個人情報の匿名化、信用できる？

2021年7月25日 19:34

匿名化されていたはずのアプリの位置情報で高位聖職者としては不適切な行動が指摘され、米カトリック司教協議会(USCCB)の事務局長が辞任した(USCCB の声明、 The Pillar の記事、 America Magazine の記事、 Ars Technica の記事)。

位置情報はゲイのソーシャルネットワーキングアプリ Grindr が匿名化してデータブローカーに販売したとされるもの。位置情報とユーザー名は結び付けられていないがデバイスごとにユニーク ID が割り振られており、特定のデバイスがデータを送信した場所と日時が確認できるという。

カトリック教会に関するニュースサイト The Pillar がデータを入手して調べたところ、2018 年から 2020 年にかけて特定のデバイスが(元)事務局長の自宅と職場のほか、ゲイバーや個人宅を訪れていることが判明したとのこと。事務局長は 2018 年の聖職者による児童虐待スキャンダルを受けて USCCB とバチカンの調整役を務めており、訪問した各地でもアプリからデータが送信されていたそうだ。

事務局長の行動に違法性はまったくないが、同性愛に反対するカトリック教会の高位聖職者としては、このようなアプリを使用するだけでもスキャンダラスといえる。そのため、事務局長はUSCCBの運営に支障をきたすことがないよう、The Pillarの記事が公開される前に辞任したとのことだ。

すべて読む | YROセクション | IT | プライバシ |

スラド
「Audacity」のプライバシーポリシー変更案、まるでスパイウェアだと非難される 2021年7月8日 17:02

「Audacity」のプライバシーポリシー変更案、まるでスパイウェアだと非難される

スラド

著者: nagazou

2021年7月8日 17:02

オープンソースのオーディオ編集ツール「Audacity」が買収によりプライバシーポリシーが改訂され、その改訂内容からこれではスパイウェアだと非難する声が出ている。Audacityは5月にMuse Groupという多国籍企業に買収され、7月2日にAudacityの公式サイト上にプライバシーポリシーのドラフト案が提示された。その内容によれば、今後のAudacityのリリースバージョンでは個人情報が送信されるようになるという（Audacity デスクトップ版のプライバシーに関するお知らせ、GitHubでの反対コメント、窓の杜、Phone Mania）。

送信されるデータは以下の通りとなっている

OSのバージョン
IPアドレスとそれに基づくユーザーの国情報
OS名
CPU情報
エラーコードとメッセージ
BreakpadMiniDump形式のクラッシュレポート
法執行、訴訟および当局の要求に該当するデータ（存在する場合）

またすべての個人データは、欧州経済領域（EEA）のサーバーに保存されるという。その上でロシア政府や米国の外部弁護士と個人データを共有する場合があるとも記載されており、EUと米国・ロシアの規制当局の要求に応じて必要なユーザーデータを提出する可能性が示唆されている。この改訂が実施された場合、Audacityはスパイウェア化するという意見もあり、すぐにフォークするべきだとする意見も出ている模様。

スラド
スマートホームカメラ「ATOM Cam」専用アプリで位置情報の無断送信が判明、批判受け修正へ 2021年6月23日 18:05

スマートホームカメラ「ATOM Cam」専用アプリで位置情報の無断送信が判明、批判受け修正へ

スラド

著者: nagazou

2021年6月23日 18:05

あるAnonymous Coward 曰く、

スマートホームカメラ「ATOM Cam」を開発・販売するATOM Tech（アトムテック）は6月12日、同社の提供する「ATOM – スマートライフ」アプリ（Android版、iOS版）において、事前の説明と異なる目的で位置情報を利用していたことを謝罪し、位置情報の利用を停止した修正版のアプリを公開した（ATOM Techのニュースリリース）。

発端は5月29日、Googleのソフトウェアエンジニアである河本健氏がAndroid上でのパケットキャプチャにより、同アプリが起動時に端末の緯度・経度をアトムテックのサーバーに送信していることを発見したことに始まる。

同アプリでは事前に「スマートフォンのWi-Fi情報を取得するため」として初期設定時に位置情報の取得の許可を求めていたが、そのために位置情報を送信する必要性を同社に問い質したところ、実は「ユーザーのタイムゾーンを判定するため」という回答があったという。

しかしながら、タイムゾーンを判定する目的であればタイムゾーン取得用の関数を利用したスマートな方法が存在することや、事前の説明を逸脱した位置情報の利用について、同社からの返信が途絶えたため、河本氏が6月11日にこれまでの経緯をツイートしたところ、1,000リツイートを超える炎上状態となっていた。

同社の説明によれば、問題の原因は社内体制の不備にあり、タイムゾーン判別後の位置情報はサーバーに保存しない仕様であったという。また、問題提起を行った河本氏に対しては、こうした報告を無視せずにすぐ対応できるよう連絡ラインを見直すとの回答があったようだ。

情報元へのリンク

スラド
Tesla、Autopilot時のドライバー監視に車内カメラの使用を開始 2021年5月30日 19:23

Tesla、Autopilot時のドライバー監視に車内カメラの使用を開始

スラド

著者: headless

2021年5月30日 19:23

TeslaがModel 3/Yのソフトウェアアップデートで、Autopilot時のドライバー監視に車内カメラの使用を開始したそうだ(Electrekの記事、 The Vergeの記事、 CNBCの記事、 USA TODAYの記事)。

車内カメラによるドライバー監視機能が導入されたのはソフトウェアバージョン2021.4.15.11。リリースノートによれば、バックミラーの下のカメラを用いてAutopilot使用時にドライバーが十分に注意を払っていない状態を検出・警告するという。カメラのデータは共有を有効にしない限り、保存されたり外部に送信されたりすることはないとのこと。

他社の先進運転支援システムではカメラの映像を用いて運転席にドライバーが座っていることを確認する仕組みを備えるが、これまでAutopilotは同様の仕組みを備えておらず、Autopilotが有効な状態でドライバーが助手席や後部座席へ移動することも可能だった。ただし、Teslaは完全自動運転(FSD)ベータテストで十分な注意を払わないオーナーをベータプログラムから除外しており、イーロン・マスク氏はカメラで注意力低下を検出しているのかという質問に「Yes」と答えていた。

英情報コミッショナー事務局、ユーザーの意図に反した追跡を損害と認めなければデータ侵害を取り締まれなくなると示唆

スラド

著者: headless

2021年5月4日 19:18

英情報コミッショナー事務局(ICO)が英最高裁に対し、ユーザーが自分のデータをコントロールできなくなることを「損害」と認めなければデータ侵害を取り締まれなくなると示唆しているそうだ(The Registerの記事[1]、 [2]、 HackReadの記事)。

本件はGoogleがiPhoneのSafariでデフォルト設定のサードパーティcookieブロックを迂回し、ユーザーを追跡していたことについて2017年に提起された代表訴訟に関するものだ。一審では訴えが認められなかったが、二審で逆転したため、Googleが上告していた。ICOは訴訟当事者ではないが、代理人の弁護士が第三者として訴訟に加わっている。

オプトイン方式の日本の集団訴訟とは異なり、英国(イングランドとウェールズ)の代表訴訟は同じ損害を受けたすべての人を原告代表が代表する点で米国のクラスアクション訴訟に近いものだが、代表される全員がまったく同じ利害関係を持つ必要があるという。そのため、Google側はユーザー追跡による損害を受けた人が何人いるか確認しようがなく、訴訟は棄却されるべきだと主張しているとのこと。

しかし、ユーザーの意図に反してWebアクセスを追跡すれば、ユーザーが自分のデータをコントロールできなくなることになる。そのため、ユーザーの意図に反する追跡自体が損害と認められなければ、データ侵害が発生してもデータの悪用による被害が発生しない限り取り締まれなくなる、というのがICOの弁護士の見解のようだ。

スラド
GoogleのFLoC、Chrome以外のメジャーブラウザーはサポートしない雰囲気 2021年4月19日 17:06

GoogleのFLoC、Chrome以外のメジャーブラウザーはサポートしない雰囲気

スラド

著者: nagazou

2021年4月19日 17:06

headless 曰く、

サードパーティcookieを使用せずに関連性の高い広告を表示する仕組みとしてGoogleはFLoC(Federated Learning of Cohorts)を開発しているが、Chrome以外のメジャーブラウザーはChromiumベースのものを含めてサポートしない雰囲気になっている(The Vergeの記事、 Windows Centralの記事)。

FLoCは共通の興味を持つユーザーを大きなグループに分けることで関連性の高い広告を表示しつつ、個別のユーザーを群衆の中に隠すことができると説明されているが、ユーザーの合意なく追跡されることに違いはない。BraveとVivaldiはブログで明確にFLoC無効化を表明しており、Operaは現時点で有効化する計画はないとThe Vergeに回答している。

MicrosoftはThe Vergeに対し、明確にMicrosoft EdgeでFLoCを無効化するとは断言しなかったものの、全体的には反対の雰囲気だ。ただし、ブラウザーベースで個別のユーザー特定を必要としないものや、IDベースでユーザーの合意とファーストパーティの関係によるものなど、関連性の高い広告を表示する仕組みを探っていると述べ、Microsoftが提唱する、プライベートで匿名化されたリクエストにより広告の実効性を維持しつつ透明性を高める「PARKEET」を例に挙げている。

Mozillaは多数提案されているプライバシーを維持する広告表示の仕組みを検討しているが、現時点で実装予定のものはないと回答。The VergeではAppleに直接問い合わせていないとのことだが、WebKitエンジニアのJohn Wilander氏がBraveのFLoCに対する姿勢を紹介したツイートへの質問に答え、(Safariに)実装するとは言っていないと述べている。

監視カメラサービスがハッキングを受ける。企業や病院、警察、刑務所など15万台以上の映像が流出

スラド

著者: nagazou

2021年3月12日 18:01

クラウド型のビル監視・運用ツールを提供しているスタートアップ企業のVerkadaが外部からハッキングされたそうだ。これにより同社の利用者15万台以上のカメラ映像が流出したと報じられている（Bloomberg、ブルームバーグ、Engadget）。

犯行はSuper Administratorの権限を入手する手法で実行されたとされる。被害は電気自動車メーカーのテスラが利用している222台ものカメラのほか、Cloudflareをはじめ病院、警察、刑務所、学校、そしてVerkada自身がオフィス等に設置している監視用ネットワークカメラに関しても映像が流出したとされる。また全顧客の映像記録全てにもアクセスできたそうだ。

病院を含む一部のカメラでは、Verkadaが提供している顔認識技術を使用して、映像でキャプチャされた人物を識別および分類することもできた。Bloombergの記事によれば、Verkadaは不正アクセスを防止するため、すべての内部管理者アカウントを無効にしたとする声明を出しているという。なおVerkadaの公式サイト上には今のところリリース等は出されていない。

この件に関して、被害にあった一社であるCloudflareが自社ブログで、事件の経緯や被害状況について解説する記事を掲載した。Cloudflareは、サンフランシスコ、オースティン、ニューヨーク、ロンドン、シンガポールのオフィスの監視にVerkadaのサービスを使用しているという。同社はVerkadaからハッキングの連絡を受けると、すべての場所のカメラをシャットダウンした。なお先の話題にあった顔認識アプリは同社では使用していないと説明している（Cloudflare、GIGAZINE）。

スラド
Brave、プライバシーを重視する独自サーチエンジンを提供する計画 2021年3月6日 17:18

Brave、プライバシーを重視する独自サーチエンジンを提供する計画

スラド

著者: headless

2021年3月6日 17:18

Braveは3日、オープンサーチエンジン「Tailcat」の買収を発表した(Braveのブログ記事、 The Registerの記事、 SlashGearの記事、 Ghacksの記事)。

Tailcatは昨年サービスを終了したプライバシー重視のサーチエンジンCliqzの元開発者によるサーチエンジンで、Braveではこれを基礎として独自サーチエンジン「Brave Search」を開発する計画だ。Tailcatは完全に独立したインデックスを用い、ユーザーのプライバシーを損なうことなく高品質な検索結果を提供するという。これにより、Brave Searchはユーザーを追跡しないプライベートなサーチエンジンとなり、匿名化されたコミュニティからの貢献により改善を進めていく。広告の表示される無料版のWeb検索だけでなく、広告なしの有料版を提供する計画もあるそうだ。

なお、CliqzはMozillaが2017年にドイツでFirefoxユーザーの一部を対象に無断で拡張機能を同梱する実験を行って問題になったあのCliqzだ。

スラド
WhatsApp、新プライバシーポリシーを承認しないユーザーのアカウントがどうなるか説明 2021年2月25日 18:03

WhatsApp、新プライバシーポリシーを承認しないユーザーのアカウントがどうなるか説明

スラド

著者: nagazou

2021年2月25日 18:03

headless 曰く、

WhatsAppが5月15日に発効する新プライバシーポリシーについて、承諾しないユーザーのアカウントの扱いを解説する新しいFAQページを公開している(The Vergeの記事、 The Guardianの記事、 Mashableの記事、 Softpediaの記事)。

WhatsAppはFacebookとのデータ共有を盛り込んだ新プライバシーポリシーを1月に公開してユーザーから強い反発を受けた。変更はビジネスアカウントを見つけやすくするためのものであり、メッセージや通話の内容にWhatsAppやFaecbookがアクセスすることはないと説明し、発効日も2月から5月に先送りしているが、SignalやTelegramに百万人単位でユーザーが流れているとも報じられている。

新しいFAQページでは新プライバシーポリシーを承諾しなくてもユーザーアカウントが削除されることはないと説明している。ただし、5月15日以降は機能が制限され、しばらくの間は通知や通話の着信を受けることが可能だが、メッセージの送受信はできなくなるという。5月15日以降も新プライバシーポリシーを承諾することは可能で、(そう書かれてはいないが)承諾した時点で利用を再開できるとみられる。

一方、チャット履歴のエクスポートやアカウント情報リポートのダウンロードは5月15日まで可能とされており、5月15日以降については説明がない。120日以上経過したらアカウントを削除するという非アクティブユーザーに対するポリシーが適用されるとの記述もみられるが、新プライバシーポリシーを承諾しないユーザーが5月15日以降非アクティブとみなされるのかどうか不明確だ。

スラドではユーザーが少ないように感じるWhatsAppだが、皆さんがよく使用するメッセンジャーアプリは何だろうか。

スラド
中国で盗聴器入りのモバイルバッテリーを販売していた業者が摘発される 2021年2月4日 13:35

中国で盗聴器入りのモバイルバッテリーを販売していた業者が摘発される

スラド

著者: nagazou

2021年2月4日 13:35

中国で盗聴器入りのモバイルバッテリーが話題になっていたようだ。中国の全国ネット「中国中央電視台（CCTV）」が報じたもので、このモバイルバッテリーは348元で販売されていたという。指定されたアプリから盗聴機能を起動することができ、またGPSによる位置情報や移動の軌跡、録音データの受信などができるという。また音量検知機能により、近くの会話を自動で録音を開始する設定もあるという（ZDNet Japan）。

ZDNet Japanに掲載された元記事によれば、もともとは中国で利用の多いシェアサイクル用の防犯ツールとして販売されていた部品を転用した製品のようだ。自転車の位置を把握できるだけでなく、バッテリーだけ盗まれた場合でも居場所をつかめるという使い方のために用意されたものであるらしい。なお、南京警察は製造販売していた深センの業者などの関係者28人を逮捕、端末2000個以上を押収したとしている。

すべて読む | YROセクション | 犯罪 | 通信 | YRO | 中国 | プライバシ |

スラド
開発者の正直さに依存するApp Storeのプライバシー情報表示、どれぐらい意味がある？ 2021年2月1日 18:05

開発者の正直さに依存するApp Storeのプライバシー情報表示、どれぐらい意味がある？

スラド

著者: nagazou

2021年2月1日 18:05

headless 曰く、

Appleは年末からApp Storeでアプリのプライバシー情報の表示を開始しているが、情報は開発者の自己申告であり、中には不正確なものもあるようだ(The Washington Postの記事、 Mac Rumorsの記事、 9to5Macの記事)。

アプリのプライバシー情報は食品の栄養素ラベルのように一見して必要な情報が把握できるようにするもので、アプリが収集するデータの種類や扱いなどが「Appのプライバシー」セクションに記載される。これらの情報は新規アプリおよびアプリのアップデートをApp Storeに提出する際に必須となるが、Appleは「デベロッパには、回答を正確かつ最新の情報に保つ責任があります」とするのみで、掲載前に確認は行われないようだ。実際に「Appのプライバシー」セクションで「詳細を表示」をクリックすると「この情報はAppleによって検証されていません」という但し書きがみられる。

The Washington Postの記事では、テクノロジーコラムニストのGeoffrey Fowler氏が「データの収集なし」と表示されるアプリによるデータ収集が判明したと伝えている。その後Fowler氏は数十本のアプリを検証し、半数以上が「Appのプライバシー」の記載と異なるデータ収集を行うことを確認したという。Fowler氏はVPNアプリ「Privacy Pro」の追跡防止機能がブロックした通信のリストを証拠として示し、Apple製品のセールスポイントであるプライバシーはユーザーのためではなく、Appleが利益を得るためだと批判する。

AppleはFowler氏に対し、開発者が提供するプライバシー情報の正確性を順次確認しており、不正確な情報を修正するよう開発者に求め、修正されない場合は将来のアップデートの却下やApp Storeからの削除も行うなどと説明したという。Fowler氏からの連絡を受けて「Appのプライバシー」に表示する情報を修正したり、アプリ自体を修正したりする開発者もいるが、修正することなく公開を続けている開発者もいるとのことだ。

スラド
Dell、Webカメラ使用に合わせて自動で開閉する「SafeShutter」搭載ノートPCを発表 2021年1月11日 17:25

Dell、Webカメラ使用に合わせて自動で開閉する「SafeShutter」搭載ノートPCを発表

スラド

著者: headless

2021年1月11日 17:25

Dellは5日に発表したビジネス向けモバイルPC Latitude 9420/9520のWebカメラには、使用状況に合わせて自動開閉するシャッター「SafeShutter」が搭載されるそうだ(プレスリリース、 The Vergeの記事、 SlashGearの記事、動画)。

Webカメラ稼働中にはパイロットランプが点灯するが、過去にはパイロットランプを無効化してカメラを使用可能な脆弱性が発見されたこともあり、プライバシーの観点から物理的にふさぐ人も多い。ただし、後付けのカメラカバーはディスプレイを傷つける可能性もある。ビデオ会議でWebカメラを使用する頻度が高まっている昨今では繰り返し貼り直すことになる。

SafeShutterはビデオ会議アプリに連動して自動でシャッターが開閉するというもので、動画では赤い薄板がスライドしてレンズを覆う様子が確認できる。Webカメラ用の自動シャッターは業界初だという。このほかにもビデオ会議向けの機能強化が行われており、Intel Visual Sensing Technologyによる自動ウエイクアップ/ロックも利用できる。

プレスリリースに細かいスペックは記載されていないが、Wi-Fi 6Eまたは5G LTEが利用可能で、第11世代Intel Core i7プロセッサーが選択可能とのこと。14インチディスプレイのLatitude 9420は2021年春発売で1,949ドルから、15インチのLatitude 9520の価格は後日発表となっている。

スラド
シンガポール政府、COVID-19接触者追跡システムを犯罪捜査にも使用すると発表 2021年1月9日 13:37

シンガポール政府、COVID-19接触者追跡システムを犯罪捜査にも使用すると発表

スラド

著者: headless

2021年1月9日 13:37

シンガポール政府は4日、COVID-19接触者追跡システムTraceTogetherのWebサイトでプライバシーに関するページを更新し、収集したデータを犯罪捜査に使用することがあるとの文言を追加した(TraceTogether Privacy Safeguards、 The Straits Timesの記事、 Ars Technicaの記事、 The Registerの記事)。

シンガポールではTraceTogetherアプリの提供を昨年3月に開始し、6月にはスマートフォンなしでも利用可能なトークンの無料配布を開始している。TraceTogetherはBluetooth近接通信を利用して接触者を検出し、匿名化されたデータをデバイス内に保存する。基本的にサーバーでは登録情報だけが保存され、COVID-19陽性が確認された場合のみデータのアップロードが求められる。これまでシンガポール政府はTraceTogetherのデータをCOVID-19接触者追跡にのみ使用し、犯罪捜査には使用しないと説明していた。

しかし、シンガポールの刑事手続法(CPC)では、警察が捜査や裁判で必要な文書や物品の提出を命じることが可能だと定められている。更新版のPrivacy SafeguardsではTraceTogetherのデータもCPCの例外ではないとし、シンガポール警察が犯罪捜査で必要だと判断した場合にはデータのアップロードを命じる権限がCPCにより与えられると明記されている。

すべて読む | YROセクション | 犯罪 | YRO | 医療 | プライバシ |

スラド
河野大臣が"Zoom危険厨"にTPOでの使い分けを諭す 2021年1月4日 14:35

河野大臣が"Zoom危険厨"にTPOでの使い分けを諭す

スラド

著者: nagazou

2021年1月4日 14:35

河野太郎規制改革大臣が12月末にシンガポールに出張、現地からZoomでオンライン記者会見を行ったところ、河野大臣にZoomの安全性に関して指摘するユーザーが複数出たようだ。過去のセキュリティ問題や先日の米司法省がZoom関係者を起訴したことなどを念頭に置いた指摘と思われるが、河野大臣はTwitterやブログでこうした意見に反論している（河野太郎公式Twitter、河野太郎公式サイト）。

反論の内容は明確で、Zoom経由で公開されている記者会見や公開フォーラムは一般公開されているものであり機密漏洩の心配はないというもの。国内の会議も同様であり、参加者はZoomの持つリスクを理解した上で参加しているとしている。また、

2カ国や3カ国の外相電話会談や防衛相電話会談などを行う場合も、その際のシステムの脆弱性に応じて話せる内容が変わってきます。機微な内容を話す時は、それに応じたシステムを選びます。必要なシステムが使えない時は、機微な話はできません。

として、機密性と利便性に応じてシステムを使い分けていると話している。

すべて読む | YROセクション | YRO | 政治 | 政府 | プライバシ |

スラド
アプリのユーザートラッキング許可を求めるiOS 14のプロンプト、一部で表示されるようになる 2020年12月27日 09:56

アプリのユーザートラッキング許可を求めるiOS 14のプロンプト、一部で表示されるようになる

スラド

著者: headless

2020年12月27日 09:56

アプリによるユーザートラッキング許可を求めるiOS 14のプロンプトが一部で表示されるようになったと報告されている(Mac Rumorsの記事、 9to5Macの記事、 Softpediaの記事)。

iOS 14/iPadOS 14/tvOS 14ではプライバシーが強化され、アプリがユーザーをトラッキングしたりデバイスの広告識別子にアクセスしたりする場合にはAppTrackingTransparencyフレームワークを通じて許可を得る必要がある。もともとAppleは9月のiOS 14リリースと同時に義務付けを開始する計画だったが、トラッキングが広告の価値を高めると主張するFacebookが強く反発しており、義務付け開始は来年に先送りされている。

プロンプト表示が最初に報告されたのは先週リリースされたベータ版のiOS 14.4だが、iOS 14.2やiOS 14.3で表示されたとの報告も出ている。Mac Rumorによれば、iOS 14は最初のリリース時点でプロンプト表示機能を備えていたとのこと。Appleはプロンプト表示義務付け開始を来年の早い時期と説明しているが、具体的な時期については明らかにしていない。

iPhoneを使うスラドの皆さんは、このようなプロンプトを既に目撃しただろうか。

スラド
ポイ活ブラウザ「SMOOZ」サービス終了のお知らせ 2020年12月24日 12:00

ポイ活ブラウザ「SMOOZ」サービス終了のお知らせ

スラド

著者: nagazou

2020年12月24日 12:00

先日、閲覧情報を外部に送信しているとして話題となったポイ活Webブラウザ「Smooz」だが、提供元であるアスツールは23日、サービスの終了を発表した（Smooz BLOG）。

リリースによれば、

状況の確認と対策、原因調査を進めてまいりましたが、Smoozの提供を継続することは困難との結論にいたり、2020年12月23日をもってサービスを終了させていただきますことをご報告申し上げます。

これまでに収集したご利用者様の情報につきましては、返金に必要な情報以外はすべて削除が完了しております。返金対応が完了次第、全ての情報を削除いたします。収集したデータに関して悪用、個人情報の社外への流出は、現在のところ確認されていません。

としている。プレミアム会員に関しては返金処理を、交換可能なSmoozポイントを持っている場合は、交換に応じるとしている。返金手段や交換方法については後日通知するとしている。

デバイスフィンガープリントによるサイト閲覧者追跡、大手サイトの2割で利用。担当者すら知らない例も

スラド

著者: nagazou

2020年12月23日 14:33

日経新聞の調査によると、国内の消費者向け主要サイトの約2割で閲覧者の追跡を行っていることが分かった。日本経済新聞と情報管理サービスのデータサインが主要100社のサイトを解析したところ、デバイスフィンガープリント（DF）の利用が22社で確認されたという（日経新聞）。

記事中の社名を抜き出してみると、味の素、エアビーアンドビー（Airbnb）、アパホテル、オリエンタルコーポレーション、キリンHD、第一生命保険、東京海上日動火災保険、パーク24※、JTB※、ZOZO、オリエンタルランド※、ぐるなび※、全日本空輸※、ニトリHD、日本航空※、ファーストリテイリング、三越伊勢丹HD、ユナイテッドアローズ、ヨドバシカメラ、楽天、リクルートライフスタイル、となっている。

なお※印の企業は企業自身もDFの利用を把握していなかったという。またオリエンタルコーポレーションおよびヨドバシからは回答がなかったとしている。日経新聞が各企業に「DFで集めたデータを趣味嗜好などの個人分析に使ったか」を問い合わせたところ、12社が「使っていない」と回答。残りは回答拒否や未回答だったとしている。

スラド
ポイ活ブラウザアプリSmoozは閲覧情報をすべて外部送信している 2020年12月21日 12:00

ポイ活ブラウザアプリSmoozは閲覧情報をすべて外部送信している

スラド

著者: nagazou

2020年12月21日 12:00

ブラウザアプリ「Smooz」個人情報を数多く送信しているとして話題になっているようだ。Smoozは検索するだけでポイントがもらえるサービスなどを提供しており、人気を博しているのだという。一方でこのことを指摘しているreliphone (for iPhone) の記事によれば、その利用情報がすべて開発元のアスツール社に送信されているそうだ。

reliphone (for iPhone) の複数回にわたって行われた検証記事では、Smoozがどのような挙動を見せているのかなどの点を指摘している。記事冒頭の何が行われているかをまとめてある部分を引用すると次のようになる（reliphoneその1、その2、その3）。

デフォルトの設定では、設定・操作・閲覧情報がユーザーID、デバイスIDと共にアスツール社のサーバーへ送信されている
検索窓に入力した文字は、検索ボタンを押さなくても、その内容が逐一アスツール社のサーバーへ送信されている
検索内容がアダルト関連ワードかどうかがアスツール社のサーバーに送信され判定されている
サービス利用データの提供設定をオフにしても、閲覧情報がアスツール社のサーバーに送信されている
プライベートモードにしても、閲覧情報がアスツール社のサーバーに送信されている
https通信であろうとも閲覧したURLは完全な形でアスツール社のサーバーに送信されている

ただしユーザーはこのアプリを利用する時点で、同社の規定しているプライバシーポリシーには同意しており、個人情報の流出はユーザー自身が認めたものとなっている。また公式Twitterの説明でも、収益を得る方法として、

①アプリ内のフィード等に表示される広告 ②プレミアムサービスの月額課金

としており、個人情報を利用して広告を表示することで収益を得ていること自体は明記されている。ただしSmoozによって送られた情報は非常に多く、送られたその情報がどのように扱われているかは不透明な部分が多い。こうした指摘を受けて、開発元のアスツール社は声明を発表した。

ただし、20日夜の段階では

ご指摘により新たな問題が見つかったので、App StoreおよびGoogle PlayでのSmoozの配信を停止いたしました。

とTwitterで発表している。

スラド
GitHub、cookieバナーを廃止 2020年12月20日 13:39

GitHub、cookieバナーを廃止

スラド

著者: headless

2020年12月20日 13:39

GitHubは17日、ユーザーにcookie保存の合意を求めるバナー表示の廃止を発表した(GitHub Blogの記事、 Neowinの記事、 The Vergeの記事、 The Registerの記事)。

EUの法令ではWebサイトが機能上必要不可欠でないcookieを使用する場合、バナーを表示してユーザーが合意するかどうかを選択できるようにすることが義務付けられている。必要不可欠でないcookieの例としては、Web全体にわたるユーザーの行動を追跡して広告を表示するサードパーティーのサービスによるcookieなどが挙げられる。

cookieバナーはユーザーのプライバシー保護のために表示されるものだが、うっとうしく感じられることもある。GitHubではプライバシー保護とうっとうしさの排除を両立する方法を検討した結果、必要不可欠でないcookieを使用しないという結論に達したとのことだ。

スラド
フランスのデータ保護当局、cookie保存などについてAmazonに3,500万ユーロ、Googleに1億ユーロの制裁金 2020年12月13日 09:53

フランスのデータ保護当局、cookie保存などについてAmazonに3,500万ユーロ、Googleに1億ユーロの制裁金

スラド

著者: headless

2020年12月13日 09:53

フランスのデータ保護当局CNIL(情報処理および自由に関する国家委員会)は10日、amazon.frとgoogle.frが広告用cookieに関連してフランスのデータ保護法82条に違反したとして、Amazon Europe Coreに3,500万ユーロ、Google LLCおよびGoogle Ireland Limitedに合計1億ユーロの制裁金を7日付で命じたことを発表した(CNILのニュースリリース: Amazon / Google、 The Vergeの記事)。

データ保護法違反はAmazonが2件、Googleが3件。1件目は両社共通で、ユーザーの同意を得るまで保存してはいけない広告用cookieをWebサイトにアクセスした時点で保存していたというもの。2件目は具体的な内容が異なるが、両社ともcookieに関する十分な情報をユーザーに知らせていなかったというものだ。Googleの3件目は広告のパーソナライズを無効化しても広告用cookieの1つが保存されていたというもので、Webサービス提供に必要不可欠でない広告を拒否できるメカニズムが部分的に破られたとのこと。Googleに対する制裁金の内訳は、Google LLCが6,000万ユーロ、Google Ireland Limitedが4,000万ユーロとなっている。

Amazon、Googleともに現在はユーザー同意前のcookie保存をやめているが、バナー表示される内容はフランスのユーザーに十分な情報を提供していないという。そのため、CNILでは両社に3か月以内の修正を命じており、修正が1日遅れるごとに10万ユーロの罰金を科すとのこと。

今回の決定に対しGoogleは、フランスの法制や当局の指導が変わりやすく、常に発展していることを考慮していないなどと反発しているそうだ。Amazonも消費者と当局の要求や期待の発展に合わせてプライバシー習慣を改良しており、運営する各国で適用される法制のすべてを順守しているなどと反発しているとのことだ。

すべて読む | YROセクション | Google | EU | 広告 | お金 | プライバシ |

ノーマルビュー