データハーベスティング：プライバシーリスクとオンラインで身を守る方法

何気ない会話でふとある商品の話をしたら、その直後にスマホにその広告が表示されたーーこんな経験があるかもしれません。思わず「もしかして、スマホに監視されてる？」と感じてしまいますよね。答えは、半分イエス、半分ノーです。

これは、あなたの検索履歴、SNSの投稿、アプリの使用状況、位置情報、オンラインでの行動など、これまでに収集されたデータが絶妙なタイミングで組み合わさって使われた結果です。まるで誰かに盗み聞きされているように感じますが、このプロセスは「データハーベスティング」として知られています。

データハーベスティングとは？

データハーベスティングとは、人・企業・デバイスに関する情報を大規模に収集することを指します。 収集される情報は、閲覧行動やアプリの利用状況から、メールアドレス、位置情報、購入履歴、さらにはIPアドレスのようなデバイス識別子まで多岐にわたります。企業は、価格情報や商品ラインナップ、顧客レビューといった市場関連データを収集することもあります。

こうしたデータは、サービスに登録する際のように本人が把握したうえで収集される場合もあれば、トラッカーやCookie、バックグラウンドで動くスクリプトを通じて、本人が気づかないうちに収集される場合もあります。

あなたが訪れる場所の一つひとつが、あなたについて小さなメモを取っている想像してみてください。1つのメモだけを見れば大した情報ではありませんが、それらすべてを組み合わせると、あなたがどんな人で、どのように行動するのかを非常に詳細に描き出すことができます。そこまで詳しく人物像を分析されると、プライバシーに踏み込まれているように感じることもあります。

収集したデータがどれだけ役立つかは、そのデータが目的に合っているか、そして正確かどうかに大きく左右されます。企業はこうしたデータを、トレンドの分析、顧客行動の理解、製品の改善、そして個々の興味・関心により合わせた広告配信などに活用することがよくあります。

企業がデータを収集する理由

ウェブからのデータ収集は、すべてが怪しいというわけではありません。代表的な活用例としては、次のようなものがあります。

• コンテンツや広告をパーソナライズ
• アプリやウェブサイトの改善
• ユーザー行動やトレンドの分析
• リード獲得
• 不正行為、ボット、アカウント悪用の検知
• 生成AIモデルの学習

例えば、ECサイトはユーザーの閲覧習慣や購入パターンを分析し、関連性の高い商品をおすすめすることがあります。また、動画配信プラットフォームは視聴時間を追跡することで、番組や映画のおすすめを改善しています。いずれのケースも、企業はそのデータをサービス向上のために利用しているのであり、ユーザーを不当に利用しているわけではありません。

データハーベスティングの仕組み

データハーベスティングではさまざまな技術や追跡手法を使って、ウェブサイトの閲覧やアプリの利用、オンラインでの買い物、コンテンツの視聴、デジタルサービスの利用などの際に、個人情報を収集します。

企業、広告主、データブローカー、さらにはサイバー犯罪者が、こうしたウェブデータハーベスティングの手法を用いて、ユーザーの行動を大規模に収集・分析することがあります。代表的なデータハーベスティングの手法には、次のようなものがあります。

データスクレイピング

データスクレイピングは、データハーベスティングとほぼ同じ意味で使われることが多い言葉ですが、実際には、自動化されたツールやボットを使ってウェブサイトやオンラインプラットフォーム上で公開されている情報を収集する、より具体的な手法です。収集対象には、氏名、メールアドレス、レビュー、SNSの投稿、価格情報、電話番号、決済関連の情報、企業情報などが含まれます。

こうした自動化システムは、数分のうちに数千件、場合によっては数百万件ものデータを収集することができ、広告配信、分析、AI学習、リード獲得、データ転売、あるいは標的型詐欺などに利用される大規模なデータベースを作り上げます。データの収集方法や利用方法によっては、スクレイピングはプライバシーやサイバーセキュリティ上の深刻な懸念を引き起こします。

Cookieとオンライントラッキング

ウェブサイトは、Cookie、トラッカー、ピクセル、ブラウザフィンガープリンティングといった技術を使ってユーザーのオンライン上の行動を監視しています。これらの技術により、訪問したページ、滞在時間、クリックした箇所、検索した内容、さらにはカートに入れたまま購入しなかった商品まで追跡することが可能です

Cookieの中には、ログイン機能や設定の保存、ショッピングカートなどの機能に必要なものもあります。一方で、広告配信や分析、行動プロファイリングを主な目的として設計されたCookieも存在します。そのため、広告主やサードパーティは詳細なユーザーの詳細な人物像を構築できるようになり、それがパーソナライズ広告や、ユーザーに合わせたコンテンツ、さらにはサイトをまたいだ追跡、すなわちクロスサイトトラッキングに利用されるのです。

API（アプリケーション・プログラミング・インターフェース）

APIは、アプリやウェブサイト、オンラインサービス同士がデータをやり取りし、より効率的に連携できるようにする仕組みです。APIによって機能性や連携性が向上する一方で、その裏側で企業が収集・共有・処理するユーザーデータの量が拡大してしまう側面もあります。

場合によっては、アプリやウェブサイトがブラウザやデバイスのAPIを通じて、連絡先、位置情報、デバイス識別子、アカウントの利用状況、閲覧行動など、幅広い情報へのアクセスを求めることもあります。

SNSにおけるトラッキングとアルゴリズム

SNSプラットフォームが収集する情報は、「いいね」やコメント、フォローだけにとどまりません。これらのトラッキングシステムは、視聴時間、動画の一時停止、スクロールの癖、リプレイ、シェア、クリック、検索履歴、さらには投稿や広告に対する反応まで追跡しています。

こうした行動データは、アルゴリズムがユーザーのフィードをパーソナライズし、興味関心を予測し、エンゲージメントを高め、精度の高いターゲティング広告を配信するために活用されます。場合によっては、埋め込み型トラッカーや広告ネットワーク、SNSプラグインを通じて、こうした追跡が別のウェブサイトやアプリを利用している間も続くことがあります。

次に何が起こるのか？データマイニング

情報が収集された後、組織はそのデータをデータマイニングによって処理することがよくあります。データマイニングでは、機械学習、人工知能、統計学、計算分析などを用いて、大量のデータセットの中に隠れたパターン、トレンド、相関関係、ユーザーの行動傾向を見つけ出します。

データマイニングは、企業のレコメンド精度の向上、マーケティング戦略の最適化、顧客行動の予測、不正行為の検知、意思決定の自動化、デジタルサービスの改善などに役立ちます。また、現代の広告エコシステムやAIによるパーソナライゼーションにおいても、大きな役割を果たしています。

つまり、データハーベスティングはデータを集めること、データマイニングはそのデータを分析して、パターンやユーザーの行動傾向を見つけ出すことです。

データハーベスティングは合法なのか？知っておきたい自分の権利

データハーベスティングが合法かどうかは、どのようなデータが、どのように収集され、どう利用されるかによって決まります。多くの場合は認められていますが、あくまで一定の条件を満たすことが前提です。関連する法律の多くは、同意の取得、透明性の確保、企業が収集・保持できるデータ量の制限に焦点を当てています。

データハーベスティングが合法とされるのは、次のようなケースです。

• 本人の同意を得ている場合
• 対象となるデータが公開情報である場合
• 明確な目的のために利用される場合

一方で、以下のようなケースでは、問題視されたり違法とみなされます。

• 明確な同意を得ずに行われている場合
• 明示された目的に対して必要以上のデータが収集されている場合
• データが第三者に販売・共有されている場合
• 機密性の高いデータが漏洩・悪用されている場合（なりすましや監視など）
• 差別的な価格設定や待遇のためにデータが利用されている場合

例えば、企業が公開されているプロフィールから個人情報を収集し、それをデータブローカーに売却するケースがあります。売却されたデータが、詐欺やなりすましに悪用されることもあります。

非倫理的なデータハーベスティングの事例として、特に広く知られているのがケンブリッジ・アナリティカ事件です。¹ ケンブリッジ・アナリティカという政治コンサルティング会社が、適切な同意を得ることなく数百万人ものFacebookユーザーのデータを収集して有権者の詳細な人物像を構築し、その情報をもとに有権者の行動に影響を与えることを狙った政治メッセージを配信していたのです。

最近では、データハーベスティングをめぐる懸念は生成AIの分野にも広がっています。オンライン上のコンテンツや会話、ユーザーデータがどのように収集され、AIモデルの学習にどう使われているのかに関して、テック企業への監視の目はますます厳しくなっています。例えばOpenAIは、ChatGPTのデータがGoogleやMetaと共有されていた可能性があるとする訴訟を抱えています。²

あわせて読みたい: ChatGPTが収集するデータとその利用方法

データハーベスティングのグレーゾーン

データハーベスティングのすべてが明らかに違法というわけではありません。むしろ多くは、同意や透明性、ユーザーの認識といった問題が複雑に絡み合う、法的・倫理的なグレーゾーンと言えます。

曖昧な同意、または黙示の同意

企業の中には、あいまいなプライバシーポリシーやCookieバナー、「黙示の同意」を根拠に、大規模なデータ収集を正当化しているところもあります。しかし実際には、ほとんどのユーザーは長々とした利用規約を読まないため、知らないうちに広範な追跡やプロファイリング、データ共有に同意してしまっている可能性があります。

セキュリティへのストレスと、安全性を損なう習慣

過度に複雑なセキュリティシステムは、リスクを減らすどころか、かえって新たなリスクを生み出してしまうことがあります。頻繁なパスワードの再設定や厳しいログイン要件、絶え間ない認証の要求は、ユーザーにストレスを与え、その結果、パスワードの使い回しや保護機能の無効化、セキュリティ対策の省略といった行動につながり、全体的なサイバーセキュリティを弱めてしまうことがあります。

ソーシャルエンジニアリングと行動データの収集

データハーベスティングのすべてが、隠れたトラッカーやマルウェアを通じて行われるわけではありません。一見問題なさそうなクイズやアンケート、オンラインゲーム、プレゼント企画、SNS上で流行るチャレンジなども、人々に個人情報や興味関心、位置情報、生活習慣、さらにはよくあるセキュリティ質問への回答などを、自ら進んで共有させるきっかけになることがあります。そうして集められたデータは、後になってプロファイリング、ターゲティング広告、アカウント乗っ取りの試み、なりすましなどに利用される可能性があります。

収集されるデータ量が重要な理由

必要以上のデータを収集することは、単にプライバシーに踏み込まれていると感じさせるだけでなく、プライバシー、サイバーセキュリティ、金銭面、法的な面で重大リスクを生み出す可能性があります。GDPRのような法律は、企業に対して個人データの収集を必要最小限に抑えるよう求めており、従わなければ罰金や調査を受ける可能性があります。

過剰なデータハーベスティングは、採用選考、信用スコアリング、法の執行といった場面において、アルゴリズムが不完全または偏った情報に基づいて判断を下すことで、偏見や差別を助長することもあります。

セキュリティ面での問題もあります。アプリが保存するデータが多いほど、ハッカーに狙われるリスクも高まります。個人情報を大量に含むデータベースは、ハッカーにとって格好の標的になりやすく、機密性の高い情報が大量に流出すれば、データ侵害による被害もより深刻になります。

こうした過剰なデータ収集が続けば、消費者からの信頼を失うことにもつながります。特に、ユーザーにとって明確なメリットも、十分な透明性も、強固なプライバシー保護もないまま、裏側でこれほど多くの情報が集められていたと知ればなおさらでしょう。

知っておきたい主なデータ保護法

データハーベスティングを規制し、企業が個人データをどのように収集・利用できるかを定めた重要な法律があります。ここでは、その代表的なものをご紹介します。

GDPR（EU一般データ保護規則）とヨーロッパのデータ保護

• GDPRは、個人データを収集する際に法的根拠を持つことを義務付けています。
• データの収集を、必要な範囲内に収めるよう求めています。
• 自分のデータにアクセスし、その訂正・削除を求める権利を保障しています。
• 個人を特定できる情報であれば、公開されているデータであっても適用対象となります。

CCPA（カリフォルニア州消費者プライバシー法）と米国の州法

• CCPAは、ユーザーに対してどのようなデータが収集されているかを確認する権利を与えています。
• ユーザーにデータの削除を求める権利を与えています。
• ユーザーはデータの販売・共有をオプトアウト（拒否）できます。
• 事前の同意よりも、オプトアウトの権利と情報開示に重点を置いています。

HIPAA（米国の医療データ）

• HIPAAは、医療や健康に関する記録を保護します。
• 医療機関、保険会社、および関連組織による患者データの収集・利用・共有のあり方を制限しています。

データハーベスティングから身を守る方法

データハーベスティング自体を完全になくすことはできませんが、自分から渡すことになるデータの量や、それを収集できる相手を大幅に減らすことは可能です。 実践しやすい対策をご紹介します。

高速で安全なVPNを使う

VPNは万能な解決策ではありませんが、ネットワークレベルでデータハーベスティングを減らすうえで、最も効果的なツールの一つです。 優れたVPNを使えば、インターネットの通信が暗号化され、IPアドレスも隠されるため、ウェブサイトや広告主、データブローカー、インターネットサービスプロバイダから、閲覧状況やオンライン上の行動、おおよその位置情報を追跡されにくくなります。

複数のサービスを個別に契約することなく、より強固なプライバシー保護を求めるなら、Private Internet Access (PIA)のようなプライバシー重視のVPNがおすすめです。1つのアカウントで無制限のデバイス接続に対応しているため、デバイスを切り替えるたびにログイン・ログアウトを繰り返す必要もありません。

PIAには、MACEと呼ばれる、広告・トラッカー・マルウェアをブロックする機能も標準搭載されており、プロファイリングの抑制、煩わしい広告のフィルタリング、悪意のあるウェブサイトの大半のブロックが可能です。銀行やサイバーセキュリティ組織からも信頼されている暗号化基準と組み合わさることで、PIA VPNはさらにプライバシー保護を強化し、インターネットサービスプロバイダによる追跡やウェブサイトによるプロファイリングを一層難しくします。

さらに、PIAは法廷でも証明されたノーログポリシーを採用しており、万が一サーバーが侵害された場合でも、機密性の高いデータの流出を防ぐのに役立ちます。

プライバシー設定とアプリの権限を見直す

多くのアプリやオンラインサービスは、実際に必要な範囲をはるかに超えた情報を収集しています。デバイスやブラウザ、アプリ、SNSアカウントのプライバシー設定は定期的に見直し、明確な目的がない権限は無効にしておきましょう。

位置情報、連絡先、カメラ、マイク、Bluetooth、バックグラウンドでの動作へのアクセスを制限することも、不要なデータ収集やモバイル端末での追跡を減らすのに役立ちます。

プライバシー重視のブラウザや検索エンジンを使う

デフォルトでトラッカーをブロックしてくれるプライバシー重視のブラウザや検索エンジン、拡張機能を利用すれば、サードパーティによるデータ収集を減らすことができます。これらのツールは、自分でこまめに整理しなくても、Cookieやフィンガープリンティング、クロスサイトトラッキングを抑えてくれます。

二段階認証（2FA）を有効にする

二段階認証は、パスワードに加えてもう一段階の本人確認プロセスを求めることで、アカウントのセキュリティをさらに強化します。2FA自体がデータハーベスティングを直接防ぐわけではありませんが、フィッシング詐欺やデータ侵害、クレデンシャルスタッフィング攻撃、流出したデータベースなどを通してログイン情報が漏洩した場合でも、アカウントを守るのに役立ちます。

オンラインで共有する情報に注意する

かわいい赤ちゃんの写真をまた投稿する必要も、ホテルでチェックインしたことを報告する必要も、元恋人のFacebookの投稿にコメントする必要もありません。個人情報を共有する量を減らせば、後から収集される可能性のあるデータも減らせます。

Cookieとトラッキングの設定を見直す

多くのウェブサイトでは、Cookieやトラッキングに関する設定を管理できるようになっています。必須ではないCookieを拒否することで、オンライントラッキングやターゲティング広告、サイトをまたいだデータ収集を抑えることができます。また、ユーザーの行動を監視する目的で設計されたトラッカーや広告ネットワーク、隠しスクリプトを自動的にブロックしてくれるブラウザのプライバシー拡張機能を活用するのもよいでしょう。

デバイスとソフトウェアを常に最新の状態に保つ

ソフトウェアやOSのアップデートには、ハッカーやスパイウェア、悪意のあるアプリ、トラッキングツールなどによって悪用される脆弱性を修正する重要なセキュリティパッチが含まれていることが少なくありません。 アップデートを先延ばしにすると、既知のセキュリティ上の欠陥にデバイスがさらされたままとなり、データの盗難やマルウェア感染、不正アクセス、プライバシー侵害のリスクが高まります。

データブローカーのデータベースからオプトアウトする

データブローカーの中には、自分の個人情報をデータベースから削除するよう申請できるところもあります。オプトアウトの手続きは、同じような作業の繰り返しで手間がかかることもありますが、自分の個人データがオンライン上で広く共有・販売されたり、検索可能になるのを抑えるのに役立ちます。

データブローカーのデータベースに登録されている自分の情報を減らせば、広告主や詐欺師、サイバー犯罪者が、自分の身元やオンライン上の行動から詳細な人物像を構築するのも難しくなります。

よくある質問

参考資料：

1. The Cambridge Analytica Scandal and What It Teaches Us – University of Greater Manchester
2. OpenAI Hit with Class-Action Privacy Lawsuit for Sharing ChatGPT Data with Google and Meta – Cyber Security News