(cache) 行動ターゲティング広告はどこまで許されるのかインターネット-最新ニュース:IT-PLUS

　インターネット広告は最近、閲覧者のアクセス履歴から嗜好を分析して関心を持ちそうな広告を配信する「行動ターゲティング広告」にシフトしつつあるようだ。特に、日本ならではの事情により、欧米には見られない方式の広告システムが今年になって続々登場している。これらにはプライバシーやセキュリティー上のリスクを伴うものもあるが、はたしてユーザーはそれを承知しているのだろうか。（高木浩光・産業技術総合研究所情報セキュリティ研究センター主任研究員）

■ブラウザーの「バグ」を用いた行動追跡

　行動ターゲティング広告は以前から存在していたが、今年の動向として新しいのは、行動を追跡する手段として、自サイトでの閲覧行動だけでなくよそのサイトでの閲覧行動まで追跡するタイプが現れたことだ（参照：ヤフー、楽天、ＭＳが新商品を投入・広告ネットワークの戦い〔１〕）。

　この記事で紹介されている「楽天ad4U」は、「ユーザーのブラウザー側で保有している履歴情報をもとにユーザーの嗜好を解析して、広告を配信するという仕組み」だという。これはどういうことか。筆者が調べたところ、ブラウザー側の欠陥を突くことによって閲覧履歴を取得するものであることがわかった。

　仕組みはこうだ。Webページのリンクは標準では青色で表示されるが、訪問済みのリンクは紫色に変わる。このリンクの表示色をJavaScriptなどのプログラムで取得することができれば、閲覧者が特定のサイトに行ったことがあるか否かを調べることができてしまう。

　たとえば個人でブログを開設している人が、自分のブログを訪れているのがどんな人たちなのかを知りたいと思ったとしよう。通常ならば、サイトの運営者はアクセス元のIPアドレスから訪問者の国や地域を調べるくらいのことしかできない。

　ところがこの仕組みを使って、特定のサイトのURLを隠しリンク（画面上には表示されない）としてブログに埋め込んでおき、表示色を取得するプログラムを仕掛けておけば、訪れた人がそのサイトに行ったことがあるかないかを、ブログの開設者は密かに知ることができてしまう。たとえば、アダルトサイトのURLを埋め込んでおけば、訪問者が過去にそのアダルトサイトを利用したかどうかがわかってしまうことになる（図1）。

　このようなことができてしまうのは、一部のWebブラウザーに古くから存在する欠陥が原因である。WebブラウザーのFirefoxでは、2002年5月に「バグ番号:147777」として報告されているバグであり、今も解決方法が議論されているものの、HTMLやスタイルシートの仕様上の欠陥であるためスマートな対策方法が見つからず、未解決となっている。同様に、FlashなどのJavaScript機能を持つプラグインにもこの欠陥があるようだ。

　楽天ad4Uの実際の広告を調べてみたところ、Flashオブジェクトの中に数千個の隠しリンクが埋め込まれており、JavaScriptによってそのリンクの訪問の有無を調べ、どんなカテゴリーのサイトに多く訪問しているかを集計し、そのカテゴリーの広告を表示するようになっていた。

　ad4Uの開発元のドリコムの発表文によると、この方式は「プライバシー保護にも優れています」と説明されている。これはどういうことかというと、数千個のリンクのそれぞれの訪問の有無は、ブラウザー上で処理され、サーバーには送信されないからだ。ブラウザー上の統計処理によって表示する広告を決定し、広告の番号だけがサーバーに通知される仕組みとなっているようだ（図2）。

■バグの存在を前提にした事業のリスク

　従来方式の行動ターゲティング広告では、クッキー（cookie）を用いて閲覧者にIDを割り振り、IDごとの閲覧履歴をサーバー側で追跡する必要があったため、これがプライバシー上問題であるとしてしばしば批判されることがあった。ad4Uの方式ではその必要がないため、「プライバシー保護にも優れています」というのだろう。しかし、ブラウザー側のバグを突くプログラムを配信するという手法は次の２つの点で問題があるのではないか。

　第一に、将来、ブラウザー側のバグが修正されたら、この広告は機能しなくなる。バグの存在を前提にしたシステムをビジネスとして展開することにリスクはないのか。

　このような利用が広く普及してしまうと、ブラウザー側でバグを修正する動きに対してブレーキをかけることにもなりかねない。その結果として、先に述べたブログでアダルトサイトの閲覧の有無を盗み見るような悪質な行為を防げなくなってしまう。

　第二に、このような方法で閲覧履歴を参照するプログラムは、現在国会で継続審議となっている刑法改正案の「不正指令電磁的記録作成等の罪」（いわゆる「ウイルス作成罪」）のいう「不正な指令」に該当するおそれがあると筆者は考える。なぜなら、これは、人がブラウザーを使用するに際して「その意図に反する動作をさせる」プログラムだからだ。

　ウイルス作成罪は未成立であるから合法ではあるが、企業のビジネス行為として倫理的に許されるものだろうか。英語圏ではこうした行為に対して必ず批判の声が上がるもので、こういうプログラムは「スパイウエア」と認定されると筆者は考える。それに対して日本では、表立って批判する人がほとんどいないため、このようにいつの間にか実用化されてしまう。

次ページ：もう一つの新たな広告手法・「個体識別番号」を用いた行動追跡

更新：10月16日 10:03インターネット：最新ニュース

行動ターゲティング広告はどこまで許されるのか

● 関連記事

● 記事一覧