知らないうちに画面を録画されている?大手iPhoneアプリと「Glassbox」の実態

スマートフォン上での自分の行動をアプリが記録していることは、もはや周知の事実となりつつあります。しかし、高いセキュリティ性で知られるiPhoneにおいてさえ、大手企業が提供する人気アプリの多くが、ユーザーに知らせないまま、あるいは曖昧な説明にとどめたまま画面を記録している実態が明らかになっています。これらのアプリの一部は、顧客体験分析企業「Glassbox」の技術を利用して、ユーザーの動きを監視しているのです。

Glassboxが支えるアプリ側のデータ収集

データ収集を懸念してGoogleやFacebookの利用を控えている人もいるかもしれません。しかし残念ながら、それほど大きな意味はありません。他にも多数の企業が同じことをしており、しかもGoogleやFacebookほど率直には公表していないからです。

ある程度予想はできても、実際に証拠を目にするとやはり衝撃を受けます。TechCrunchの調査によると、ホテル、航空会社、銀行、さらには携帯電話キャリアまで、さまざまな業界のアプリがGlassboxを利用していました。

具体的には、エア・カナダ、ホリスター(Hollister)、エクスペディア(Expedia)、アバクロンビー&フィッチ(Abercrombie & Fitch)、Hotels.com、シンガポール航空などが挙げられます。これらのアプリはいずれもGlassboxを採用しており、開発者は「セッションリプレイ」と呼ばれる技術をアプリに組み込めます。この技術により、開発者はユーザーの画面操作を録画して再生できるため、ユーザーがアプリをどのように操作したかを確認したり、不具合の原因を特定したりできる仕組みです。

Glassbox自身も最近の投稿で、「もし自社のウェブサイトやモバイルアプリで、顧客がリアルタイムに何をしているのか、なぜそうしたのかを正確に把握できたらどうだろうか」と述べています。

問題なのは、エア・カナダがセッションリプレイのマスキング(個人情報の隠蔽処理)を適切に行っておらず、パスポート番号やクレジットカード情報が露出していたことです。

実は同社は以前にもデータ漏洩を報告していましたが、The App Analystが「航空会社がセッションリプレイをマスキングしていない」と指摘したのはその後でした。同専門家は、セッションリプレイによって「エア・カナダの従業員――そしてスクリーンショットのデータベースにアクセスできる者であれば誰でも――暗号化されていないクレジットカード情報やパスワードを目にすることができた」と書いています。

Glassboxは自社ウェブサイトでこれらのアプリを顧客として掲載しています。TechCrunchはThe App Analystに対し、中間者(man-in-the-middle)ツールを使って各アプリを調査し、どんなデータが収集されているのかを確認するよう依頼しました。その結果、すべてのアプリがマスキング済みデータを漏らしていたわけではなく、また、どのアプリもユーザーの画面を録画していることや、データをGlassboxへ送信していることを認めていませんでした。

The App Analystは次のように語っています。「この種のデータはしばしばGlassboxのサーバーに送り返されるため、すでに機密性の高い銀行情報やパスワードが記録されていたとしても、まったく驚きません」

ホリスターやアバクロンビー&フィッチなどのアプリはセッションリプレイをGlassboxに送信していましたが、エクスペディアやHotels.comは自社ドメインのサーバーに送信していました。後者の場合、データは「ほぼ難読化」されていたものの、それでも一部のメールアドレスや郵便番号は確認できたといいます。

さらに厄介なのは、どのアプリがユーザーの画面を録画しているのかを判別するのが困難な点です。TechCrunchがこれらのアプリのプライバシーポリシーを確認しても、そのような記述は見つかりませんでした。AppleのApp Storeではすべてのアプリにプライバシーポリシーの掲載が義務付けられていますが、それだけではユーザー保護として十分とは言えません。

ユーザー自身が目を開くことが重要

The App Analystは次のような見解を示しています。「ユーザーは自分のデータの共有方法について主体的な役割を果たすべきです。その第一歩は、企業がユーザーデータをどのように収集し、誰と共有しているのかを率直に明示することです」

残念ながら、こうした事態はある程度「想定内」と捉えられているのが現状です。FacebookやGoogleといった大手企業が意図的にユーザーデータを活用している以上、他のアプリが同じことをしない保証はどこにあるのでしょうか。企業側がユーザーへの告知を徹底すべきであると同時に、ユーザー側も目を見開いてアプリの利用と向き合う必要があります。

あなたはこれらのアプリを使っていますか?iPhoneから削除しようと思いましたか?アプリをダウンロードする際の考え方が変わったのではないでしょうか。Glassboxの技術によってiPhoneアプリが密かに画面を録画している問題について、ぜひコメントでご意見をお聞かせください。