Howdy! How can we help you?
(themarkup.org)Blacklightで普段アクセスしているウェブサイトをスキャンしてみたが、その内容は恐ろしいものだった。さて、どうすればいいか？
以下の記事は2020年の古い記事ですが、Blacklightの取り組みを知る上で参考になるため訳出しました。(としまる、2026/8/27アクセス)
2020年9月22日 午前6:00（UTC）
ブラウザを切り替えるか、プライバシー保護用の拡張機能を追加したほうがいいだろう。執筆：アーロン・サンキン
The Markupは最近、無料の即時プライバシー検査ツールであるBlacklightをリリースした。任意のウェブサイトを入力すると、そのサイトを訪問した際にどのように追跡される可能性があるかが明らかになり、データを受け取っている企業の名前が示され、トラッカーが何をしているのかが説明される――中には、マウスの動きを逐一監視したり、キー入力をすべて記録したりするものもある。間違いなく、予想以上に深刻な状況だ。そこで疑問が湧く。これに対して何ができるのだろうか？
一つの選択肢は、ウェブブラウザがプライバシーを確実に保護しているか確認することだ。このガイドでは、ウェブ上で人々を追跡するために使われるさまざまな手法を解説し、主要なブラウザのそれぞれが、それを回避するために何をしているか、あるいは何をしていないかを詳しく説明する。
また、最後に、自分自身を守るために行動を少し変える方法についてのヒントもいくつか紹介する。
あんまり時間がないよ。最低限知っておくべきことは何か？
大丈夫、わかってるよ。忙しいんだね。要約は以下の通りだ：
- Firefox、Brave、Edge、Safariは、世界で最も人気のあるブラウザであるChromeよりも、デフォルトで強力なプライバシー保護機能を備えている。Torは最も安全なブラウザだが、そのせいで多くのサイトがTor上では正しく表示されない。
- Privacy BadgerやGhosteryといったプライバシー保護機能を強化するブラウザ拡張機能を使えば、さらに保護を強化できる。
- より安全なブラウザ設定やプライバシー保護機能を強化する拡張機能を使うと、アクセスしているウェブサイトが意図した通りに動作しなくなることがある。特定のサイトでは、一時的に保護機能を弱める必要があるかもしれない。
- 追跡されても構わない場合もあるだろう――例えば、ソファを探していて、本当に家具の広告を見たい場合などだ。そのような場合は、セキュリティレベルの低いブラウザを使用するか、プライバシー保護拡張機能を無効にすればよい。しかし、サイトで医療情報やクレジットカード番号を入力する場合は、よりセキュリティの高いブラウザや拡張機能を使用すべきだろう。
プライバシーが心配だが、友人からは「どうせ何をしても常に追跡されるのだから、気にする必要はない」と言われている。彼らの言うことは正しいのか？
必ずしもそうではない。
2018年に53種類のウェブブラウザとプライバシー保護拡張機能を対象に行われた分析によると、いずれの場合も、少なくとも1つはトラッカーが利用可能な抜け穴が残っていたことが判明した。しかし、ブラウザのプライバシー保護機能は、広告技術企業にブラウザから漏れるオンライン行動に関するデータの量を確実に制限することができる。
例えば、最近の調査によると、デフォルトでクッキーをブロックするSafariと、ブロックしないChromeでは、広告主が人々について把握している情報に大きな違いがあることが判明した。その結果、Safariユーザーに表示された広告の73％は、おそらくそのブロック機能のため、人々を広告プロファイルと関連付けることができなかったのに対し、GoogleのChromeブラウザユーザーに表示された広告では、ユーザーをプロファイルと関連付けられなかったのはわずか17％にとどまった。
ついでに、ちょっとした豆知識を。クッキーとは、ユーザーを唯一無二に識別するためにデバイスに保存されるデータの一種であり、それを設定した者（訪問しているサイトであっても、何百万ものサイトにクッキーを設定し、その情報を活用して私たち全員のプロファイルを作成するサードパーティのマーケティング企業であっても）のみが読み取ることができる。クッキーの中には便利なものもある。例えば、お気に入りのサイトにアクセスするたびにログインしなくて済むように、ユーザー情報を記憶してくれるものだ。
一部の企業は、クッキーと「ピクセル」と呼ばれる別のトラッカーを組み合わせて使用している。ピクセルとは、ユーザーの行動に関する情報を、そのピクセルの所有者に送信する小さな画像やコード片のことだ。もしピクセルの所有者がユーザーの端末にクッキーも保存している場合、そのページでのユーザーの行動は、企業がすでに作成しているユーザーのプロフィール——過去の閲覧履歴からオフラインでの購入履歴に至るまで——のあらゆる情報と結びつけられてしまう。
ウェブサイトがサードパーティのクッキーの設定を求めてきた際に、「お断りします」と応じるブラウザを使えば、このプロセスを妨げることができる。
クッキーを定期的に削除することも有効だが、次回アクセスする際には、Amazonアカウントや地元の新聞社のサイトなど、一部のサービスで再ログインが必要になる（地元のニュースを応援しよう！）。
では……どのブラウザがクッキーをブロックするのか？
MozillaのFirefox、AppleのSafari、そしてBraveは、いずれもデフォルトでサードパーティのクッキーをブロックしている。
2003年のリリース当時、Safariはクッキーブロック機能を提供した最初の主要なウェブブラウザだった。Safariのプロダクトマーケティング部門に所属するロナク・シャー氏によると、現在ではデフォルトでクッキーとトラッキングピクセルの両方をブロックしているという。
マイクロソフトのEdgeでは、ユーザーは3段階のプライバシー保護レベルから選択できる。ほぼすべての追跡をブロックするものから、そのほとんどを通すものまである。トラッカーをブロックするとサイトが意図した通りに機能しなくなる場合があるため、この機能により、ユーザーは特定のサイトを利用するためにプライバシーをどの程度犠牲にしてもよいかを自分で判断できる。「バランス」モードに設定すると、Edgeは「サイトエンゲージメント」という指標を使用し、サイトの利用頻度を記録する。これにより、頻繁に利用するサイトについてはプライバシー制限を緩和する。これは、定期的に利用するサイトでは、利便性のためにプライバシーを犠牲にしても構わないと考える可能性が高いという前提に基づいている。
Torブラウザはクッキーをブロックしないが、Torプロジェクトのイザベラ・バゲロス事務局長によると、このブラウザの設計上、複数のウェブサイトのセッションを同じユーザーに紐付けることが不可能であるため、使用中にインターネット上で追跡されることはない。Torは一般的に最もプライバシー保護に優れたブラウザと見なされているが、ユーザー追跡に対する許容度が低いため、多くのウェブサイトがTor上では正しく動作しない。
現在、世界中で約70パーセントの人が利用しているGoogleのChromeは、デフォルトでサードパーティCookieを許可している。最新バージョンでは、シークレットモードにおいて自動的にそれらをブロックする。サードパーティCookieをブロックしたいChromeユーザーは、ブラウザのプライバシー設定を変更すればよいと、Googleの広報担当者イライジャ・ラワルは述べた。Googleは、業界が新しい広告ターゲティングの枠組みについて合意できた時点で、サードパーティCookieを完全に廃止する計画だと述べた。
ただし、Chromeにはプライバシー保護用の拡張機能を追加できる。Privacy BadgerやGhosteryのようなトラッカーブロッカーから、uBlock OriginやAdBlock Plusのような広告ブロッカーまで多岐にわたる。これらの拡張機能はいずれも、サイトが第三者に送信するためのデータを要求してきた際、特定の情報要求を拒否する。
クッキーによる追跡を許容したい場合もあるだろうか？
数あるさまざまな種類のクッキーのうち、訪問しているウェブサイトによって設定されるファーストパーティクッキーは、サイトが意図した通りに機能するために必要となる可能性が最も高い（ただし、すべてがそうであるわけではない）。このため、ブラウザではデフォルトでブロックされていない。
ただし、ファーストパーティCookieから収集されたデータは、後にマーケティング会社や広告会社の行動ターゲティングプロファイルに追加される可能性があり、これはサードパーティCookieによる追跡と同様の効果をもたらすことを知っておくべきだ。
Safariの担当者であるシャーは、クロスサイト追跡を減らすため、AppleのブラウザがファーストパーティCookieを1週間後に削除するのはそのためだと述べた。Torは、ブラウザを閉じた瞬間にファーストパーティCookieを削除する。Firefoxは、45日間操作していないサイトのファーストパーティCookieを消去する。
ChromeとBraveは、プライバシー設定ですべてのファーストパーティCookieをブロックするオプションをユーザーに提供している。
最近、Firefoxは「リダイレクトトラッキング」と呼ばれる巧妙な手法をブロックし始めた。これはファーストパーティCookieの抜け穴を利用して、密かにサードパーティCookieを読み込もうとするものだ。
Cookieをブロックしていれば、あらゆるトラッキングから安全だ、ということになるだろうか？
ああ、なんて無邪気な子だ。トラッキングから真に「安全」な人間など、誰もいないのだ。
「フィンガープリント」と呼ばれる手法は、各コンピュータの動作における特異性を悪用して、たとえブラウザがクッキーをブロックしていても、ユーザーを特定する。
フィンガープリントにはさまざまな種類がある。Blacklightは特に「キャンバス・フィンガープリント」と呼ばれる手法を検査しており、これはブラウザに目に見えないテキストを書き込んだり、目に見えない画像を描画させたりするものだ。ブラウザとデバイスの組み合わせごとに、これらの処理の仕方がわずかに異なるため、それによって特定が可能になる。
キャンバス・フィンガープリンティングは、ボットの識別といった無害な目的で利用されることもあるが、ブラウザによるブロック機能の普及により、サードパーティ Cookie がウェブ上でユーザーを追跡する能力が低下していることから、ターゲティング広告への応用も可能となっている。『The Markup』がインターネット上の人気ウェブサイト8万サイトを調査したところ、6％がキャンバス・フィンガープリンティングを使用していることが判明した。
Chromeはキャンバスフィンガープリンティングをブロックしていないが、Googleの広報担当者であるロワルはThe Markupに対し、同社が対応を進めていると語った。
FirefoxとBraveはともに、フィルタリストを用いてキャンバスフィンガープリンティングに対抗している。フィルタリストとは、リスト作成者がプライバシー侵害とみなす活動に関与していると判明しているドメインの登録リストである。FirefoxとBraveは、キャンバスフィンガープリンティングを提供する企業のスクリプトをスキャンし、それらのドメインへの情報送信を拒否する。Braveはさらに、すり抜けてしまう可能性のあるフィンガープリンターに対する追加の保護策として、ユーザーのフィンガープリントの形状をランダム化している。
Tor Browserは2013年から、ウェブサイトがブラウザからフィンガープリントデータを抽出することを困難にする技術を用いて、キャンバスフィンガープリントをブロックしている。Tor Projectの事務局長であるバゲロスは、Mozillaが2017年にこのシステムの改良版をFirefoxに組み込んだと指摘した。
Safariは、各ユーザーのデバイスを可能な限り類似したものに見せることでフィンガープリンティングに対抗している。SafariユーザーのほとんどがApple製デバイスを使用しているのに対し、他のブラウザはより幅広い製品群で動作している可能性が高いため、Appleにとっては他のブラウザメーカーよりもこの対策が容易だ。
マイクロソフトの広報担当者マリア・イトーはThe Markupに対し、Edgeはフィンガープリンティングを「100％の確率で」ブロックしていると語った。
では、極めて不気味な手法についてはどうだろうか。Blacklightによると、私がアクセスしたサイトの一つは、私が利用している間、文字通り私の肩越しに覗き込むように動作してたという。
キーロギングとは、ウェブサイトが、送信ボタンを押す前にテキストフィールドに入力した内容を記録することだ。また、セッションレコーディングという手法もあり、これはウェブサイト上でのすべての操作――マウスの動き、入力した文字、クリック操作のすべて――が記録され、ウェブサイト側でリアルタイムの動画として再生されるものだ。
「サードパーティのリプレイスクリプトによるページコンテンツの収集は、記録の一部として、ページ上に表示された病状、クレジットカード情報、その他の個人情報といった機密情報がサードパーティに漏洩する原因となる可能性がある」と、Mozillaのプライバシーエンジニアであるスティーブ・エングルハートはブログ記事で記している。「これにより、ユーザーはなりすまし、オンライン詐欺、その他の望ましくない行為にさらされる恐れがある。チェックアウトや登録プロセス中のユーザー入力の収集についても同様だ。」
キャンバスフィンガープリンティングと同様に、Firefoxはフィルター リストを使用して、これらの技術の主要プロバイダーへのデータ送信をブロックしている。Braveのシニアプライバシー研究者であるピート・スナイダーは、The Markupへのメールで、Braveがキーロガーやセッションレコーダー、および類似のスクリプトを、プライバシーを保護する代替手段に置き換えるケースがあると述べた。
マイクロソフトの広報担当者であるイトウも、メールでThe Markupに対し、Edgeは「disconnect.meのトラッキング防止リストを使用して、セッションリプレイスクリプトやフィンガープリンティングのような悪意のあるトラッキング手法を特定・ブロックしている」と述べた。
Googleの広報担当者ローワルは、Chromeはセッション記録やキーロギングに対する保護機能を持っていないと述べた。Appleの広報担当者シャーはメールで、Safariはセッションレコーダーを許可していると説明した。これは、セッションレコーダーがサイト運営者にユーザーのページ閲覧方法をより深く理解させ、その結果としてサイトの構成を改善できるため、しばしば「ユーザーにとって有益」であるからだ。
広告主が私のウェブ閲覧履歴の多くを知っていることについては、私は気にしていない。特に注意すべき場面はあるだろうか？
オンラインフォームに個人データ（パスワード、クレジットカード番号、銀行口座など）を入力する際は、いつでも注意を払うべきだ。何しろ、そのウェブサイトで誰があなたの肩越しに覗き見しているのか正確には分からないし、ましてやサイト外ではなおさらだ。
Check My AdsおよびアドテックニュースレターBrandedの共同創業者であるナンディニ・ジャミは、セッション記録ツールを使用している企業と協力していた際、サイトとのやり取りの再生映像に、人々の人身情報が頻繁に映り込んでいるのを目にしたと語った。
「私は自社にこの問題を報告したところ、クレジットカード情報や機密情報をグレーアウトする方法を講じてくれた」と彼女は『The Markup』に語った。「問題は、アクセス権を持つ従業員なら誰でも、デフォルトで機密情報を閲覧できてしまう点だ」。
こうした個人情報を入力する場合は、セッション録画を防ぐ対策を講じているブラウザや拡張機能を使用することをお勧めする。
FacebookやGoogleのトラッカーは至る所にあるようだ。それらから逃れる方法はあるのか？
簡単な対策の一つは、他のプラットフォームやサービスにログインする際、FacebookやGoogleのアカウントを使わないことだ。こうしたソーシャルログインは数秒の時間を節約できるかもしれないが、同時に、リンクされたアカウントでの行動について、これらのテック大手企業にはるかに詳細な情報を提供することにもなる。
Mozillaはまた、Firefoxブラウザ向けの拡張機能を提供しており、ウェブ上を移動する際にFacebookやGoogleがユーザーについて把握できる情報を制限できる。
そのFacebook Containerは、Facebookの利用をウェブ上の他の閲覧活動から隔離し、Facebookが自社の「囲い込み環境」の外での行動と、内部での活動を結びつけることを困難にする。
また、Firefoxの「Multi-Account Containers」拡張機能は、Googleを含め、あらゆるウェブサイトに対して同様の機能を提供する。「Google検索専用のコンテナを作成すれば、検索履歴がGoogleアカウントと紐付けられるのを防げる」と、Mozillaのジャスティン・オケリーは述べた。「さらに、認証が必要なGoogleサービスにログインして利用するための、別のGoogleコンテナを作成することも可能だ。」
企業に対して、追跡しないよう依頼することはできないのか？
できる。インターネットブラウザには「追跡禁止（Do Not Track）」機能があり、これはウェブサイトやサードパーティの追跡企業に対し、ユーザーが自身のデータの収集を控えてほしいという意向を示すブラウザ設定だ。
しかし、The Future of Privacy Forumは次のように述べている。その効果はほとんどないという。「現在、ほとんどのサイトは……［追跡禁止］シグナルを受信しても、その対応を変更していない。」
業界団体であるデジタル広告アライアンス（Digital Advertising Alliance）は、インターネットユーザーが自身の閲覧履歴をターゲット広告の配信に利用されるのをオプトアウトできるツールを提供している。同団体は数百社の企業を代表するコンソーシアムであるため、ユーザーは数回のクリックで、これらすべての企業によるターゲティングをオプトアウトできる。
しかし、そもそもこのツールを機能させるためには、ユーザーはサードパーティ Cookie による追跡を許可しなければならない。広告技術企業がオプトアウトしたユーザーを特定するには、それらの Cookie が必要だからだ。さらに、このようなオプトアウトを行っても、企業がデータの収集を止めることは保証されていない。企業は、そのデータを使って商品を売り込もうとしないことだけを約束しているに過ぎない。
技術的な詳細を知りたい。詳しく調べられる良い情報源はあるか？
その気持ち、よく分かる。私たちも同じだ。技術的な話に没頭したいなら、CookieStatus.comへアクセスしてほしい。
