ウェブトラッキングの仕組みを徹底解説!オンラインプライバシーを守るために知っておきたいこと

Facebookのスキャンダルをきっかけに、オンラインプライバシーへの関心が世界中で一気に高まりました。この記事では、ウェブトラッキングがどのように機能しているのかを、できる限りわかりやすく解説します。

この記事で学べること

1. ウェブトラッキングとは何か、どのように、なぜ行われるのか
2. トラッキングは「悪」なのか？
3. ファーストパーティとサードパーティのトラッキングの違い
4. 主なトラッキングのメカニズム
5. トラッカーを追跡する方法

By Princiya

ウェブトラッキングとは？

ウェブトラッキングとは、Webサイトがユーザーを識別して情報を収集する行為のことです。一般的には、閲覧履歴の一部を収集する形で行われます。

どのような仕組みで動いているのか？

インターネットを使っている間、私たちは訪問したサイトやクリックしたすべてのものの記録を残しています。こうした情報を追跡するために、多くのWebサイトでは小さなデータの断片を保存したり、目に見えないオブジェクトを埋め込んだり、ユーザーアカウントやハードウェア構成を利用したりしています。

詳細については、後述の「トラッキングのメカニズム」セクションで詳しく説明します。

なぜトラッキングが行われるのか？

サイト運営者やトラッカーにとって、トラッキングには魅力的な機能が数多くあります。たとえば、パーソナライゼーション、サイト分析、ターゲティング広告などです。

もしトラッカーが存在しなければ、ECサイトはすべてのユーザーを「初めて訪れた見知らぬ人」として扱わざるを得ず、パーソナライズされたコンテンツを提供することはできません。

ウェブトラッキングは「悪」なのか？

ウェブトラッキングは必ずしも100%悪ではありません。しかし、その仕組みは十分に理解されていないのが実情です。別のサイトに移動した後、さっき見ていた商品、あるいは数週間前に見た商品の広告が再び現れる——こんな経験はありませんか？最大の懸念は、第三者（サードパーティ）によるトラッカーです。

次のTwitterスレッドでは、GoogleとFacebookがどれほど多くの情報を収集しているかが紹介されています。

ファーストパーティとサードパーティのトラッキングの違い

たとえば、nytimes.com（ニューヨーク・タイムズ）にアクセスしたとします。ニューヨーク・タイムズはあなたの訪問を把握し、どの記事を読んでいるかも知ることができます。この場合、ニューヨーク・タイムズは「ファーストパーティ」です。

自分から進んで訪問する相手であるため、ファーストパーティが訪問時に知る情報について、私たちはそれほど心配していません。しかし問題はサードパーティです。doubleclick.netのようなサードパーティトラッカーは、nytimes.comに埋め込まれ、たとえばターゲティング広告を配信する目的で、ユーザーの訪問を記録できます。

1つのサイトに存在するトラッカーの数は、サイト運営者の判断によって決まります。

サードパーティトラッキングとは？

サードパーティトラッキングとは、ユーザーが直接訪問したサイト以外の主体（トラッカー）が、ユーザーのサイト訪問を追跡したり、その追跡を支援したりする行為を指します。

サードパーティトラッカーは不気味だ

ページ上に1つのサードパーティが存在すると、そのサードパーティはさらに他の多数のサードパーティをファーストパーティのページに呼び込むことができてしまいます。

あなた個人の情報は非常に価値のあるものです。自分に関するどんなデータが収集されているのかを知ることは、あなたの正当な権利です——年齢、収入、家族の年齢と収入、病歴、食習慣、よく訪れるWebサイト、誕生日……リストは挙げればきりがありません。

トラッカーの狙いは、これらのデータをもとにサードパーティと手を組み、あなたにお金を使わせたり、サービスに登録させたり、さらなる情報を差し出させたりする新しい方法を編み出すことにあります。目に見えるメリットと引き換えに自発的に情報を渡すのであればまだ良いのですが、実際には広告以外の恩恵を受けられないことも多く、しかも決定の場にあなたは招かれていません。

トラッキングは匿名ではない

トラッキングは匿名ではないことを描いた漫画

実名が紐づいていないのだから匿名のはず、と思うかもしれません。しかし、多くのサードパーティはあなたの正体を知っています。

たとえば、Facebookがサードパーティトラッカーとして動作している場合、Facebookアカウントを作成してログインしていれば——ログインしていなくてもおそらく——あなたの身元を特定できます。

さらに、トラッカーがアルゴリズムを駆使して、ユーザーの閲覧履歴とソーシャルメディアのプロフィールとの統計的な類似性を突き止めることで、ユーザーの匿名性を解除（デアノニマイズ）することも可能です。

目に見えるサードパーティトラッカー

ほとんどのサードパーティは目に見えませんが、Facebookの「いいね！」ボタン、埋め込み型のTwitterフィード、その他さまざまな商用ウィジェットといった、ページ上の目に見える要素もすべてサードパーティトラッキングの一種です。

主なトラッキングのメカニズム

以下は、最も一般的なトラッキングのメカニズムです。

クッキー、フィンガープリント、ビーコン——3つのトラッキング手法

クッキー（Cookie）

クッキーは、ユーザーを識別するための最も広く知られた方法です。Webサーバーがブラウザのストレージに置く小さなデータ（それぞれ4KBまで）を使用します。ユーザーが初めてWebサイトにアクセスすると、固有のユーザー識別子（ランダム生成の場合もあります）を含むクッキーファイルがユーザーのコンピュータに保存されます。

Facebookのページに再度アクセスした際にログイン不要なのは、初回ログイン時に保存されたクッキーを通じて、ブラウザがあなたの情報を記憶しているからです。

ブラウザフィンガープリント（指紋認識）

ブラウザフィンガープリントは、ユーザーがオンラインにいるときに常に高精度で識別・追跡できる手法です。収集される情報は非常に包括的で、ブラウザの種類とバージョン、OSとそのバージョン、画面解像度、対応フォント、プラグイン、タイムゾーン、言語やフォントの設定、さらにはハードウェア構成まで含まれます。

これらの識別情報だけを見ると、ごく一般的で個人を特定できないように思えます。しかし実際には、あなたと完全に同じスペックを持つ人は数百万人に一人程度しかいません。

Webビーコン

Webビーコンは、Webページやメールに埋め込まれた、非常に小さい通常は不可視のオブジェクトです。「Webバグ」とも呼ばれ、「タグ」「ページタグ」「トラッキングバグ」「ピクストラッカー」「ピクセルGIF」などの名前でも知られています。

最も単純な形式では、1ピクセル程度の透明な画像です。Webページの読み込み時やメールの開封時に画像としてダウンロードされ、リモートサーバーへのリクエストが発生します。このサーバーへのコールにより、企業は自分のメールが開かれたこと、あるいはWebページが訪問されたことを検知できます。

だからこそ、信頼できない送信者からのメールでは、画像を表示しないことが重要なのです。

また、Webビーコンはオンライン広告主にも利用されており、広告に埋め込むことで、自社の広告がどのくらいの頻度で表示されているかを独立して追跡できます。

トラッカーを追跡してみよう！

筆者は昨年、Outreachyプログラムを通じてMozillaでインターンをし、「Lightbeam」というツールの開発に携わりました。これはプライバシー保護のためのブラウザ拡張機能で、Webを閲覧しながら、誰が自分をトラッキングしているのかを発見できるツールです。

Lightbeamによるファーストパーティとサードパーティトラッカーの可視化

Lightbeamを有効化してWebサイトにアクセスすると、ブラウザ拡張機能がそのページ上で動作しているすべてのサードパーティトラッカーをリアルタイムで可視化します。続けて別のサイトを閲覧すると、そこでもアクティブなサードパーティトラッカーが強調表示され、複数のサイトであなたを追跡していた第三者が一目でわかります。可視化は、訪問するサイトやブラウザからのリクエストが増えるごとに成長していきます。

参考文献・さらに学ぶために

ウェブトラッキングには、ここで紹介した以上に奥深い世界があります。さらに学びたい方におすすめの情報源をご紹介します。

1. The WebTAPプロジェクト
2. Third-party tracking on the web（Web上のサードパーティトラッキング）
3. Mozilla Privacy Basics（Mozillaプライバシー基礎）

安全なインターネット利用を心がけ、より健全なネット空間を一緒につくりましょう！