スーパークッキーとは？仕組みと削除・対策方法を徹底解説

2016年3月、米国連邦通信委員会（FCC）は、顧客を一意の識別子ヘッダー（UIDH）、いわゆる「スーパークッキー」で追跡していたとして、Verizonに135万ドルの罰金を科しました。FCCがVerizonに対し、顧客がこの追跡をオプトアウトできるよう求めた際には大きなニュースとなりました。では、スーパークッキーとは一体何なのでしょうか？なぜスーパークッキーは通常のクッキーよりも危険なのでしょうか？

本記事では、スーパークッキーについて知っておくべきポイントと、その削除・対策方法を詳しく解説します。

クッキー（Cookie）とは？

スーパークッキーを理解するには、まず通常のクッキーについて知る必要があります。HTTPクッキー、通称「クッキー」とは、ユーザーがウェブサイトを訪問した際にブラウザへダウンロードされる小さなコードの断片です。クッキーには、ウェブサイトやユーザー、そして両者のやり取りにとって有用な情報が少量保存されます。

例えば、Amazonで商品をカートに入れると、その情報はクッキーに保存されます。サイトを離れて後日戻ってきても、カートの中身はそのまま残っています。これは、再訪問時にクッキーがAmazonへ情報を送り返しているからです。

通常のクッキーには他にも便利な機能があります。例えば、すでにログイン済みであることをウェブサイトに伝え、再訪問時に再度ログインする手間を省くなどです。一方でより物議を醸すのが、サードパーティのトラッキングクッキーです。これはユーザーをインターネット上で追跡し、オンラインでの行動をマーケティング企業などに報告します。

スーパークッキーとは？

スーパークッキーもトラッキングクッキーの一種ですが、より悪質な用途に使われます。さらに、通常のクッキーとはまったく異なる仕組みを持っています。

通常のクッキーの場合、インターネット上で追跡されたくなければ、閲覧データやクッキーを削除すれば対処できます。ブラウザの設定でクッキーやサードパーティクッキーをブロックしたり、セッション終了後に自動削除することも可能です。その結果、各サイトへの再ログインが必要になり、カートの中身も保存されなくなりますが、トラッキングクッキーに追跡されることはなくなります。

しかし、スーパークッキーは事情が違います。閲覧データを削除しても効果はありません。なぜなら、スーパークッキーは本来の意味での「クッキー」ではなく、ブラウザには保存されないからです。

代わりに、ISP（インターネットサービスプロバイダ）が、ユーザーの接続に固有の情報をHTTPヘッダーに挿入します。この情報によってあらゆるデバイスを一意に識別できます。Verizonの場合、これによりユーザーが訪問したすべてのウェブサイトの追跡が可能になっていました。

ISPがデバイスと接続先サーバーの間にスーパークッキーを挿入するため、ユーザー側ではどうすることもできません。削除できないのは、デバイスに保存されていないからです。広告やスクリプトのブロックソフトでも防げません。リクエストがデバイスを離れた後に行われるためです。

スーパークッキーの危険性

プライバシー侵害の可能性は明白です。ほとんどの場合、クッキーは単一のウェブサイトに紐づいており、他のサイトと共有されることはありません。ところがUIDHはあらゆるウェブサイトに開示され得るうえ、ユーザーの習慣や履歴に関する膨大な情報を含み得ます。さらにVerizonはこの機能をパートナー企業にも宣伝していました。この特定のスーパークッキーの用途が、大量のデータを収集して販売することを目的としていた可能性は非常に高いと言えます。

電子フロンティア財団（EFF）も、広告主がスーパークッキーを使って、ユーザーのデバイスから削除されたクッキーを「復活」させ、新しいクッキーと紐付けることで、ユーザーが講じた追跡防止策を回避できると指摘しています。

「ある広告ネットワークがあなたに"cookie1"という一意の値を持つクッキーを割り当て、Verizonがあなたに"old_uid"というX-UIDHヘッダーを割り当てたとしましょう。VerizonがX-UIDHヘッダーを"new_uid"などの新しい値に変更すると、広告ネットワークは"new_uid"と"old_uid"を同じクッキー値"cookie1"に結び付け、この3つの値がすべて同一人物を表していることを把握できます。同様に、その後クッキーを削除すれば、広告ネットワークは新しいクッキー値"cookie2"を割り当てます。クッキー削除の前後でX-UIDHの値が同じ（たとえば"new_uid"）であるため、広告ネットワークは"cookie1"と"cookie2"を同じX-UIDH値"new_uid"に結び付けられます。このようなIDの往復的な結び付けにより、X-UIDHヘッダーが有効になっている限り、追跡履歴を完全に消去することは不可能になります」

同じブログ記事の中で、EFFはUIDHがアプリから送信されるデータにも適用され得ることに言及しています。アプリからのデータはそれ以外の方法では追跡が難しいため、この組み合わせにより、ユーザーのインターネット利用状況の精緻な全体像を作り出せるのです。さらにVerizonはiOSやAndroidの「広告トラッキングを制限」設定をも迂回していました。この制限の回避により、スーパークッキーによるプライバシー侵害のリスクはさらに拡大します。

スーパークッキーはどんなデータを送信するのか

スーパークッキーには、ユーザーが行ったリクエストに関する情報、つまりアクセスしようとしたウェブサイトやリクエストの時刻などが含まれます。これはメタデータと呼ばれ、NSAが携帯電話の記録から収集するメタデータと非常に似ています。ただし、スーパークッキーには他の種類のデータも含まれ得ます。

データの種類が何であれ、もしVerizonがデータ漏洩に見舞われ、これらのクッキーが特定のユーザーと紐付けられていたら、プライバシーの悪夢となるでしょう。EFFはすでに、ハッシュ化された電話番号がユーザー識別子として使用されていたことを突き止めており、これは憂慮すべき兆候です。ハッカー、他企業、政府機関は、こうした情報を手に入れたがるはずです。

VerizonがNSAのPRISMプログラムに参加していた企業の一つだったという事実は、この懸念をさらに強めるものです。

ゾンビクッキーとは？

ゾンビクッキーは、スーパークッキーのもう一つのタイプです。名前の示す通り、ゾンビクッキーは倒せません。そして、倒したと思っても、蘇ることがあります。

ゾンビクッキーは、ブラウザの通常のクッキー保存領域の外側に隠れることで完全な状態を保ちます。その標的となるのは、ローカルストレージ、HTML5ストレージ、RGBカラーコード値、Silverlightストレージなどです。だからこそ「ゾンビクッキー」と呼ばれるのです。広告主は、これらの場所のどこかに残っている既存のクッキーを一つ見つけるだけで、残りを復活させられます。ユーザーが保存場所の一つからでもゾンビクッキーを削除し忘れたら、努力は水の泡です。

スーパークッキーを削除する方法

スーパークッキーはユーザーに関する多くの情報を記録しています。削除された通常のクッキーを復活させるものもあれば、そもそもデバイスに保存されないものもあります。では、一体どうすればよいのでしょうか？

残念ながら、一部のスーパークッキーに対しては「ほとんど手立てがない」というのが答えです。

Verizonは加入者によるUIDH追跡のオプトアウトを認めています。Verizonユーザーの方は、www.vzw.com/myprivacyにアクセスし、アカウントにログインして、「Relevant Mobile Advertising（関連モバイル広告）」セクションに進み、「いいえ、関連モバイル広告には参加したくありません」を選択してください。ただし注意が必要です。オプトアウトしてもヘッダー自体は無効になりません。単に、UIDH値を探している広告主と詳細な人口統計情報を共有しないようVerizonに伝えるだけです。さらに、Verizon Selectsプログラムに参加している場合、オプトアウト後もUIDHは有効のまま残ります。

ISPがUIDHレベルのスーパークッキーでユーザーを追跡すると決めた場合、基本的になすすべはありません。スーパークッキーで追跡されている場合の最善策は、VPNを使って自分とインターネットの間に暗号化された接続を確立することです。また、HTTPSは現在インターネット閲覧の事実上の標準となっており、トラフィックを覗き見から守ってくれます。可能な限り、常にHTTPではなくHTTPSを使用しましょう。

その他の対策としては、セキュリティ＆アンチウイルスアプリのガイドにある「おすすめブラウザセキュリティツール」のセクションを参考にするのも良いでしょう。

オンライン追跡は危険

UIDHはインターネットプライバシーへの深刻な脅威です。コンピュータに保存されず、ウェブトラフィックを一意に識別でき、検出が極めて困難です。HTTPSとVPNの利用は有効な防御策ですが、インターネットユーザーに本当に必要なのは、ISPにそうした追跡プログラムからのオプトアウトを義務付ける、あるいは危険で侵略的な追跡プログラムそのものを禁止する強力な法制度です。実際、米メイン州では最近、ISPが個人のインターネットデータを広告主に販売することを禁じる法案が可決されました。

Facebookの追跡が気になる方は、Facebookがオンラインでの行動を追跡するのを防ぐ方法もぜひチェックしてみてください。