Instagramのフォロワー追跡アプリは安全？ インストール前に確認すべきこと

どのアプリストアでも「unfollowers」と検索すれば、ほとんど同じスクリーンショット、星4つ前後の平均評価、そして一つの共通点を持つアプリが何百件も並びます：最初の画面でInstagramのユーザー名とパスワードを求めてくる、という共通点です。レビューは「役に立った」という人と「1週間後にアカウントがロックされた」という人に真っ二つに割れていて、自分がこれからどちらのグループに入るのかを見分ける分かりやすい方法はありません。

実は、あります。このカテゴリのリスクは、ほぼ全面的にアーキテクチャの問題です — 開発者が善良な人たちかどうかではなく、そのツールが どこで 走るのか、そして 走らせるためにあなたから何を必要としたのか から導かれます。この記事では、この種のツールが内部でどう動いているのか、それぞれの設計があなたのアカウントに何ができて何ができないのか、そしてインストール前にどれに対しても実行できる短い監査を説明します。

私たち自身がこの種のツールを作っている側なので、最後のセクションはそのつもりで読んでください。真ん中の監査は、私たち自身にも当てはめられるように書いてあります。

読み取り専用のInstagramログインは存在しない

これがすべての出発点となる事実であり、そしてほとんどの人が知らない事実でもあります。

Instagramには、サードパーティ向けの一般ユーザー用の権限システムがありません。「このアプリに自分のフォロワーリストの読み取りを許可する」というトグルも、範囲を絞ったトークンも、個人アカウント向けにアクセスの一部だけを与えるOAuthフローも存在しません。公式のGraph APIはありますが、Facebookのアプリ審査を通したビジネスアカウントとクリエイターアカウント向けで、リストではなく集計された指標を返し、誰があなたをフォロー解除したかを公開したことは一度もありません。

つまり、アプリがあなたのフォロワーリストを欲しがるとき、選択肢はちょうど2つしかありません：あなたの認証情報を使って自社サーバー上であなたとしてログインするか、あなたがすでにログインしているブラウザセッション経由でリストを読むか。市場に出ているものはすべて、このどちらかです。この選択がリスクプロファイルのすべてを決め、しかもたいていは最初の画面から見て取れます。

サーバー側ログインが実際に明け渡すもの

アプリ自身のインターフェースにInstagramのパスワードを入力したとき、あなたはフォロワーへの読み取りアクセスを許可したのではありません。すべてを許可したのです。Instagramには、それより狭い範囲を表現する手段がないからです。

アカウントの完全な支配権。 有効なセッションさえあれば、そのサーバーはDMを読んで送り、投稿し、投稿を削除し、フォローし、アンフォローし、いいねし、コメントし、紐づいたメールアドレスとパスワードを変更できます。必ずそうするから、ではありません — 設計上、それを防ぐものが何もないからです。あなたは相手の意図に、永続的に、しかも個別に与えた覚えのない権限を取り消す手段もないまま、依存することになります。

Instagramが検知するために作られたログインパターン。 普段は自宅ネットワークの1台のスマホから接続しているアカウントが、突然、別の国のデータセンターのIPから認証を通す。これはアカウント乗っ取りのシグネチャそのものであり、Instagramのアンチアビューズ機構もそのように扱います。軽い結末はセキュリティ確認と強制パスワードリセット。よくある結末は一時的なアクション制限。悪い結末は、繰り返した末のアカウント喪失です — そしてこの3つはいずれも、アプリではなく あなた の身に起きることに注意してください。

二要素認証では塞げません。 永続的なセッションを必要とするアプリは、セットアップ中に2FAの確認を突破させ、その結果できたセッションを保持します。第二の要素が守ったのはログインという出来事であって、そのあとセッションに何ができるかを制限するものではありません。

あなたの名義で静かに行われる活動。 このニッチで繰り返し見られるパターンがあります：無料ティアは「ただ追跡するだけ」で、有料のインフラは同じセッションを密かに使って、別の顧客のためのフォローやコメントスパムを走らせるのです。その代償を払うのはあなたのアカウントの評判で、しかもあなたはその操作を目にすることがありません。

いずれ漏洩する認証情報データベース。 あなたのInstagramのパスワードは、他の全員のものと並んで置かれ、侵害されるか、運営が変わったときに静かに売られるのを待っています。そのパスワードをどこか別の場所で使い回していれば — 多くの人はそうです — 被害範囲はInstagramの外にまで広がります。

これらのどれ一つとして、開発者が悪意を持っていることを前提にしていません。必要なのは、彼らが一度うっかりすること、あるいはもっと良心の薄い誰かに買収されることだけで、このカテゴリではそれが絶えず起きています。この種のアプリは何世代もまるごとMetaにBANされ、そして数週間のうちに新しい名前で再登場してきました。

もう一つの設計：すでにあるセッションを読む

ブラウザ拡張機能は、この構図をひっくり返します。ログインはいつもどおりinstagram.com上で行われます。拡張機能はあなた自身のブラウザの中で走り、すでにそこにあるセッション経由でフォロワーリストを読みます — Instagramがすでにあなたに向けて描画しているのと同じデータを、同じブラウザから、同じIPでリクエストするのです。

渡すパスワードもなく、見知らぬログインもなく、あなたとして振る舞えるサーバーもありません。Instagramから見えるのは、自分のデバイスで自分のフォロワーを眺めているあなた自身です。文字どおり、実際に起きているのがそれだからです。

この特定の問題に対しては、これは本当に優れたアーキテクチャです。とはいえ、健康診断で全項目クリアというわけでもありません。拡張機能には拡張機能なりのリスクがあり、この記事の正直な版はそれを述べておく必要があります：

• 拡張機能の権限は広い。 あるサイトへのアクセス権を持つ拡張機能は、そのサイトで開くすべてのページを読み、書き換えられます。アカウント乗っ取りよりは狭い範囲ですが、多くの人が想定しているよりは広いのです。
• 拡張機能は売られる。 人気があって無害だった拡張機能の運営が別の手に渡り、新しい所有者がアフィリエイトリンクを注入したり閲覧データを外部に送ったりするアップデートを出す。これはよく記録されているパターンで、自動更新がある以上、それは静かに降ってきます。
• ブラウザはアカウントのサンドボックスではない。 拡張機能がinstagram.com上で動作できるということは、そこで操作を実行できるということです。あなたを守っているのは、それらの操作が自分のブラウザの中で見えること、そして自分で手作業したときと同じレート制限に縛られていることであって、操作が不可能だからではありません。
• 読むのは安全、動作させるのは別問題。 自分のフォロワーリストをパースすることのリスクはほぼゼロです。数百件のフォローやアンフォローを自動化することはそうではなく、それはどのツールがやっても同じで、アーキテクチャでは変わりません。数字はInstagramのフォロー上限にあります。

正直にまとめると：サーバー側ログインはあなたのアカウントを他人の手に置き、拡張機能はあなたのブラウザに1つのコードを置きます。後者のほうが小さく、検証しやすい面ですが、それでも「面」であることに変わりはありません。

このカテゴリのどんなツールにも使える5分の監査

何かをインストールする前に、これを実行してください。私たちのツールも含めて、です。

1. Instagramのパスワードを求めてきますか？ ログイン画面がinstagram.com以外のどこかにあるなら、そこでやめてください。サードパーティがあなたの認証情報を保持する正当な理由はなく、その取引に見合う機能もありません。この一問だけで、このカテゴリの大半がふるい落とされます。

2. 作業はどこで走りますか？ 「スマホの電源が入っていなくてもフォロワーを追跡」という宣伝文句は、サーバーがあなたとしてログインしている、という意味です。それはボーナス機能ではなく、開示事項です。あなたがパソコンの前にいるときだけ動くツールは、作業があなたのブラウザで走っていると告げているのです。

3. 説明文ではなく、権限を読む。 Chromeウェブストアでは、インストール前に権限の項目を展開してください。Instagram向けのツールなら、欲しがるべきなのはinstagram.comへのアクセスです。すべての サイトへのアクセスを欲しがるなら、なぜかを問うてください。モバイルでは、アンフォロー系アプリが連絡先やSMSを要求してくるのは、必要なものを求めている姿ではありません。

4. 開発者と運営年数を確認する。 実際に機能しているウェブサイト、本物のプライバシーポリシー、サポート用の連絡先を持つ実名の企業と、Gmailの連絡先だけでサイトもないストア掲載とでは、まったく別物です。レビューの日付も確認してください：同じ週にまとめて投稿された星5レビューの壁は、買われた壁です。

5. 星1のレビューをとくに読む。 「これを使ったらアカウントがアクション制限された」という声が住んでいるのはそこです。新しい順に並べ替えてください — 1年間は問題なかったのに運営交代後に悪くなったアプリは、平均値ではなく、レビューの論調の急変として現れます。

6. データがどうなるのかを問う。 あなたのフォロワーリストはどこに、どれだけの期間保存され、削除できるのか。この3つの問いに具体的に答えているポリシーは、答えの中身がどうであれ良い兆候です。見つけられないポリシーは、それ自体が一つの答えです。

Gramlensの立ち位置と、私たちが主張できない部分

私たちは2番目のカテゴリにいます。その具体的な中身はこうです。

パスワードは不要で、そもそも尋ねる仕組みがありません。 GramlensはChrome拡張機能です。ブラウザですでに開いているinstagram.comのセッション経由で、フォロワーとフォロー中のリストを読みます。プロダクトの中にパスワード入力欄はなく、私たちのサーバーがあなたとしてInstagramに認証を通すこともありません。Gramlensのアカウントは作成していただきますが、それはサブスクリプションと、保存したスナップショットの同期のためのもので、Instagramのログインではありません。

サイトアクセスはinstagram.comに限定されています。 拡張機能が要求するのはそれだけで、それ以外は一切要求しません。インストール前にChromeウェブストアの掲載ページで確認できます — 上の手順3が意味しているのは、まさにこれです。

パースしたリストは保存され、あなたが削除できます。 スナップショットはGramlensアカウントに同期されるので、ブラウザを再インストールしても履歴は残ります。保持期間はプランによって異なります。削除はアプリの中から行えます。

離席中に走るものは何もありません。 パースもアクションのキューも、開いているInstagramタブのコンテンツスクリプトの中に住んでいます。タブを閉じれば、すべて止まります。これは現実の制約です — 夜間の自動追跡もなく、スマホアプリもありません — そしてそれは、あなたとして振る舞うサーバーが存在しないという性質と同じものの裏返しです。

私たちが主張できないこと。 自動化された活動 — フォロー、アンフォロー、コメント、フォロワーの削除 — は、どのツールが実行してもInstagramの利用規約に反しますし、ペース配分はブロックの確率を下げるだけで、ルールを変えるものではありません。私たち自身の上限はデフォルトで保守的です（下限20秒のランダム化された間隔、強制的な休憩、Instagramが最初にチャレンジを返した時点でのhard-stop — 詳細はActionsガイドにあります）。しかし「保守的」は「安全」ではありませんし、どんなツールについてであれそれと違うことを言ってくる相手は、何かを売っています。

追跡機能そのもの — 誰にフォロー解除されたか、誰がフォローバックしていないか — には、自動化はまったく含まれません。あなたがすでに見られるリストを読むだけです。このプロダクトの中で、アカウントへのリスクが実質的にゼロの部分であり、月間のクォータの範囲内なら無料です。各ビューに何が必要かはアンフォロー追跡機能のページで説明しています。

すでにアプリにパスワードを渡してしまったなら

今日のうちに、この順番でやる価値があります：

1. Instagramのパスワードを変更する。 これで既存のセッションが、そのアプリのものも含めて無効になります。
2. アクティブなセッションを確認する。 設定 → アカウントセンター（Accounts Centre）→ パスワードとセキュリティ → ログインされている場所。見覚えのないものはログアウトさせてください。
3. 二要素認証を有効にする（まだなら）。次にパスワードが漏れたとき、それだけでは足りないようにするためです。
4. 認証済みアプリを見直す。 設定 → ウェブサイトの許可 → アプリとウェブサイト、から使っていないものを削除します。
5. 使い回していた場所すべてで、そのパスワードを変更する。 実際の被害範囲としてはたいていここが最大なのに、みんなが飛ばす部分です。
6. そのアプリのアカウントがあるなら削除し、データの削除を依頼してください。EUと英国ではそれを求める法的権利がありますが、それ以外の地域では丁重なお願いになります。

よくある質問

Instagramのフォロワー追跡アプリはパスワードを盗みますか？

あからさまに盗むものもありますが、より一般的な問題は、設計そのものがあなたのパスワードを保持することを要求している点です。つまり、一度の侵害、一人の悪い採用、一度の運営交代で、機能していたプロダクトが認証情報の流出に変わります。このカテゴリのリスクの本質は悪意ではありません — サーバー側ログインが、盗難までの距離を単一障害点1つ分にしてしまう、という構造です。

フォロワー追跡アプリでアカウントがBANされることはありますか？

BANよりも一般的なのは「ブロック」です。データセンターからのログインはセキュリティ確認を引き起こし、サーバーから走る自動操作はアクション制限を引き起こします。繰り返せば段階的に悪化し、その報いはアプリではなくあなたのアカウントに降りかかります。自分のブラウザから自分のリストを受動的に読むことは、これを引き起こす行為ではありません。

Instagram向けにChrome拡張機能を使うのは安全ですか？

認証情報を渡すよりは安全ですが、リスクゼロではありません。サイトアクセス権を持つ拡張機能は、そのサイトのページを読み、書き換えられますし、拡張機能は所有者が変わってアップデート後に振る舞いが変わることもあります。どのサイトへのアクセスを要求しているか、誰が公開しているか、最近のレビューの論調が変わっていないか — 他のものと同じ監査を行ってください。

二要素認証はこうしたアプリから守ってくれますか？

そのアプリのために確認を突破してしまえば、守ってくれません。2FAが守るのはログインという出来事です。永続的なアクセスを必要とするアプリは、セットアップ中にそれを通させ、その結果できたセッションを保持します。それでも有効にしておく価値はあります — パスワードの漏洩だけでは足りなくなるからです — が、自分から招き入れたアプリに対する防御にはなりません。

パスワードなしで、ツールはどうやってフォロワーを見られるのですか？

あなたがすでにログインしているブラウザの中で走ることによってです。セッションのCookieはすでにそこにあり、データはすでにあなたに向けて描画されており、拡張機能は自分のページ読み込みが生む応答と同じものを読みます。だからこそ拡張機能は、パソコンの前にいてタブを開いているときにしか動きません — その制約と安全性は同じものの表と裏なのです。

パスワードではなく「セッショントークン」だけを求めるアプリはどうですか？

一点だけ良くなっています — パスワードを変更すれば無効化できます — が、それ以外のほとんどの点で同じです。セッショントークンも依然としてアカウントの完全な支配権を与えますし、どこかのサーバーが見慣れないIPからあなたとして振る舞うことに変わりはありません。Cookieの貼り付けを求めるクラウド型の自動化プラットフォームも、ログイン画面が違うだけで同じアーキテクチャです。

---

本記事は法律上・セキュリティ上の助言ではなく、このカテゴリのどのツールもInstagram側の結果を保証することはできません。自動化された操作は、どのツールが実行してもInstagramの利用規約に反します。GramlensはInstagramおよびMetaと提携関係にありません。

TL;DR. Instagramにはサードパーティ向けの読み取り専用の権限が存在しないので、あらゆるフォロワー追跡ツールは、自社サーバーであなたとしてログインするか、あなたがすでに開いているセッションを読むかのどちらかです。前者の設計はアカウントの完全な支配権を与え、Instagramの乗っ取り検知を作動させ、いずれ漏洩するデータベースにあなたのパスワードを置きます。後者はより狭い範囲ですが、それでも監査する価値はあります。何かをインストールする前に：instagram.com以外の場所でInstagramのパスワードを求めてきたら、そこで評価は終わりです。