トラッキングとは？種類と仕組み、具体的なセキュリティリスク

Cookieとは

トラッキングの仕組みを把握する上では、Cookieの理解が欠かせません。

Cookieとは、ユーザーのブラウザ上に保存される小さなテキストファイルのことです。このファイルには、ユーザーの識別情報や設定、行動履歴などが記録されています。

Cookieの主な役割は、Webサイトがユーザーを認識し、カスタマイズされた体験を提供することです。

例えば、オンラインショッピングサイトでログイン状態を維持したり、ユーザーの好みに合わせた商品推奨を行ったりする際に使用されます。

トラッキングの観点からは、Cookieはユーザーの行動を追跡しつつ、長期的な分析を可能にする重要なツールとなっています。

ただし、プライバシーの観点から、Cookieの使用に関する懸念も高まっており、多くのブラウザがCookieの制限機能を提供しているのが現状です。

このCookieについては、以下の記事で詳しく解説しています。

【関連記事】Cookieとは？仕組みや危険性、効果的なセキュリティ対策について解説

ファーストパーティCookieとサードパーティCookie

ファーストパーティCookieは、ユーザーが訪問しているWebサイトのドメインが発行するCookieです。

一方、サードパーティCookieは、訪問したWebサイト以外の第三者が発行するCookieを指します。

広告配信会社などの第三者が発行するCookieで、複数のWebサイトをまたいでユーザーを追跡できる点が特徴です。

これらのCookieは、主にサイト内でのユーザー体験を向上させるために使用されます。

広告配信者はCookieの活用により、ユーザーの興味関心に基づいたターゲティング広告の配信が可能となります。

広告識別子（広告ID）

広告識別子は、モバイルデバイスを識別するために使用する固有のIDです。以下のように、各OSによって広告識別子の呼び方がそれぞれ異なります。

この識別子は、デバイス単位でユーザーの行動履歴を収集し、その情報を基にターゲティング広告などに利用します。

プライバシー保護の観点から、ユーザーは設定から識別子をリセットしたり、追跡を制限したりすることができます。

ブラウザーフィンガープリント

ブラウザーフィンガープリントは、Webブラウザの設定情報などから生成されるユーザー固有の識別情報です。

具体的には、インストールされているフォント、画面解像度、プラグインなどの情報を組み合わせて、ユーザーを特定します。

ターゲティング広告に利用できるだけでなく、不正アクセスの防止に役立てることも可能です。

Cookieを使用せずにユーザーを追跡できることから、ブラウザーフィンガープリントの活用に注目が集まっています。

一方で、この技術の精度は、デバイスの更新やブラウザの設定変更によって影響を受ける場合があります。

アプリトラッキング

アプリトラッキングは、スマートフォンのアプリでのユーザー行動を追跡する仕組みです。

アプリ内の行動履歴や位置情報を収集し、マーケティングなどに活用します。

例えば、ユーザーがアプリ内のどの機能を頻繁に使用しているか、どの商品ページを閲覧したかなどの情報を取得します。

これらのデータを収集・分析することで、ユーザーの嗜好や行動パターンを理解し、最適化されたコンテンツや広告を提供できるようになるのです。

プライバシー保護の観点から、ユーザーはアプリトラッキングの追跡許可を選択できます。

SensorID

SensorIDは、スマートフォンのセンサー情報から生成される固有の識別情報です。

この概念は、ケンブリッジ大学の研究者によって発表された比較的新しいトラッキング手法であり、以下のようなセンサー情報を収集・特定してユーザーを追跡します。

これらのセンサーの個体差を利用することで、デバイスを一意に識別できるようになります。

従来のトラッキング手法と比べて、ユーザーが簡単に無効化や変更ができないため、より持続的な追跡が可能です。

ただし、この技術はまだ研究段階にあり、実際のトラッキングにどの程度利用されているかは明確ではありません。

企業側のメリット

企業にとってのトラッキングのメリットは、マーケティングと広告の2つに分けられます。

ユーザーの行動履歴や属性情報を収集することで、マーケティング戦略の立案に活用できるのです。

また、ユーザーの興味関心に基づいたターゲティング広告により、効果的な広告配信を実現可能です。

このようにトラッキングの有効活用によって、広告費用対効果の向上や潜在顧客の獲得に繋げられます。

ユーザー側のメリット

ユーザーにとっての最大のメリットは、自分の興味関心に合わせて最適化されたコンテンツやサービスを受けられることです。

例えば、オンラインショッピングサイトでは、過去の閲覧履歴や購買履歴に基づいて、おすすめの商品が的確に表示されるようになります。

これにより、ほしい商品や興味がある商品を素早く見つけることが可能です。

また、ログイン情報の記憶によって自動ログインが可能となり、Webサイトの利便性向上にも繋がります。

企業側のデメリット

企業にとって、トラッキングに関する最大の課題は規制への対応です。

ユーザーのプライバシーに関する懸念から、トラッキングに対する規制が世界各国で強化されつつあります。

具体的には、EUの一般データ保護規則（GDPR）や、カリフォルニア州消費者プライバシー法（CCPA）などが制定されました。

これらの規制に違反した場合、高額な罰金や企業イメージの低下などのリスクが生じる可能性があります。

また、ユーザーの信頼を得るための取り組みも必要となり、透明性の高いデータ収集・利用方針の策定や、ユーザーへの明確な説明が求められるようになっています。

ユーザー側のデメリット

ユーザーにとっての最大の懸念は、プライバシーの侵害です。

企業側のトラッキングの利用により、自分の行動履歴や属性情報が知らないうちに収集・分析されている可能性があるのです。

これには、Webサイトの閲覧履歴だけでなく、位置情報や検索キーワードが含まれる場合もあります。

収集されたデータが第三者に提供されたり、不正に利用されたりするリスクが存在するほか、情報が漏洩して勝手に拡散されるリスクさえもあります。

また、トラッキングによって得られた情報を基に、ユーザーに偏った情報や広告が提示される可能性もあるでしょう。

これはいわゆる「フィルターバブル」と呼ばれる現象で、多様な情報に触れる機会が制限されてしまう恐れがあります。

セッションIDの推測

セッションIDは、Webサイトがユーザーを識別するために用いる一時的な識別子です。

攻撃者は総当たり攻撃（ブルートフォース攻撃）などを駆使して、このセッションIDを特定しようとします。

セッションIDが特定されると、なりすましによる不正アクセスの危険性が高まり、個人情報の流出や不正な操作といった深刻な被害に繋がる恐れがあります。

セッションIDの窃取

中間者攻撃やクロスサイトスクリプティング（XSS）などの手法により、セッションIDが窃取されるリスクが存在します。

中間者攻撃では、通信経路上でセッションIDを盗み取られる危険性があり、XSSでは悪意のあるスクリプトを通じてセッションIDが漏洩する可能性があります。

セッションIDが盗まれると、攻撃者はユーザーになりすまして不正アクセスを行う恐れがあるため、対策を講じるなど十分な注意が必要です。

XSSの脅威については、以下の記事で詳しく解説しています。

【関連記事】XSS（クロスサイトスクリプティング）とは？攻撃手法と5つの対策を紹介

セッションフィクセーション

セッションフィクセーションとは、攻撃者が準備したセッションIDをユーザーに使わせる攻撃手法のことです。

「セッション固定攻撃」とも呼ばれ、ユーザーが攻撃者のセッションIDでログインすると、アカウントの乗っ取りに繋がる可能性があります。

この攻撃は主に、フィッシングメールや悪意のあるリンクを通じて行われます。

ブラウザのプライバシー設定を行う

ブラウザのプライバシー設定を行うことで、サードパーティCookieのブロックやトラッキング防止機能の有効化が可能となります。

例えば、Google Chromeの場合、「プライバシーとセキュリティ」設定から、サードパーティCookieのブロックや「Do Not Track」機能の有効化が行えます。

使用するブラウザによって設定方法が異なるため、各ブラウザのヘルプページをご確認ください。

プライバシーに特化したブラウザを利用するのも、効果的な対策の1つといえるでしょう。

OSのプライバシー設定を行う

スマートフォンの各種OSには、アプリのトラッキングを制限する機能が備わっています。

これらの設定を活用すれば、アプリによる不必要なデータ収集を防ぐことが可能です。

iOSでは、iOS14.5以降で「App Tracking Transparency（ATT）」機能が導入されました。

ATT機能を有効にすることで、アプリが広告識別子にアクセスすること、そしてユーザーまたはデバイスを計測することへの許可を求めるようになります。

iOSだけでなく、Androidでもアプリに許可する権限を細かく設定できます。

セキュリティ対策ソフトを導入する

多くのセキュリティ対策ソフトには、トラッキングによるリスクであるセッションハイジャックなどのサイバー攻撃を防止する機能が含まれています。

セキュリティ対策ソフトの導入により、不正なトラッキング利用やマルウェア感染といったリスクの低減に期待できるのです。

また、一部のアンチウイルスソフトには、Web保護機能やプライバシー保護機能が含まれています。

これらの機能を利用すれば、悪意のあるWebサイトやトラッキングスクリプトのブロックが可能となります。

ただし、無料の対策サービスの中には、逆にユーザーデータを収集・販売しているものも存在するため、十分に比較検討を重ね、信頼できるサービスを選択するようにしましょう。