美軍終關廣告追蹤防伊朗窺伺 惟健身紀錄與網絡漏洞仍存洩密隱患

路透社於4日獨家報道，美國國防部近期已陸續對軍方配發的手提電話及電腦設備，緊急叫停內置的廣告追蹤識別功能，原因是憂慮伊朗方面「僅憑信用卡即可購得」美軍人員的實時定位數據，從而對中東駐軍構成精確打擊威脅。事實上，過去十年間，五角大樓內部曾屢次接獲警示，指此類商業數據收集機制恐淪為敵方情報來源，惟當局一直未有果斷應對；直至近期有調查報告明確指出，市面上公開兜售的定位資訊已被用於追蹤部署於中東前線的美軍動態，國防部才迫於壓力著手堵塞漏洞。惟網絡安全專家及國會議員相繼警告，單是關閉廣告追蹤功能，遠不足以徹底消除被定位的風險；更嚴峻的是，大量前線士兵及合約承包商無視軍方禁令，在健身應用程式上持續分享基地內的運動路線，此類「主動洩密」行為反而為伊朗提供了更直接的情報來源，用以策劃針對美軍駐點的空襲行動。

據路透社4日引述美軍各軍種回應報道，相關關閉措施已分階段推行。美國空軍發言人表示，約兩個月前已全面停用軍用手機及電腦上的流動廣告識別碼（MAID）；特種作戰司令部則指，近期已於所有安裝Windows系統的流動裝置上禁用該功能；陸軍方面稱，Windows電腦數年前已不再使用MAID，而採用安卓及蘋果系統的智能設備，則「至少自今年2月起」已將廣告追蹤預設為關閉狀態；至於在對伊朗軍事行動中肩負主力角色的海軍，亦確認已在其軍方設備上執行相關設定，惟未有透露具體生效時間。

每部智能流動裝置均擁有一組獨一無二的MAID，廣告商藉此識別碼可跨應用程式追蹤用戶的瀏覽習慣，並同時獲取裝置所處的地理位置。這些原始數據其後會被數據經紀商匯總、清洗並轉售予第三方買家——意味只要伊朗方面願意付款，理論上「用信用卡就能買到」美軍人員的活動軌跡。值得留意的是，美軍中央司令部今年4月曾向國會提交文件，承認已接獲多份威脅評估報告，內容均指向敵對勢力正利用公開市場上的商業定位數據，對美軍人員進行針對性的監視乃至預謀襲擊。

然而，關閉廣告識別碼僅屬治標之策。報道引述消息指，五角大樓自2016年起已至少三次接獲內部研究警告，指出商業定位數據的洩密風險覆蓋全球美軍據點，惟多年來未見系統性修補。直至近期美伊戰事升溫，此項漏洞再度成為華府焦點，俄勒岡州民主黨參議員懷登及北卡羅來納州共和黨眾議員哈靈根等跨黨派國會成員，近日聯名致函國防部，嚴厲批評其拖延十年仍未能建立有效防護機制。懷登雖對軍方最終行動表示肯定，但直言「此舉僅能減低部分風險，遠未達至安全水平」。獨立網絡安全專家補充解釋，即使MAID遭停用，攻擊者仍可透過收集設備的硬件指紋、網絡協議特徵，或將Wi-Fi熱點定位數據與開放源碼情報交叉比對，從而推算用戶的精確位置，故關閉廣告追蹤的實際防護成效相當有限。

此外，《金融時報》早前曾披露，伊朗政府似乎正利用電信網絡中老舊的漫遊協議漏洞（即「SS7」信令系統），向中東地區的電信營運商發送大量定位查詢請求，試圖攔截並鎖定美國用戶的手機位置。報道指出，伊朗多家電訊商在海灣各國均簽有漫遊合約，具備合法跨境發出此類請求的技術資格，意味美軍即便關閉廣告追蹤，仍難以擺脫來自電信層級的定位威脅。

更令人擔憂的是，個人健身應用程式帶來的洩密渠道似乎比官方設備更難防範。美國媒體5日跟進分析稱，大量駐守中東前線的美軍士兵及承包商，其私人智能手錶及手機上所安裝的運動記錄軟件，正成為伊朗情報部門的「免費線人」。儘管五角大樓早在2018年已明文禁止軍方人員在戰區內使用此類軟件的定位分享功能，但英國天空新聞台於今年8月發布的調查報告卻揭露，超過1,300名身處中東美軍基地內的人員，仍在Strava平台上公開其跑步時間、路線及配速等數據。這些看似平凡的健身日誌，實則清晰反映了基地內人員的日常調度、巡邏規律及緊急撤離後的臨時落腳點。報告舉出兩個實例：一名美國海軍合約承包商長期在巴林某基地內「打卡」運動，美伊開戰後，他與同僚轉移至當地一家酒店，並隨即上傳在酒店周邊跑步的紀錄；數日後，該酒店及原基地雙雙遭遇空襲。另在約旦穆沃費格薩勒提空軍基地，士兵們上傳的跑步路線精確顯示他們集中聚居於東側營房；7月17日，伊朗針對該區域發動導彈打擊，造成三名美軍士兵喪生。分析認為，此類「被動主動」的數據洩露，遠比廣告追蹤更難察覺，亦無法單靠關閉MAID解決，軍方必須從人員紀律與源頭數據管制上重新審視其安全政策。