セッションリプレイ・スクリプトの正体――Webサイトは送信前の入力まで密かに記録している

インターネットは、世界最大級の監視ツールです。

少なくとも、そう感じることが多いのではないでしょうか。オンライン上で自分が監視されていることは昔から知られていましたが、その多くは「より多くの商品を売りつけるため」だと考えられてきました。しかしスノーデン事件以降、世界中の政府や企業が、入手できる限りのあらゆるデータを使って私たちを監視し、プロファイリングしていることが明らかになりました。

NSA(米国家安全保障局)は私たちのデジタル上の動きをすべて把握しようとしています。AmazonやGoogleは家庭の中に監視デバイスを設置しつつあります。Facebookは私たちの生活をプロファイリングし、商品化しようとしています。そして今、膨らみ続けるリストにまた新たな項目が加わりました。数百ものWebサイトが、私たちが入力したすべての情報を知りたがっているのです。たとえそれを送信していなくても。

誰かが見ている

Amazon、Facebook、Googleによって、私たちは「何かを検索すると、魔法のように広告でおすすめされる」という体験に慣れきってしまいました。Webトラッキングは、私たちが訪れるサイトの傾向や興味関心、そして何よりも「どうすればもっと消費させられるか」を分析するためのプロファイル作成によく使われています。こうしたトラッキングに私たちが疑念を抱くのは無理もありません。プロファイルを作る企業自身が、その情報を安全に扱えるとは信じがたいからです。

とはいえ、トラッキングが行われる理由はもっと地味な場合もあります。それはアナリティクス(アクセス解析)です。Webサイト開発者は、快適でエラーのないサイトを提供したいと考えており、そのためには「何が機能し、何が機能しないか」を示すデータが必要になります。

「ユーザーはいつそのボタンをクリックするのか」「読者はサイトにどれくらい滞在するのか」といったUX(ユーザーエクスペリエンス)に関する問いは、アナリティクスによって答えを出せます。アナリティクス企業は、どれだけ多くのデータを取得できるかで自社の価値を証明しようとします。そのデータ収集能力を競う中で、業界が生み出したのが「セッションリプレイ・スクリプト」なのです。

セッションリプレイ・スクリプトとは

従来のアナリティクスは集計データに基づいています。たとえば、サイトの特定のエリアが何回クリックされたかなどを確認できます。しかし、そのクリックがどのように行われたのか、どれほど時間がかかったのか、クリック前にユーザーがどんな行動をとっていたのかまでは分かりません。セッションリプレイ・スクリプトを使えば、アナリティクス企業は個々のブラウジングセッションを深く掘り下げることができます。名目上はカスタマーエクスペリエンスの改善のためですが、収集されるデータは妥当な範囲を超えていることが少なくありません。

セッションリプレイ・スクリプトは、画面録画に似ています。Webサイト側は、マウスの動きから入力された文字まで、ユーザーの操作すべてを目撃できます。しかも厄介なことに、これには入力はしたものの送信しなかったテキストも含まれます。検索ボックスに何かを打ち込み、思い直して削除した経験は誰にでもあるでしょう。セッションリプレイ・スクリプトがあれば、その削除された、一度も送信されていないテキストはすでにWebサイトに記録されているのです。

では、何が問題なのか?

こんな侵襲的なトラッキングを聞いたことがないのはなぜだろう、と思ったかもしれません。それは、セッションリプレイを導入している企業が、ユーザーへの告知を選んでいないからです。この姿勢は、収集されているデータの量を人々が知れば不快感を持つのではないかと、彼ら自身が理解していることを示唆しています。

あるWebサイトがセッションリプレイを使っているかどうかを見分ける明白なサインはありません。では、どうやって見分ければいいのでしょうか。プリンストン大学情報技術政策センター(CITP)の研究者たちは、Alexaトップ100万サイトを対象に、セッション記録の痕跡を調査しました。

その結果、約10万のWebサイト(Alexaトップ100万の約10%)に、セッション記録を可能にするスクリプトが組み込まれていることが判明しました。ただし、これはすべてのサイトが実際にトラッキングを行っているという意味ではありません。各サイトにはセッション記録を無効化する機能があります。しかし、ほとんどのアナリティクス提供業者では無効化の手順がかなり複雑なため、実際にはセッションリプレイが記録されている可能性が十分にあります。

対応可能なアナリティクススクリプトを導入していたサイトのうち、研究者たちは約1万サイトが実際にセッションリプレイ記録を行っていた証拠をつかみました。そのリストには、Microsoft、Walgreens、Intel、オーストラリア政府といった著名な名前も含まれていました。

自分を守るには

アナリティクスそのものは本質的に悪いものではありません。むしろ、複数のデバイスでシームレスに動作する高速で応答性の高い現代のWebサイトがあるのは、アナリティクスのおかげだと言えるでしょう。セッションリプレイ・スクリプトの大きな問題の一つは、自分がトラッキングされていることに気づけないことです。ある朝目覚めて、自宅中に防犯カメラが設置されていたらどう感じるか想像してみてください。その存在を明かさないということは、スクリプトと記録されたデータが不正な目的に使われる可能性があることを暗示しています。

これは特に、クレジットカード番号やパスワードなどの機密情報を入力する必要があるWebサイトで深刻な問題となります。これらの情報はセッションリプレイによって平文のまま記録されます。さらに厄介なのは、機密情報が複数の企業の手に渡り、それらの企業が他の機密データと同じ水準で保護してくれる保証がないことです。トラッキングを行う企業はおそらく、「このデータの利用はプライバシーポリシーに記載されている」と主張するでしょう。

しかし、訪問者に対して、Webサイトのプライバシーポリシーを読み、そのサイトが利用しているアナリティクス企業を特定し、さらにその企業のプライバシーポリシーまで読めと要求するのは、不合理であり非現実的です。もちろん、不合理だからといって、こうした企業が倫理的に曖昧な運営をやめることはありません。

では、どうやって身を守ればいいのでしょうか。残念ながら、ほとんどの場合、完全に守ることはできません。

セッションリプレイ・スクリプトには「クライアントサイド」と「サーバーサイド」の2種類があります。クライアントサイドのスクリプトは、広告ブロッカーやトラッキング防止アドオンでブロックできます。サーバーサイドのスクリプトはブロックできませんが、完全な録画は行えません。最も一般的なのは両者のハイブリッド方式で、この場合、クライアントサイドのスクリプトをブロックしても録画を防ぐことはできません。

結局のところ、最善の防御策は、セッションリプレイの存在を認識し、インターネット上のどこで何を入力するかに注意を払うことです。

監視社会のピークへ

セッションリプレイ・スクリプトは、「自分のブラウザの中だけにあるプライベートな情報」と私たちが信じていたものを暴き出しました。残念ながら、ブラウザが漏らしている情報はこれだけではありません。デジタル経済の通貨はデータであり、あらゆる企業に、あなたについてできる限りの情報を吸い上げるインセンティブを与えています。データの扱いには常に注意を払い、面倒でもプライバシーポリシーには必ず目を通しましょう。予防策を講じ、良好なサイバーハイジーン(衛生習慣)を維持することが、データ悪用に対する最良の防御となります。

セッションリプレイの蔓延は憂慮すべきことですが、冷静に捉えることも大切です。現時点で、この手法によってデータが漏洩したという証拠はありません。同時に、Webサイト所有者がインターネットを使いやすくし続けるための正当な理由もあるのです。たとえその最終目的が「あなたにもっとお金を使わせること」だとしても。

自分のタイピングを盗み見る企業について、どう思いますか? インターネットは巨大な監視ツールだと思いますか? それとも、この懸念は誇張されすぎだと思いますか? ぜひコメント欄でお聞かせください!