またしてもデータプライバシー問題──FacebookとTwitterの個人情報漏洩で私たちが学ぶべきこと

データ侵害のニュースは今や珍しくありませんが、今回の被害を受けたのはFacebookとTwitterのユーザーです。度重なるデータスキャンダルを経験してきたはずなのに、私たちは本当に慎重になれているのでしょうか?それとも、企業側がこうした繰り返される情報漏洩を真剣に受け止めていないのでしょうか?

何が起きたのか──事件の概要

FacebookとTwitterは、ユーザーが特定のサードパーティアプリにアカウントでログインした際、数百人規模のユーザーの個人情報が不適切にアクセスされた可能性があると発表しました。問題のアプリには「Giant Square」や「Photofy」などが含まれます。FacebookやTwitterのログインを通じてこれらのアプリを利用した際、ユーザー名、メールアドレス、そして(Twitterユーザーの場合は)最新のツイートといった情報が不正に取得されていたのです。

最初の対応として、問題のあった両アプリはすでにGoogle Playストアから削除され、これ以上被害が拡大しないよう措置が取られました。

Google Playストアはもう安全ではないのか?

両社の説明によると、ユーザーデータへの不正アクセスは、Google Playストアからダウンロードした特定のアプリにアカウントでログインしたことがきっかけだったといいます。ということは、Google Playストアはもう安心できないのでしょうか?それとも、ユーザー側でもっとセキュリティ対策を強化すべきなのでしょうか?誰かがデータの保護に十分取り組んでおらず、その結果、第三者にデータへのアクセスを許してしまっているように見えるのは気のせいでしょうか。

一方Twitterは、少なくともユーザーデータを守れるよう、この脆弱性についてGoogleとAppleにも警告したと明らかにしています。ちなみに、Appleユーザーのデータが不正アクセスされたという報道は現時点ではありません。

関係者からの声明

Twitter(公式ブログより)「Twitterアカウントが乗っ取られたことを示す証拠はありませんが、そうした事態が起こる可能性は否定できません」

Twitterの広報担当者Lindsay McCallum氏(シニアコミュニケーションマネージャー)は次のように述べています。「このような事実が存在することを人々が認識し、自分のアカウントに接続しているアプリを見直すことが重要だと考えています」

Facebookの広報担当者は、今回の情報漏洩について以下の声明を発表しました。

「セキュリティ研究者から、主要なアプリストアで配信されている多数のアプリに悪意のあるソフトウェア開発キット(SDK)を組み込むよう開発者に報酬を支払っていた、One AudienceとMobiBurnという2つの悪質な業者について通知を受けました。調査の結果、当社のプラットフォームポリシー違反として該当アプリを削除し、両社に対しては警告書を送付しました。氏名、メールアドレス、性別などのプロフィール情報へのアクセス権限をこれらのアプリに付与したことで、情報が共有された可能性があると判断されるユーザーには順次通知を行う予定です。ソーシャルメディアアカウントへのアクセスを許可するサードパーティアプリを選ぶ際は、十分な注意をお願いします」

この声明を受けて、MobiBurnは「当社はFacebookからデータを収集、共有、収益化していない」と反論しました。

さらにMobiBurnは、「当社はモバイルアプリ開発者とデータ収益化企業をつなぐ仲介役を担っているにすぎない」と主張し、その上で「第三者に関する調査が完了するまで、すべての活動を停止する」と述べています。

実際に影響を受けるのは誰か?

見ての通り、当事者同士が互いに責任を押し付け合っています。しかし結局、被害を被るのは誰なのでしょうか?答えはユーザーです。知らない第三者にデータがアクセスされ、違法行為に悪用される可能性も十分にあります。現時点でそのような実害の報告はありませんが、だからといって可能性がゼロになったわけではありません。

企業は公式アプリストアからダウンロードするよう呼びかけているのに、データ漏洩は起きています。さて、誰を責めるべきなのでしょうか?興味深いことに、Appleユーザーには(今のところ)被害が発生していません。となると、これはFacebookやTwitterだけの過ちとも言い切れません。モバイルOS側が大きな要因だったのかもしれません。真相は分かりませんが。

なぜいつもFacebookなのか?

ここ数年のデータ漏洩やデータスキャンダルを挙げれば、必ずと言っていいほどFacebookの名前が登場します。なぜFacebookはユーザーデータをめぐるトラブルにたびたび巻き込まれるのでしょうか?Cambridge Analytica(ケンブリッジ・アナリティカ)スキャンダルから今回の件まで、Facebookはユーザーの信頼を回復できていません。それでも私たちは、何事もなかったかのようにこのプラットフォームを使い続けています。Facebookは常にスキャンダルの中心にあり、同社はそのダメージから立ち直れていないのが実情です。

2016年米国大統領選挙におけるロシアの介入を覚えている方も多いでしょう。他のSNSとともに、Facebookも選挙への影響を疑われました。当時のCEOマーク・ザッカーバーグ氏は「Facebook上のフェイクニュースが選挙に影響を与えたという考えは、かなり突飛な発想だと思う」と述べました。その後、政治広告のファクトチェックを行わないという物議を醸す決定により、再び大きな批判を浴びることになりました。

次々と起こる事件により、Facebookはユーザーデータのセキュリティ侵害における「レッドゾーン」に居座り続けており、その状況は今も変わっていません。

答えのない問い

同じ問いをもう一度。これだけの事件が起きた後も、私たちはもっと慎重になっていないのでしょうか?自分自身にスキャンダルが降りかかるのを、ただ待っているだけなのでしょうか?

企業のガイドラインに従い、安全なプラットフォームからアプリを入手すればよいはずでした。実際、今回はAndroidユーザーにとって最も安全とされるPlayストアからダウンロードしています。それでも何がいけなかったのか?企業側に落ち度があったのか?企業が把握していない抜け穴が存在するのか?それとも、こうした事件に慣れきってしまい、対応が甘くなっているのでしょうか?

まとめ

Twitterは今回の漏洩をAndroidの欠陥と結び付けていますが、悪意ある第三者がどのようにユーザーの個人データを盗んだのかは依然として不明瞭です。そもそも、大手テック企業の認証APIが第三者に直接情報を渡す仕組み自体が問題だったはずです。責任を認めるどころか、Facebookは「被害を受けたユーザーは、何を許諾するのかをよく読まずにアプリへ権限を付与していた」と説明しています。それは正しいのでしょうか?本当にユーザーが権限の中身を確認せずに承認していたのでしょうか?あなたも、この漏洩の責任はユーザー側にあると思いますか?

もし「イエス」なら──ユーザーが取るべき行動計画

安全なプラットフォームからダウンロードすることに加え、まだ実践していないなら、もう一歩踏み込んだ対策が必要です。

アプリを導入する際は、細部まで目を通し、自分がどんな権限を相手に渡しているのかを必ず確認してください。

企業の姿勢は「こうした漏洩は起こりうるものだから、ユーザーこそが常に注意すべきだ」というものです。それが理にかなっていると思いますか?少なくとも筆者には納得できません。

もうGoogle Playストアからアプリをダウンロードすべきではないのでしょうか?そうでなければ、どこから入手すればいいのでしょうか?他のアプリを利用する際に、FacebookやTwitterのログイン情報を使うのはやめるべきなのでしょうか?

上記以外にもユーザーが講じるべき対策があると思われる方は、ぜひコメント欄でお知らせください。できるだけ多くのユーザーに情報が届くようにしたいと思います。