Web サイトの 80% に問題：入力された検索ワードはビジネスに流用される

Over 80% of the top websites leak user searches to advertisers

2022/09/08 BleepingComputer — セキュリティ研究者たちの調査によると、検索バーを備えた Web サイトの 80% が、訪問者が入力した検索ワードを、Google などのオンライン広告主に対して漏えいしていることが判明した。このような慣行は、ユーザーのプライバシーを侵害し、サードパーティの巨大なネットワークに機密情報を漏えいすることを意味する。したがって、そのサードパーティ・ネットワークは、ターゲット広告の配信や、Web 上でのユーザー行動を追跡に、それらのデータを使用できることになる。

それらのデータは、ネットワークのメンバー間で共有され、他の事業者に販売される一方で、ユーザーは自身の露出度を推定することも、その伝搬を停止することもできない。

Web サイトによっては、このような慣行をユーザー・ポリシーで宣言している場合もあるが、それを確認する訪問者は皆無にちかく、組み込みの検索フィールドに入力した情報は、ビッグデータ・ブローカーから隔離されていると思い込んでいる。

100万の Web サイトをクロールしてみた

Norton Labs は、「この調査を実施するために、組織間に存在する閲覧の妨げや。人手による確認という問題を乗り越えることができるクローラーを作成し、上位 100万の Web サイトで起こっている事象をスキャンした。このクローラーは、訪問したサイトの検索入力を探し出し、JELLYBEANS という単語を検索し、すべてのネットワーク・トラフィックを収集しました」と述べている。

HTTP ネットワーク・リクエストを精査し、サードパーティのへリクエストにおける、JELLYBEANS の出現の有無を判別するというものであり、81.3% のケースで出現を確認できたとしている。

なお、それらのネットワーク・リクエストは URL に加えて、リクエストを受け取ったサーバが取得するリクエスト・リファラー・ヘッダー (リソースの詳細を示す) と、ブラウザのフィンガー・プリントとクリック・ストリーム・データを含むペイロードで構成されている。

その結果として、検索キーワード JELLYBEANS の漏えいの多くは、リファラー・ヘッダー (75.8%) と URL (71%) に含まれ、ペイロードに関しては 21.2% であることが分かった。

訪問した 100万サイトのうち 81.3% が、検査した３つのポイントの、少なくとも１つのポイントを介して、広告主に情報を流出させていた。

Norton Labs は、「これは最低の数字であり、実際の割合は、さらに高くなる可能性がある。たとえば、HTTP リクエストのペイロードは難読化されているものが多く、解析ツールによる検索文字列の特定が不可能だったが、そこに含まれていた可能性がある
」と強調している。

プライバシー・ポリシーにおけるデータ共有慣行の開示について、このクローラーで調べたところ、[検索キーワード] について具体的に言及している Web サイトは 13% のみであり、一般的な [ユーザー情報の第三者との共有] の文言が含まれていたのは 75% であった。

ユーザーにできること

残念ながら、この問題に対してユーザーができることは、訪問する Web サイト上で、すべてのサードパーティ・トラッカーの読み込みをブロックするよう、ブラウザを設定する以外に無いようだ。

また、可能な限り DuckDuckGo や Brave Search のような、プライバシーを重視したエンジンで検索することが、埋め込みフィールドを使用よりも望ましいと思われる。

この Norton Labs の調査ですが、なかなか素晴らしいです。その結果、困ったものという状況が明らかになりましたが、これがインターネットの現実ですね。最近は、クッキー設定が整理されてきて、サードパーティ・トラッカーの OFF を、割と簡単に選べるようになってきました。ただ、これまでに作ってしまったクッキーは、そのままサードパーティ・トラッカーに使われているはずなので、何処かのタイミングで、クッキーのオールクリアを行おうかと考えているところです。その後が、かなり面倒になるので、気が進みませんが、仕方ないのかもしれません。よろしければ、Cookie で検索を、ご利用ください。