高德地圖在台爆紅藏資安疑慮：《報導者》實測每 3 秒回傳位置資訊，暗藏可追蹤代碼
中國導航軟體「高德地圖」今年 4 月底因紅綠燈倒數、車道級導航、AI 語音助理等功能在台灣爆紅，迅速攻上 App Store 與 Google Play 下載排行榜。不少使用者認為，高德地圖在台北市區的導航體驗甚至優於 Google 地圖。
然而，便利功能背後，這款由阿里巴巴集團旗下公司營運的導航 App，究竟蒐集了多少台灣使用者資料？資料又被傳往哪裡？
《報導者》近日進行獨家測試，使用相同系統、相同路線與相同網路環境，同步監測高德地圖、Google 地圖與台灣國產導航軟體「導航王 3D」的資料傳輸行為。結果發現，高德地圖平均每 3 秒就向中國境內伺服器回傳一次資料，遠高於 Google 地圖約 30 秒一次、導航王 3D 約 22 分鐘一次的傳輸頻率。
廣告 - 內文未完請往下捲動
更值得注意的是，高德地圖封包中出現一組名為「CAID」的固定代碼。這組代碼會綁定手機裝置，即使刪除 App 後重新安裝仍不會改變，只有將手機格式化後才會重新產生。報導指出，這類技術形態類似「裝置指紋」（Device Fingerprint），可能被用來追蹤特定裝置與使用者行為。
高德地圖平均每 3 秒回傳一次資料，伺服器全位於中國阿里雲
《報導者》測試團隊使用三支格式化後的空白 iPhone，分別安裝高德地圖、Google 地圖與導航王 3D，並以筆記型電腦作為中繼站，記錄三款 App 與伺服器之間的連線頻率、流量與封包內容。
測試路線從台北市中山區出發，沿途經過國防部外圍、松山機場、松山指揮部周邊、法務部調查局台北市調查處、空軍作戰指揮部附近，最後抵達總統府周邊的博愛特區。
結果顯示，高德地圖在近 90 分鐘車程中，平均每 3 秒上傳一次資料。Google 地圖約每 30 秒上傳一次，導航王 3D 則約 22 分鐘才上傳一次。
三款軟體都會蒐集 GPS 位置等導航所需資料，但《報導者》指出，高德地圖上傳內容不只包含位置，還包括氣壓計、方向等感測器資訊；Google 地圖與導航王 3D 則主要上傳必要 GPS 位置。伺服器位置方面，Google 地圖與導航王 3D 連線至台灣、日本或新加坡伺服器，高德地圖則全數連線至中國杭州、上海、南京等地的阿里雲伺服器。
高德地圖最頻繁上傳資料的區域，包含台北市松山機場、總統府、基隆路等地。不過《報導者》也說明，受限於技術條件，目前無法進一步確認上傳頻率是否與車速、壅塞程度或特定路段有關。
測試過程中，《報導者》團隊也發現，高德地圖對台灣部分行政與軍事單位的圖資標示相當特殊。
團隊沿途經過多個可在 Google 地圖查詢到正門位置的行政單位，但這些地點在高德地圖上大多查無此地。唯一例外是總統府，高德地圖以簡體字標示為「台湾地区领导人办公场所」。
封包出現 CAID 固定代碼，刪除 App 仍不消失
《報導者》進一步分析高德地圖封包後，發現其中出現名為「CAID」的固定代碼。這組代碼會綁定手機出現，即使移除高德地圖再重新安裝，在本次測試條件下仍維持不變，只有在裝置格式化之後才會產生新代碼。
《報導者》詢問多名工程師並比對技術文件後，判斷 CAID 應代表「CAA Advertising ID」。該技術由中國信息通信研究院與中國廣告協會共同研發，被認為是為了規避 Apple iOS 隱私規範而設計的廣告追蹤識別碼。
2021 年，《金融時報》曾報導，騰訊、字節跳動等中國科技公司疑似參與 CAID 測試。中國廣告協會則曾聲稱，CAID 具備匿名化、不蒐集隱私資料、加密結果不可逆等防護措施。
然而，《報導者》的測試顯示，這組 CAID 不只出現在高德地圖封包中。團隊在格式化手機後，同時安裝高德地圖、百度搜尋與淘寶，並再次抓取封包，結果在「百度搜尋」封包中解析出與高德地圖完全相同的 CAID。
這代表若有心人士能從後台取得這組共同代碼，理論上可能追蹤同一支手機在不同 App 上的數位足跡，進一步拼湊出使用者身分、移動路徑與生活習慣。不過《報導者》也強調，目前沒有證據顯示高德地圖與百度搜尋曾實際串接這些資料。
與 Apple、Google 廣告 ID 最大差異：CAID 難以手動關閉或重置
一般來說，商業 App 內建廣告追蹤碼並非罕見。Apple 有 IDFA，Google 有 GAID／AAID，用於廣告投放與使用行為分析。
但《報導者》指出，Apple 的 IDFA 預設關閉，必須經使用者同意才可啟用；Google 的 GAID 雖然預設開啟，但使用者可以手動關閉或重置。相較之下，高德地圖封包中的 CAID 在未經使用者明確同意下出現，且一般使用者難以手動刪除或重置。
這意味著，即使使用者刪除高德地圖後重新安裝，CAID 仍可能維持不變，使裝置具備可追蹤性。
台灣地圖廠商勤崴國際科技副總經理林映帆接受《報導者》訪問時表示，路況預測其實不需要辨認「是哪一支手機」回傳資料，只要同一地點有複數訊號即可判斷車流狀況。她指出，導航王每次上傳資料都是隨機亂碼，後台無法辨認第一次與第二次上傳是否來自同一支手機。
她強調：「我根本不必知道是哪一個人上傳。」
高德隱私政策允許資料提供給中國關聯公司與合作夥伴
高德地圖「基本功能隱私政策（境外版）」提到，基於提供服務、安全保障與其他目的，可能需要向位於中國、使用者所在地的關聯公司、服務提供商與合作夥伴傳輸使用者個人資訊。
這些個人資訊可能包含姓名、手機號碼、身分、位置與生活相關瀏覽紀錄。
相較之下，Google 隱私政策原則上不主動向廣告客戶分享可識別個人資訊，除非使用者主動要求分享；使用者也可查看、管理第三方名單。
《報導者》分析認為，高德地圖與 Google 地圖的最大差異在於，Google 預設不主動向第三方分享，可由使用者管理；高德地圖則在隱私政策中保留向第三方傳輸個資的空間。
如果高德地圖每 3 秒回傳一次位置資訊，加上 CAID 這類固定追蹤碼，兩者結合後，使用者的移動路徑與行為模式被重建的風險將明顯提高。
國安局、數發部先前已示警高德地圖風險
高德地圖在台灣爆紅後，政府部門也陸續表達疑慮。
今年 5 月初，國安局局長蔡明彥赴立法院備詢時指出，高德地圖可能收集使用者通訊錄、通話內容、即時影音視訊，並回傳中國資料庫。
數位發展部也在 5 月 27 日公布檢測結果，指出高德地圖在 iOS 裝置上有 8 項風險行為，包括要求存取與核心功能無關的權限、讀取使用者裝置識別碼等；若安裝於 Android 裝置，還會在關閉狀態下對外傳輸資料。
今年 4 月 23 日，數發部已宣布高德地圖屬於「危害國家資通安全產品」，依《資通安全管理法》禁止公務機關使用。
不過，《資通安全管理法》主要規範政府機關與關鍵基礎設施，並不能限制一般民眾下載使用。因此，高德地圖是否涉及個資跨境傳輸、是否應由主管機關進一步處理，仍需回到《個人資料保護法》討論。
中國法律要求企業配合情報工作，資料風險不只在商業用途
高德地圖的資安爭議，核心不只在於商業 App 蒐集資料，而是資料最終落入中國企業與中國境內伺服器後，可能面對中國法律體系下的政府取用風險。
國防安全研究所副研究員曾怡碩指出，所有商業軟體都有建構資料庫與分析使用者行為的需求，導航 App 更是「愈多人用，愈好用」。問題在於資料如何被保護，以及誰有權取用資料庫。
曾怡碩強調，「企業擁有資料」不等於政府持續監看所有資料，但中國多部法律賦予政府取用民間資料的權限。換言之，當中共想看的時候，就可以看。
中國《國家情報法》第 7 條規定，任何組織和公民都應依法支持、協助與配合國家情報工作；第 14 條也規定，國家情報機構可以要求機關、組織和公民提供必要支持與協助。
中國《數據安全法》第 35 條則規定，因維護國家安全或偵查犯罪需要調取數據時，有關組織與個人應予以配合。《網路安全法》也要求網路營運者為公安機關、國家安全機關依法維護國家安全活動提供技術支持與協助。
也就是說，即使 CAID 原本是商業廣告代碼，只要資料儲存在中國境內，中國政府在法律上仍可能要求企業配合提供資料。
位置資料具戰略價值，可描繪人流、官員行程與關鍵設施風險
《報導者》訪問多位專家後指出，目前仍無法斷言高德地圖一定構成國安風險，也沒有證據顯示高德地圖已侵害台灣使用者個資。然而，若一款導航 App 能長期描繪特定使用者的移動路徑，其潛在國安價值不可忽視。
資深政治記者、軍事作家李志德表示：「導航很好用，導航有國安風險，這兩件事其實同時存在。」
他指出，一般民眾在使用數位產品時，只要信用卡資料或銀行密碼沒有外洩，往往不會太在意資安問題。但使用高德地圖時，使用者等同隨時替它修正台灣圖資。
李志德認為，若高德地圖能精準辨認台灣巷弄與使用者輪廓，可能降低中國對台進行灰色地帶襲擾的難度。例如鎖定政府官員行程，或分析關鍵基礎設施周邊固定塞車時段，以判斷軍警消難以增援的時間點。
他舉例，若某營區門口紅綠燈在特定時間經常改變秒數，是否可能進一步推算將領進出規律？若兩岸進入戰爭狀態，解放軍也可能利用長期校正過的民用圖資規劃路線。
不過，前陸軍航空特戰指揮部副指揮官、退役少將郭力升則指出，軍用地圖與民用地圖格式差異極大，軍用地圖還需要等高線、橋梁承重、隧道高度、河水深度等細節，不能直接由民用導航資料取代。
但郭力升也提醒，無法預測中國情報人員會如何分析資料，對方可能將導航資料與公開資料、政府標案、工程規格等資訊交叉比對。他建議，民眾與政府應「保持戒心，但不要因此驚慌」。
風險提示
加密貨幣投資具有高度風險，其價格可能波動劇烈，您可能損失全部本金。請謹慎評估風險。
