AIに写真を見せるだけで、かなり高い精度で撮影場所が推測される──そんな調査結果をマカフィーが公開した。

スマートフォンを1人1台持つ時代、撮影した写真をSNSに投稿したり、AIサービスにアップロードしたりすることが当たり前になっている人も多いはず。しかし、どこで撮影したのかを明らかにしなくても、AIが突き止めてしまうというのだ。

こうした情報がサイバー攻撃者に悪用された場合、どのようなリスクにつながるのだろうか。

  • スマートフォンで撮影した何気ない風景写真も、AIにとっては多くの情報を含んでいる可能性がある（イメージ）Photo：PIXTA

    スマートフォンで撮影した何気ない風景写真も、AIにとっては多くの情報を含んでいる可能性がある（イメージ）Photo：PIXTA

AIは写真から場所を推測できる？

McAfee Labsは公開されている画像データセットから収集した21,236枚の旅行写真を用いて調査を行った。検証には、誰でも無料で利用できる大規模AI画像認識モデル「Gemma3 27B」と「Qwen3 VL 30B」が採用された。いずれも特別なアクセス権や独自データ、高度な専門知識は不要だ。

各画像を対象に、自動のプロンプトで、視覚情報のみを基に写真に写っている場所 (都市、国、地域) を特定するよう、AIモデルに指示を出した。

その結果、Gemma3 27Bは、写真の撮影された都市と国を87%の確率で特定し、Qwen3 VL 30Bは91％ 正答率を記録したという。

さらに、都市まで特定できなかった写真も、国はほぼ正しく特定できる結果となった。マカフィーは「詐欺師にとっては、これだけの情報で十分」と指摘している。

AIは何を手掛かりにしているのか

マカフィーは、AI が撮影場所を特定しやすい写真の特徴として、以下を挙げている。

  • 有名なランドマーク、特徴的な風景が写った写真
  • 視覚的な特徴が際立つ人気観光地で撮影された写真
  • 看板や特徴的な道路表示、地域特有の建築物が写っている写真
  • 交通機関や店舗、屋台など、その土地ならではの文化的背景が写っている写真

いずれも、つい撮りたくなってしまう風景といえる。

さらに、マカフィーは技術的な専門知識を持たない社員を対象に、自分の写真を、ChatGPT、Claude、Copilotにアップロードし、その写真の撮影場所を特定するよう尋ねてもらうという検証を行った。

その結果、以下のようなランドマークや人物がない写真についても、ChatGPTはヘイスティングス・オン・ハドソン駅で撮影されたものと特定した。地形や川、植生など、一見すると何気ない景観からも撮影場所を推測しており、人間なら見落としてしまうような特徴もAIは手掛かりとして利用していることがわかる。

  • ChatGPTは写真に写る地形や植生などの視覚情報から、撮影場所を推測した　引用：マカフィー

    ChatGPTは写真に写る地形や植生などの視覚情報から、撮影場所を推測した　引用：マカフィー

撮影場所の特定が詐欺につながる理由

AIが写真から撮影場所を推測できるようになると、SNSに投稿した何気ない写真も、サイバー攻撃者にとって有用な情報源になり得る。

マカフィーによると、攻撃者はAIを使って写真から旅行先や生活圏などを推測し、その情報を基に個人に合わせたフィッシングメールやSMSを作成する可能性があるという。

例えば、「宿泊したホテルからのお知らせ」や「利用した交通機関の料金精算」「近くの店舗のキャンペーン」など、その場所にいた人なら違和感を持ちにくい内容を装ったフィッシングメールやSMSを送り、リンクを開かせたり個人情報を入力させたりする手口が想定される。

また、特に旅行中は慣れない土地やネットワークを利用し、ホテルや航空会社からの連絡も多いため、旅行先が推測されることで、その状況に合わせたフィッシング詐欺やなりすましに悪用される可能性があるとも指摘している。

同社の調査では、日本人の3人に1人以上が旅行関連のサイバー脅威を経験したと回答しており、公衆Wi-Fiの利用や旅行中のリアルタイム投稿なども、攻撃者に利用されるリスクを高める要因になるという。

ただし、こうしたリスクは旅行中に限らない。日常的にSNSへ投稿する写真にも、生活圏や行動範囲を推測する手掛かりが含まれている可能性がある。AIによる画像解析の精度が向上する中、何気なく共有した写真が、思わぬ形で攻撃者に利用される可能性も意識しておきたい。

写真を共有するときに気を付けたいこと

では、こうした写真のSNS共有を行う際には、どんな点に注意すべきだろうか。

マカフィーは、写真をSNSやAIサービスで共有する際は、背景に位置を特定できる情報が写り込んでいないか確認することを勧めている。また、旅行中の予定や現在地をリアルタイムで公開することは避け、宿泊先や交通機関などを装ったメッセージが届いた場合は、送信元やリンク先を慎重に確認するよう呼び掛けている。

また、旅行専用のメールアドレスや別名のメールアドレスという方法もある。旅行の予約やアプリ用に別のメールアドレスを用意すれば、銀行口座やクレジットカードといったお金に関わるアカウントを結び付けて調べることが難しくなる。

AIは写真から人間が気付かないような情報まで読み取れるようになっている。何気なく共有した1枚の写真が、思わぬ形でサイバー攻撃の手掛かりになる可能性があることを意識しておきたい。