(訳者前書き)以下はEFFのウエッブに掲載された17年前の記事の翻訳です。ここで主に批判の対象になっているのはAdobeのFlashクッキーと呼ばれるものです。このFlashクッキーは2020年にサポートを終了し、ほとんどのブラウザでは利用できませんが、Flashクッキーが頻繁に利用されていた2010年前後には、しばしば問題視されていたものだ。たとえば、2011年5月11日の日経XTECHの記事「Flash Playerに新版、「Flashクッキー」をブラウザーから削除可能に」には以下のような説明がある。

Webサイトは、アクセスしたユーザーのFlash Playerに対してFlashクッキーを送信。Flash Playerはそのデータを保存し、そのWebサイトにアクセスした場合のみ、同サイトに送信する。このデータを使えば、ユーザーを識別したり、サイト内での行動を追跡したりできる。

　「Cookie（クッキー）」と同様だが、CookieはWebブラウザーが管理するのに対して、FlashクッキーはFlash Playerが管理する。WebブラウザーでCookieを拒否したり削除したりしても、Flashクッキーは有効なままなので、プライバシーの問題があると専門家などから指摘されていた。

Flashクッキーが広範に利用された背景にあるのは、ネットのユーザーに悟られない手法でその動静を把握したい、というウエッブなどでコンテンツを配信する側の動機があります。こうした動機は珍しいものでもなければインターネットの時代に固有のものでもありません。隠れて情報を収集したがる組織はいつの時代にもありますが、インターネットやコンピュータ技術が支配的な現代では、その規模もその巧妙さも格段にアップしており、私たちの実感や経験ではとうてい把握しえないものになっています。こうした現在の事態を考える上でもこの10数年も前に書かれた記事は参考になります。(としまる 2026/9/6アクセス)

---

セス・シェーン著

2009年9月14日

これは、今日のウェブにおけるユーザー追跡に関する3回シリーズの第1回だ。第2回はこちらから読める。

プライバシー擁護派が、ウェブ閲覧の追跡にクッキーが利用されることについて初めて懸念を表明してから何年も経つが、クッキーは依然としてウェブユーザーにとってのプライバシー問題である。今日、クッキーはGoogleのような広告企業が、サイトや時間を超えてユーザーを追跡し、プロファイルを作成するために用いる主要な仕組みの一つとなっている――多くの場合、何年にもわたって単一の巨大なプロファイルが構築されていくことになる。多くのEFF会員は、この脅威に対処するため、ブラウザのクッキー管理機能を用いて、受け入れるクッキーの種類や保存期間を制限している。

しかし、実際には今日のクッキーの状況はかなり複雑化しており、ユーザーを追跡しようとするサイトには、ユーザーが対応しにくい新しい技術的手段が存在する。従来の「クッキー」とは、1994年にNetscapeのLou MontulliとJohn Giannandreaによって発明されたHTTPクッキーのことだ。しかし今日、多くのブラウザは、クッキーと同様の追跡挙動を持つ様々な機能を実装している。これらは、はるかに馴染みが薄く、気づきにくく、多くの場合制御も難しい仕組みだ。

今日私たちが直面している幅広いクッキー技術に関する優れた概説として、iSEC Partnersのキャサリン・マッキンリーが昨年発表した記事『Cleaning Up After Cookies』がある。マッキンリーは、従来のHTTPクッキーの枠を超えた5つのクッキーのような追跡手法について述べ、ブラウザがこうした多様な追跡に対して、ユーザーが実質的な制御を行えるようにできていないことが多いことを説明している。

これらの追跡手法の中で最も顕著なのは、いわゆる「Flashクッキー」だ。これは、Webページに埋め込まれたFlashアプリケーションに代わって、Adobe Flashプラグインによって管理される一種のクッキーである。1 これらのクッキーファイルは、ブラウザのコントロールの及ばない場所に保存される。Webブラウザでは、Flashアプリケーションによって保存されたクッキーをユーザーが直接閲覧したり削除したりすることはできず、そのようなクッキーが設定されてもユーザーへの通知はなく、これらのクッキーには有効期限が一切ない。Flashクッキーは、従来のHTTPクッキーと同様にあらゆる方法でユーザーを追跡することができ、ユーザーがFlashアプリケーションを含むページにアクセスするたびに保存または取得される。これらの問題の一部は、オープンソースのFlash実装であるGnashの開発者であるロブ・サヴォイによって指摘されている。

先月、アシュカン・ソルタニ率いるカリフォルニア大学バークレー校の研究者グループは、この技術と、現在インターネットユーザーを追跡するためにそれがどのように利用されているかについて、「Flashクッキーとプライバシー」という研究論文を発表した。この研究によると、Flashクッキーは人気サイトによって広範に利用されており、ほとんどのユーザーはそれらの存在や削除方法を知らない可能性が高いことが判明した。また、少なくとも1つの主要サイトが、広告業界自身のトラッキングに関する規則に違反する形でFlashクッキーを利用していることも明らかになった。

さらに、バークレーの研究者たちは、FlashクッキーがユーザーのHTTPクッキーポリシーを意図的に回避するために頻繁に利用されていることを突き止めた。つまり、サイト側が意図的に同じ情報をHTTPクッキーとFlashクッキーの両方に重複して保存している場合があるのだ。ユーザーがHTTPクッキーを削除しても、サイト側はFlashクッキーとして保存されていたコピーからそれを「再生成」してしまう可能性がある！サイト運営者は、多くのユーザーがクッキーによる追跡を望んでいないことを承知しつつも、そうしたユーザーのプライバシー設定を迂回する方法を見出したことは明らかだ。

こうしたプライバシーを侵害するマーケティング手法には、より厳しい監視が必要だ。私たちが、ソルタニとその共同研究者がFlashクッキーについて示したように、マッキンリーが述べた他の種類のクッキーもユーザー追跡に利用されているかどうかを明らかにするには、さらなる調査が必要だ。Flashクッキーが、次世代のユーザー追跡という氷山の一角に過ぎないことが判明する可能性は十分にある。

一方、ブラウザ開発者は、これらの手法のいずれを用いて追跡されているかについて、ユーザーが理解し制御できるよう、さらなる対策を講じるべきだ。残念ながら、AdobeはFlashクッキーに関してこの対応を極めて困難にしている。Flashクッキーはブラウザの管理範囲外に保存される上、公式のFlashプラグインはオープンソースではないため、ユーザー自身で簡単に修正することはできないからだ。Firefox用プラグイン「BetterPrivacy」は、ハードドライブ上のFlashクッキーを検出して定期的に削除することでこの問題に対処しようとしているが、Adobe側も自社のクッキーシステムがブラウザのプライバシー設定に従うよう保証することで、改善に貢献できるはずだ。2

明らかに、これらの次世代クッキーを、ユーザーが通常のHTTPクッキーで体験しているのと同等の可視性と制御レベルにまで引き上げるには、まだ多くの課題が残されている。

• 1. AdobeはFlashクッキーをローカル共有オブジェクトと呼んでいる。Flashクッキー以外にも、マッキンリーが特定したクッキーのようなオブジェクトには、HTML5のDOMストレージ、Microsoft Silverlightのクッキー、Microsoft Internet Explorerのユーザーデータ永続化、およびGoogle Gearsのデータがある。
• 2. Adobeは現在、Flashクッキーを管理するためのインターフェースを提供しているが、ほとんどのユーザーはその存在を知らない。また、これはブラウザのクッキーポリシーとは全く統合されておらず、プライバシーへの影響と同じくらい、Flashクッキーが占有するディスク容量に重点が置かれているようだ。さらに、通常のブラウザやブラウザプラグインが提供するようなクッキーに対する制御機能の一部も備えていない。

https://www.eff.org/deeplinks/2009/09/new-cookie-technologies-harder-see-and-remove-wide