Tracker Installations Are Not Created Equal: Understanding Tracker Configuration of Form Data Collection

この論文は、Google と Meta のトラッカーがウェブフォームから個人識別情報(PII)を収集するよう設定される仕組みを分析し、両社がプライバシー保護に関する不正確な記述を含みつつも設定を推奨している実態と、特に Meta のトラッカーがフォームデータ収集に頻繁に設定されているという大規模測定結果を明らかにしたものである。

Julia B. Kieserman, Athanasios Andreou, Chris Geeng, Tobias Lauinger, Damon McCoy

公開日 2026-03-06
📖 1 分で読めます☕ さくっと読める

Each language version is independently generated for its own context, not a direct translation.

🕵️‍♂️ 物語の舞台:「デジタルの街」と「見えないカメラ」

インターネット上には、Google や Meta(Facebook の親会社)が提供する**「見えないカメラ(トラッカー)」**が、あちこちに設置されています。
ウェブサイト運営者は、自分の店の人気を測ったり、広告を打ったりするために、このカメラを店(ウェブサイト)に設置します。

しかし、このカメラには**「顧客が記入するアンケート用紙(フォーム)」の中身まで読み取れる機能があります。
この機能は、
「フォームデータ収集」**と呼ばれます。

🔍 この研究が明らかにした「3 つの大きな問題」

研究者たちは、このカメラの設置マニュアル(ドキュメント)と、実際に 4 万サイト以上を調査して、以下のような驚くべき事実を見つけました。

1. マニュアルが「誘導」している(悪い魔法使いの嘘)

Google と Meta は、ウェブサイト運営者にマニュアルを渡しています。

  • 嘘の魔法: 「個人情報をハッシュ化(暗号化)すれば、プライバシーは守られますよ」と書いてあります。
    • 現実: これは**「魔法の粉をまけば怪獣が消える」と言っているような嘘**です。実際には、ハッシュ化されても、Google や Meta が「あ、この人はあの広告を見ていた人だ!」と特定できてしまいます。アメリカの政府機関(FTC)も「ハッシュ化はプライバシー保護にならない」と何度も警告しています。
  • 悪いデフォルト設定: Meta のカメラの設置マニュアルは、「すべての個人情報(名前、電話、住所など)を自動的に集める設定」が最初からオンになっています。
    • 運営者が「いや、それはやめとこう」と自分でオフにしない限り、カメラは勝手に全部集め続けます。まるで、スーパーのレジで「お菓子も全部買いますか?」と聞かれ、何も言わなければ自動的にカートに詰め込まれてしまうようなものです。

2. 「病院」や「銀行」でも盗み見られている

法律で守られている**「病院(医療)」や「銀行(金融)」のウェブサイト**では、このカメラによる個人情報収集は禁止されています。

  • しかし、現実は: 多くの病院や銀行のサイトでは、このカメラが**「集める設定」のまま稼働していました。**
    • 運営者が「これは医療サイトだから」と正しく登録していないか、あるいはマニュアルの「悪い魔法」に騙されて、知らないうちに患者や顧客の情報を第三者に渡してしまっていたのです。
    • 統計: Meta のカメラがあるサイトでは、**62.3%が個人情報を収集する設定になっていました。一方、Google のカメラでは11.6%**でした。Meta の方が、運営者を「集める設定」に誘導する仕組みが巧妙だったのです。

3. 運営者は「悪気なく」やってしまっている

ウェブサイトを作っている人たちは、悪意を持って情報を盗もうとしているわけではありません。

  • 彼らは「広告を効果的にしたい」という目的でカメラを設置します。
  • しかし、「集める設定」が最初からオンになっていること、「ハッシュ化すれば安全」という嘘に騙され、「医療サイトだから収集禁止」というルールを知らずに設置してしまっているのです。
  • これは、「自動運転の車」を運転しているつもりが、実は「全自動で隣人の家の鍵を盗むモード」がオンになっていたようなものです。

📊 具体的な数字で見る現実

  • Meta(Facebook)のカメラ: 設置されているサイトの**62.3%**が、個人情報を収集する設定でした。
  • Google のカメラ: 設置されているサイトの**11.6%**が収集設定でした。
  • 収集される情報: 名前、電話番号、メールアドレス、住所、性別、生年月日など。特に「名前」「電話」「メール」の 3 つは、90% 以上のサイトで収集されていました。これらが揃えば、あなたの正体がバレバレです。

💡 私たちができることと、今後の課題

この研究は、**「カメラの設置マニュアルや説明書が、ユーザーのプライバシーを危険にさらしている」**と警鐘を鳴らしています。

  • 運営者へのアドバイス: 外部の業者に頼む際も、「本当に個人情報を集める設定になっていないか?」を必ず確認してください。
  • 利用者へのアドバイス: 広告ブロッカーを使うことで、ある程度防げますが、サイトが動かなくなることがあります。
  • 社会への提言: Google や Meta には、「集める設定」を最初からオフにすること、そして**「ハッシュ化は安全ではない」という真実**を伝える必要があります。また、政府は、医療や金融サイトでの違反に対して、もっと厳しく取り締まるべきです。

🎭 まとめ

この論文は、**「テクノロジーの便利さの裏側で、私たちの大切な個人情報が、うっかり(あるいは悪意あるマニュアルによって)盗み見られている」**という現実を浮き彫りにしました。

まるで、「無料のカメラを置きますよ」と言われて店に設置したら、実は「客の財布の中身まで記録する機能」が最初からオンになっていたようなものです。私たちは、その「見えないカメラ」の正体を知り、慎重に扱わなければなりません。