あなたのブラウザはオンラインの秘密を漏らしている？知られざるプライバシーリスクの実態

あなたのブラウザは、オンライン上の秘密を漏らしていませんか？誰にも言えない検索履歴まで、何の罪悪感もなく外部に流していないでしょうか。そして、もし漏らしているとしたら、あなたはそれをどうやって知ればいいのでしょう？

私たちは日々、インターネットブラウザに膨大な信頼を寄せています。個人的な情報やプライベートな内容を閲覧しながらも、「何らかの識別情報が保存されている」という事実を承知の上で利用し続けているのです。多くのユーザーがこれに同意するのは、ブラウジングを快適に保ち、各種サービスを無料で使い続けるためです。

しかし、ブラウザは本当にその約束を守っているのでしょうか。どのブラウザがあなたのプライバシーをしっかり守り、どのブラウザが「決して止まない漏水する蛇口」のような存在なのでしょうか。本記事では、ブラウザが送信している情報の実態、過去に発覚した漏えい事故、そして自分を守るための方法を詳しく解説します。

ブラウザはあなたについて何を知っているのか

実は、ブラウザは個人を特定できる情報を絶えず送信しており、他のウェブサイトから容易にアクセス可能です。ほとんどの場合、これは無料サービスを提供する企業が、よりパーソナライズされた広告を表示するために行うトラッキング（追跡）です。ブラウザは特別な操作をしなくても、以下のような情報を提供します。

• 位置情報：多くのブラウザにはGeolocation APIが組み込まれており、ウェブサイトはこれを使って表示するコンテンツのバージョンを判定します。BBC iPlayerやNetflixのように、地域によってサービスが利用できないことを判断するケースもあります。ただし、Geolocation APIによる位置情報は必ずしも正確ではなく、GPSを搭載するスマートフォンの情報ほどの精度は期待できません。
  
• ハードウェアとソフトウェア：ブラウザはシステムのハードウェア構成やインストール済みソフトウェアの情報を提供します。これは訪問先のサイトがデバイスに適した表示を行うためですが、同時にインストール済みの拡張機能やアドオンまで明らかになり、サイト側はそれをもとに対応を変えることができます。
• 接続環境：一部のサイトやサービスは接続情報を要求します。ストリーミングサービスはこのデータを使って、視聴中の動画の画質などを動的に調整しています。
• SNSアカウント：ほとんどのSNSは広告収入で成り立っているため、インターネット上でユーザーの動きを追跡することが運営者にとって利益になります。例えばFacebookにログインしたまま、不適切なコンテンツを掲載するサイトを訪れると、その記録が残ってしまいます。広告ポリシーにより露骨な広告が画面に表示されることはありませんが、ログ自体は消えません。
  
• ジャイロスコープ：これは主にモバイルデバイスに関わる情報ですが、ノートPCやデスクトップでもブラウザはこの情報を送信しており、違いは結果がfalseまたはnullで返される点だけです。興味深い（というより不気味な）ことに、ブラウザはデバイスが今手に持たれているのか、テーブルに置かれているのかまで判別できます。
  

こうした情報は、「What Every Browser Knows About You」というサイトを使えば簡単に確認できます。このサイトは情報がどれほど簡単に取得できるかを実証するために作られたもので、オンラインの足跡を少しでも隠すための有用なアドバイスも多数掲載されています。

また、自分のブラウザがトラッキングに対して安全かどうかを調べたいなら、「Panopticlick」も試してみてください。このサイトの特徴はブラウザフィンガープリント（指紋）の記録機能です。筆者が試したところ、「それまでにテストされた129,859件の中で唯一のブラウザ」と判定されました。129,859件は、Google Chromeだけで10億人以上のユーザーがいるとされる中ではごく一部にすぎませんが、それでもブラウザ経由で個人を識別することがいかに容易かを物語っています。

すべてのブラウザは同じように作られているのか

結論から言えば、違います。ただし、その理由はあなたが思っているものとは少し異なるかもしれません。

インターネットがまだ黎明期だった頃、Internet Explorerはブラウザ市場を支配していました。長い競争の時期を経て、Microsoftは市場を独占状態にしていたことを認めざるを得なくなり、その解決策として「他にも選択肢のあるブラウザがあります」とユーザーに伝える新しい画面を導入しました。

Internet Explorerが支配的だった時代、悪意ある人物がユーザーから個人情報を盗み出したいと思えば、多くの場合、IEの脆弱性（セキュリティホール）を見つけて攻撃すれば事足りました。世界一のシェアを持つブラウザは、常に最大の標的となるからです。

時が経ち、Google Chrome、Mozilla Firefox、Opera、Safari、Maxthonなど、さまざまなブラウザが確固たるユーザーベースを築き上げました。2016年4月には、Google ChromeがついにInternet Explorerを抜いて世界で最も使われるブラウザになりました。ただし、統計によってはこの逆転は2011年4月にすでに起きていたとする見方もあります。毎月ブラウザ統計を計測しているW3Schoolsは後者の見方を支持しています。いずれにせよ、これはインターネットブラウザ史における大きな転換点となりました。

アドオン、拡張機能、プラグインが生む新たなリスク

新しい世代のブラウザは、便利なアドオン、拡張機能、プラグインの洪水をもたらしました。Internet Explorerでは追加オプションが極めて限られていましたが、新しいブラウザはボタンを数回押すだけで拡張機能を追加できる手軽さを売りにしています。

しかしこの利便性は、新たな脆弱性も生みました。多くの拡張機能は前述の共通データだけでなく、さらに詳細な個人情報へのアクセスを必要とします。セキュリティ対策が不十分な拡張機能を使えば、一般ユーザーの個人情報は簡単に流出しかねません。そして現実に、それが起きました。

アンチスクレイピングおよびITセキュリティ企業ScrapeSentryの研究者たちは、個人情報が米国にある単一のIPアドレスへ送信され続ける無料アプリを発見しました。Google Chrome拡張機能「Webpage Screenshot」は120万人以上にダウンロードされており、同社は「クライアントサイトへの異常なトラフィックパターンを検知したことで、調査員が異変に気づいた」と述べています。

ブラウザには「その他」の漏えいもある

普段訪れる無数のウェブサイトが要求する「通常の」データ提供とは別に、ブラウザ自身があらゆる種類の個人情報を漏らすことが知られています。

例えば2016年初頭、カナダのCitizen Labのセキュリティ研究者たちは、中国の大手IT企業Baidu（百度）が提供するブラウザが膨大な量の情報を漏らしていることを突き止めました。彼らの結論は次の通りです。

「当該ブラウザは、収集されるべき範囲を大きく超える大量の個人ユーザーデータをBaiduサーバーへ送信しており、その際、暗号化なし、あるいは容易に復号できる暗号化を使用している」

Windows向けバージョンでは、検索キーワード、ハードディスクのシリアル番号、ネットワークのMACアドレス、ページタイトル、さらにはGPUの型番まで漏れていたことが判明しました。さらに、ブラウザのアップデートにはコード署名がなかったため、更新プログラムが乗っ取られ、悪意あるコードを注入・実行される危険性もありました。しかもこのブラウザ開発キットは世界中の数千のアプリケーションで使われており、問題は中国のユーザーにとどまらなかったのです。

とはいえ、Baiduだけを責めるのは公平ではありません。

Google Chromeにも問題がありました。「シークレットモード」は、独立したブラウジングセッションを使ってセッション情報を分離し、終了時に削除することを目的とした機能ですが、画像を物理メモリキャッシュに保存してしまうことで、成人向けコンテンツを誤って露出させる事故が発生しました。具体的には、ゲーム『Diablo 3』のロード画面に成人向け画像が表示されるという事件で、物理メモリから消去されていない情報が、Nvidia GPUなど他のアプリケーションからアクセス可能になっていることが判明したのです。

そして誰もが知る「格好の標的」Internet Explorerも、データ漏えいとは無縁ではありませんでした。長年にわたり何度も脆弱性が暴露されています。2014年には、特にWindows XPユーザーを中心にメモリリークによる情報露出の危険にさらされました。2012年には、マウスの動きを記録できる脆弱性が指摘されました（Microsoftはこれを否定し続けました）。さらに最新鋭のMicrosoft Edgeでさえ、コーディングが不十分な内蔵PDFリーダーを通じて個人情報が漏える問題を経験しています。

漏水する蛇口よりもひどい現状

私たちのデータは、常に「誰でも取得可能」な状態にあるようです。ペンシルベニア大学のプライバシー研究者Tim Libert氏は、世界で最も人気のある100万サイトにおけるプライバシー侵害的な機能を定量化する査読付き研究を発表しました。

「調査結果によれば、10サイト中9サイト近くが、ユーザーがおそらく気づいていない第三者へユーザーデータを漏えいしている」

平たく言えば、今訪れたサイトがあなたのユーザーデータを別のサイトへ転送する確率は90%ということです。これは個人を特定できる情報の漏えいそのものではありませんが、大多数のウェブサイトがユーザーの「Do Not Track（トラッキング拒否）」要求を無視していることを示す、依然として深刻な問題です。

現状では、ほとんどのインターネットユーザーは、自分の行動が追跡され、情報が保存されていることに気づいてすらいません。

漏えい、トラッキング、Cookieなどを止めたいなら、いくつかの選択肢があります。Ghostery、NoScript、Disconnect、uMatrixといったブラウザ拡張機能は、データ追跡からユーザーを守る重要な助けになります。VPNを併用すればIPアドレスの特定も防げますし、匿名性を最優先するならTorブラウザという選択肢もあります。しかし結局のところ、大規模な脆弱性や重大なブラウザの不具合が存在すれば、どんな対策をしていてもデータは漏えいしてしまうのです。

あなたはブラウザのセキュリティのためにどんな対策をしていますか？アンチトラッキングアプリを使っていますか？それとも徹底的にTorを活用していますか？ぜひコメント欄であなたのデータ保護術を教えてください！