あなたのISPはあなたについて何を知っているのか?知っておくべき理由と対策

米国では、インターネットプロバイダー(ISP)が利用者の閲覧データや履歴を広告主に販売することを防ぐためのプライバシー規制が撤廃されました。これにより、ISPはユーザーのオンライン上の行動をこれまで以上に自由に収益化できる環境になっています。果たしてISPは何を、どのように収益化するのでしょうか?本記事で詳しく解説します。

ISPに見えているものとは?

暗号化されていないウェブサイトは、ISP(インターネットサービスプロバイダー)に対して、ユーザーに関する最も詳細なデータを提供します。暗号化されていないサイトは、SSL(Secure Sockets Layer)なしのHTTP(Hypertext Transfer Protocol)を使用しており、通信内容が保護されていません。一方、HTTPS(HTTP Secure)を使用する暗号化されたサイトは、SSLと連携して動作します。ISPは、暗号化されていないサイトからのデータをすべて、そして暗号化されたサイトからの一部のデータを目にすることができるのです。

暗号化されていないウェブサイトから得られるデータ

暗号化されていないウェブサイトでは、ISPはユーザーが訪れたすべてのウェブページの完全なURL(ユニフォームリソースロケーター)を見ることができます。かつてFCC(米国連邦通信委員会)のトム・ウィーラー議長の顧問を務めたギジ・ソーン(Gigi Sohn)氏は、ISPが「オンライン上で行うすべてのことにアクセスできる」と述べています。

ソーン氏によれば、ISPは「あなたが訪れるすべてのウェブサイト、どの時間帯にどれだけの時間アクセスしているか、位置情報、使用しているデバイスまで把握している」とのことです。健康、ニュース、ショッピング分野の上位50サイトのうち、42以上が暗号化されていない状態でした。これは85%以上に相当し、Target.com、WebMD、ハフィントンポスト、IKEAなどが含まれます。

暗号化されたウェブサイトから得られるデータ

現在では多くのウェブサイトがHTTPSを採用し、ISPが訪問者から取得できる情報量を減らしています。訪問者が暗号化されたサイトを利用する場合、ISPはその完全なURLやページの内容にはアクセスできません。

しかし、ISPはたとえ訪問した個々のページまでは分からなくても、どのサイトにアクセスしたかは把握できます。この情報だけでも彼らにとって十分な価値があります。利用しているウェブサイトを知ることで、興味関心の推測、年齢層の推定、インターネット利用習慣、オンライン・オフラインの時間帯などを割り出せるのです。

ブロードバンドプライバシーを専門とする弁護士のダラス・ハリス(Dallas Harris)氏は「どのウェブサイトを見ているかという事実だけで、在宅時間や不在時間が明らかになり得る」と指摘しています。さらに同氏は「彼らが割り出せる情報のレベルは、ほとんどの利用者が想像している範囲をはるかに超えている」と主張します。

ISPはあなたのデータの追跡に必死

米国におけるISPプライバシー規制の撤廃は、懸念すべきISPによるデータ収集行為への扉を開いたといえます。ISPにはユーザーのプライバシーを侵害してきた前歴があることにも注意が必要です。以下、いくつかの実例を見てみましょう。

トラフィックの覗き見と広告の差し込み

ISPは閲覧履歴を利用して、広告を注入・配信することがあります。AT&T、Charter、CMAが過去にこうした行為を行っていたと報じられています。電子フロンティア財団(EFF)によれば、FCCによるプライバシー規制の撤廃により、ISPがこの方法でトラフィックを販売することが今後公式に合法化されることになります。

マーケターへのデータ販売

AdvertisingAgeの報道によると、SAPが提供する「Consumer Insight 365」は、「2,000万〜2,500万人のモバイル加入者それぞれについて、1日最大300件の携帯電話イベントを表す、定期的に更新されるデータを取り込んでいる」とされています。

さらに同報道によれば、このサービスは通信事業者からのデータと他の情報を組み合わせ、「買い物客が競合他社の価格を比較しているかどうかを企業に伝え、午前10時から正午の間にある店舗を訪れた人の年齢層や性別を判別し、位置情報や人口統計データとウェブ閲覧履歴を紐付ける」ことができるといいます。

SAPは、AdvertisingAgeの取材に対し、どの通信事業者からデータ提供を受けているかを明らかにしませんでした。つまり、ISPは人口統計、位置情報、閲覧履歴といったユーザーデータを監視・追跡し、さらには第三者に販売している可能性があるのです。

検出不能な追跡クッキー(スーパークッキー)の注入

VerizonやAT&TなどのISPは「スーパークッキー」を使ってユーザーを追跡していたと報じられています。EFFは「当初、利用者はこの『機能』をオフにする手段が一切ありませんでした。シークレットモードやプライベートブラウジングを使っていても、トラッカーブロッカーを使用していても、Do Not Trackを有効にしていても関係なく、Verizonはすべての暗号化されていない送信トラフィックに一意の識別子を挿入していた」と指摘しています。

スーパークッキーやUIDH(Unique Identifier Header)の存在により、誰でも(広告主を含めて)ウェブ閲覧を追跡できるようになります。広告主はVerizonのUIDHを利用して、ユーザーが削除したクッキーを「ゾンビクッキー」として復活させることさえ可能でした。FCCによれば、Verizonはスーパークッキーを2年間稼働させ続け、ようやくプライバシーポリシーを更新して、ユーザーが希望すればこの機能をオフにできるようにしました。

検索の乗っ取り

EFFによると、2011年には複数のISPが、Paxfireという企業のサービスを利用して、ユーザーの検索クエリをBing、Yahoo!、Googleなどの検索エンジンへ不正に横取りしていたことが発覚しました。ISPはこれによって特定のサイトへトラフィックを誘導し、そこから利益を得ていたとみられています。

アプリ使用状況と訪問URLを記録するプリインストールソフト

Sprint、T-Mobile、AT&Tは、ユーザーが訪問したURLや使用したアプリを記録していたことが判明しました。ISPは「Carrier IQ」と呼ばれるソフトウェアを使い、アプリの利用状況や訪問先ウェブサイトを追跡していました。EFFのトレバー・エックハート(Trevor Eckhart)氏が調査を行い、Carrier IQの仕組みを明らかにしました。

過去にCarrier IQをめぐっては集団訴訟も起こされましたが、FCCプライバシー規制の撤廃は、ISPによるこうした追跡ソフトウェアの利用を助長し、さらには合法化してしまう恐れがあります。

オンラインでの安全を守るために

ISPによる高度な追跡技術や大規模な情報収集・活用を考えると、インターネットへはTorやVPNで保護された接続経由でアクセスするのが賢明です。VPN(仮想プライベートネットワーク)は身元を効果的に隠蔽し、データを暗号化することで、ISPに流れる情報を大幅に制限できます。FCCがISPに対し、ユーザーの同意なくトラフィックデータを利用・販売する自由を与えた今、VPNの利用はかつてないほど必要不可欠なものになっているのです。