でもイベントを報告し得ると説明している。ただし、監視できる場所や得られる情報は仕組みと条件によって異なり、「どのアプリでも全ファイルを監視できる」という意味ではない。1720

実験で見えた行動の手がかり

• Linux――キー入力の間隔： ディレクトリへの監視を使い、対象ファイルの読み取り権限がなくても、キーを打つ間隔を推測できた。7人を対象にしたローカル実験では、キー入力活動の検出について93.1～100％という結果が報告されている。これは入力された文字を直接復元したという結果ではない。74
• Windows――閲覧先の推測： Firefoxを使った実験では、訪問先のサイト名を含むディレクトリが手がかりになった。1,000サイトを対象とした分類結果は**F1スコア97.8％**と報告されている。F1スコアは分類性能を示す指標であり、単に「正解率97.8％」と言い換えるのは正確ではない。8
• Android――メディアの動き： WhatsAppのメディアに関するイベントが漏れ得ると報じられている。ここで示されているのは、通知から活動を推測できるリスクであり、写真・動画・文書の中身を取得したという主張ではない。1017
• macOS――同種の漏えい： 研究者らはmacOSでもファイル通知のメタデータ漏えいを指摘した。ただし、提供された資料の抜粋からは、LinuxやWindowsの例に相当する具体的な実験内容や性能値までは確認できない。620

Linuxの修正で、すべて防げるわけではない

LinuxのCVE-2025-68788は、デバイスファイルなどの「特殊ファイル」に関するアクセス・変更通知の問題だ。親ディレクトリにアクセスできる観測者が、その中にある、読み取れないファイルのイベントを受け取れる場合があった。カーネルの修正は、こうした特殊ファイルのACCESSとMODIFYイベントが親ディレクトリの監視者に届かないようにするものだ。ファイル通知を通じたあらゆる情報漏えいを防ぐ修正ではない。1112

この研究が問うのは、ファイルの中身だけを保護すれば十分か、という点だ。通知を受け取る権限を考える際には、通知そのものが何を明かすかも考慮する必要がある。論文は、2026年11月15～19日にオランダ・ハーグで開催予定のセキュリティー国際会議「ACM CCS 2026」の論文として掲載されている。なお、米サイバーセキュリティー・インフラセキュリティー庁（CISA）が2026年6月に記録した当該Linux脆弱性の悪用状況は「なし」だが、それをもって関連するサイドチャネル攻撃が過去に一度も使われていないと証明できるわけではない。61