Written by Aimee
目 次
トラッキングとは、Webサイトを訪問したユーザーの行動を追跡・分析する手法です。
トラッキングで得られる、サイト上のユーザー動作に関するデータは、ターゲティング広告の配信やUI/UXの向上といった、マーケティング戦略やサイト改善に役立ちます。
一方で、トラッキングには特性上、個人情報漏洩やプライバシー侵害のリスクが伴います。適切に保護されていないCookie情報やセッションIDがトラッキングデータとして漏洩すると、セッションハイジャック等、Webサイトの脆弱性を狙った攻撃が仕掛けられるケースもあります。
リスクを回避するためには、以下の対策が有効です。
- ブラウザやOSの適切なプライバシー設定
- 広告ブロックツールの活用
この記事ではトラッキングの概要、リスクを回避するための対策について詳しく解説いたします。
▼この記事を要約すると
- トラッキングとは、 Webサイト訪問者の行動を追跡・分析する手法
- 利点として、企業側はコンバージョン率の向上やUI/UX改善、ユーザー側は配信広告の最適化などがある
- トラッキングのリスクに、情報漏洩やプライバシーの侵害がある
- トラッキングのリスク対策として、OS/ブラウザのプライバシー設定、広告ブロックツールの活用などがある
トラッキングとは
トラッキング とは、Webサイト訪問者の行動を追跡・分析する手法です。具体的には、以下の情報を把握できます。
- ユーザー属性（年齢、性別、地域、デバイスなど）
- Webサイトへの流入経路（検索エンジン、SNS、広告など）
- ユーザーがサイト内で閲覧したページ
- 行動結果（製品購入、会員登録、資料請求、問い合わせなど）
これにより、自社サイトの改善施策を明確にし、マーケティング施策の最適化に役立てられます。
一方で、トラッキングには情報漏洩・プライバシーの侵害といった、セキュリティリスクも存在します。企業側がトラッキングを適切に活用することはもちろん、ユーザー側もそのメリットとデメリットを正しく理解し、慎重に対応する必要があります。
Cookie（クッキー）とは
Cookie（クッキー）とは、ユーザーが閲覧したWebサイトから、ユーザーのPCやスマホのブラウザに送信され、デバイスに保存されるデータファイルのことです。
Cookieの主な役割
- 行動追跡：ユーザーのWebサイト上での行動を記録
- 設定情報の保持：言語やテーマなど、サイト訪問時の設定を保存
- 識別情報の記憶：訪問履歴や個別識別情報の管理
トラッキングでは、このCookieが重要な役割を果たし、Cookieを活用することでユーザー体験の向上や広告のパーソナライズが可能です。
Cookieのプライバシーリスクと適切な対応
一方で、Cookieの使用にはプライバシー侵害のリスクが伴うため、サイト運営者には以下の対応が求められます。
- Cookie使用の通知：透明性を確保し、Cookieの利用目的をユーザーに通知
- 適切な管理：ユーザーがCookie設定を管理・拒否できる仕組みを提供
Cookieを正しく管理することで、ユーザーが安心して利用できるWebサイト運営、信頼の獲得が可能です。
トラッキングの種類と仕組み
代表的なトラッキングの種類としては、以下の6つが挙げられます。
- ファーストパーティCookie
- サードパーティCookie
- 広告識別子（広告ID）
- ブラウザーフィンガープリント
- アプリトラッキング
- SensorID
1.ファーストパーティCookie
ファーストパーティCookie とは、ユーザーが訪問したWebサイトが発行するCookieです。
Webサイト訪問時に、そのサイトのサーバーがブラウザにCookieを送信し、ログイン情報や行動履歴、カート内の商品情報などを保存します。
ファーストパーティCookieは、訪問サイトとユーザー間のみで情報がやり取りされるため、プライバシーやセキュリティ面で比較的安全とされています。
2.サードパーティCookie
サードパーティCookie とは、訪問したWebサイト以外が発行するCookieです。
主な利点は、ユーザーが複数サイトを横断して行動を追跡できる点です。これにより、広告主は関連性の高いターゲティング広告を表示できます。
しかし、プライバシーの観点から、近年はサードパーティCookieの使用が制限されています。
3.広告識別子（広告ID）
広告識別子（広告ID） は、モバイルデバイスを識別するための情報で、以下の2種類があります。
- IDFA（Identifier for Advertising）：iOSで使用
- AAID（Google Advertising ID）：Androidで使用
広告識別子により、広告主はアプリ内のユーザー行動を把握し、ターゲティング広告を最適化します。一方、ユーザーはプライバシー保護の目的から、オプトアウト（ブラウザの履歴データを利用した広告配信を、停止させること）が可能です。
4.ブラウザーフィンガープリント
ブラウザーフィンガープリント とは、Webブラウザを識別するための技術であり、以下のような情報の組み合わせでユーザーを特定します。
- 使用中のプラグイン
- フォント
- 画面解像度
- OSバージョン
Cookieを使用しないため、異なるWebサイト間でも一貫して追跡が可能であり、識別精度が非常に高いのが特徴です。ただし、個人情報漏洩やプライバシー侵害が問題視されています。
5.アプリトラッキング
アプリトラッキング とは、アプリ内でのユーザー行動を追跡する手法です。
アプリに組み込まれたSDK（ソフトウェア開発キット）を利用し、以下の操作を記録します。
- ボタンのクリック
- 商品購入
収集したデータは、アプリの改善、ユーザーエンゲージメント向上、およびパーソナライズ広告の提供に活用されます。
6.SensorID
SensorIDとは、スマートフォンやタブレットのセンサー情報を基に生成される識別情報です。
利用されるセンサーには以下があります。
- 加速度センサー
- ジャイロスコープ
- 磁力センサー
SensorIDでは、ユーザーがアプリを使用していなくても、センサー情報を利用した高精度な行動追跡が可能です。位置情報に基づくターゲティングや、ユーザー行動に基づくコンテンツ・広告の配信などが可能となります。
トラッキングのメリット
企業、ユーザーそれぞれのトラッキングによるメリットを解説します。
企業側のメリット
企業におけるトラッキングの主な利点は、効果的な広告配信への活用です。
ユーザーの関心対象や購買タイミングを把握できるため、パーソナライズな広告を表示し、コンバージョン率の向上が図れます。
また、ユーザー行動の分析はWebサイトの改善にも寄与します。例えば、離脱率の高いページが特定できれば、コンテンツの見直しやCTA（資料ダウンロードなど）の配置変更など、具体的な改善策を実施可能です。
ユーザー側のメリット
ユーザーにとってのメリットは、広告の最適化です。
過去の閲覧履歴に基づき、興味関心の高い広告が表示されるため、ユーザーは自身の嗜好に合った商品やサービスを効率的に見つけられます。
また、トラッキングによりサイトへのログイン情報を記録することで、訪問時に毎回ログイン情報を入力する手間を省くことも可能です。
トラッキングのデメリット
以下では、トラッキングのデメリットについて解説します。
企業側のデメリット
企業側が留意すべき最大のデメリットは、情報漏洩のリスクです。
トラッキング用のサーバーやシステムがサイバー攻撃を受けた場合、ユーザーの個人情報が漏洩し、不正利用される危険性があります。個人情報流出を防ぐためにも、必要最小限のデータ収集にとどめることや、トラッキングデータの管理状況における定期監査など、適切なデータ管理を行わなければなりません。
ユーザー側のデメリット
ユーザーにとっては、アカウントの不正利用やプライバシー侵害が懸念されます。
自動ログイン機能は便利ですが、共用のPCでトラッキングを許可することで、第三者の不正ログインを招くリスクがあります。トラッキングで収集された情報が第三者に提供されることで、意図せずプライバシーが侵害される危険性もあります。
トラッキングで懸念される「セッションハイジャック」のリスク
トラッキングによるリスクのうち、特に注意すべき脅威に「セッションハイジャック」があります。
セッションハイジャックとは、不正に取得した「セッションID」を用いて正規ユーザーになりすまし、ユーザーとサーバー間の通信を乗っ取るサイバー攻撃です。
▼セッションハイジャックの攻撃手順
通常、Webサービスではユーザーがログインすると、サーバーはセッションIDを発行し、ユーザーの状態を管理します。攻撃者はこのセッションIDを盗み取ることで、ユーザー権限を不正に利用することが可能になります。
トラッキングに使用されるCookieやセッションデータが適切に保護されていない場合、このリスクが高まります。セッションハイジャックが成功すると、機密・個人情報の漏洩や不正送金といった被害が発生する恐れがあります。
トラッキングによるリスクを回避するための対策
トラッキングリスクを回避するため、以下の対策を実施しましょう。
- ブラウザやOSのプライバシー設定を行う
- 広告ブロックツールを活用する
ブラウザやOSのプライバシー設定を行う
主要なブラウザやOSには、トラッキングをブロックするための設定が組み込まれています。
Chrome、iOS、Androidにおけるプライバシー設定の方法は、以下の通りです。
Chrome（デスクトップ版）でのプライバシー設定
- Chromeを開き、右上の三点アイコンから[設定] を選択
- 画面左の[プライバシーとセキュリティ] を選択
- [サードパーティ Cookie] をクリック
- [閲覧トラフィックと一緒に「Do Not Track」リクエストを送信する] をオンにする
参考元：Google chrome ヘルプ｜「Do Not Track」をオンまたはオフにする
Androidでのプライバシー設定
- Chromeを開き、右上の三点アイコンから[設定] を選択
- [プライバシーとセキュリティ] を選択
- [「Do Not Track」リクエストを送信する]をオンにする
参考元：Google chrome ヘルプ｜「Do Not Track」をオンまたはオフにする
iOS（iPhone/iPad）でのプライバシー設定
- [設定]から[プライバシーとセキュリティ] を選択
- [トラッキング]をクリックして、[アプリからのトラッキング要求を許可]をオフにする
参考元：Apple｜アプリがアクティビティを追跡してもよいか確認してくる場合
広告ブロックツールを活用する
広告ブロックツールには、広告が含まれるコンテンツをブロックする機能だけでなく、トラッキングを遮断する機能も含まれることが一般的です。
トラッキング用のCookieやスクリプトを検出しブロックすることで、トラッキングリスクを軽減します。
悪意のあるトラッキングやデータ漏洩のリスクを検出
LANSCOPE プロフェッショナルサービスの脆弱性診断
適切に保護されていないCookie情報やセッションIDがトラッキングデータとして第三者に漏洩すると、Webサイトやシステムがサイバー攻撃の標的となる危険性があります。
先述したセッションハイジャックなどの攻撃は、セッション管理の脆弱性やCookie設定の不備を悪用して仕掛けられ、不正アクセスや情報漏洩を引き起こします。
企業や組織がこれらのリスクを防ぎ、Webサイトやシステムの安全性を維持するためには、定期的な脆弱性診断の実施が不可欠です。
LANSCOPE プロフェッショナルサービスの脆弱性診断では、例えば「セッションハイジャック」の原因となる以下のような脆弱性を、国家資格を持つ専門家が洗い出します。
- セッション追跡パラメータの漏洩
- セキュアでない cookie の使用
- ログアウト後のサーバセッションの長時間にわたる残存
PCサイトからモバイルサイト、WebAPIまで多様な媒体にて、残存した様々な脆弱性を明らかにし、優先度をつけて必要な対策をお伝えします。
「Webサイトを安全に運用したい」「自社サイトのインシデントによって、業務停止や信頼損失などを起こしたくない」という開発者様・サイト運営担当者様におすすめです。
また、診断内容を重要項目に絞り、低価格でWebアプリケーションの脆弱性診断を提供する「セキュリティ健康診断パッケージ」もおすすめです。
まとめ
本記事では「トラッキング」の概要、および対策などについて解説しました。
本記事のまとめ
- トラッキングとは、 Webサイト訪問者の行動を追跡・分析する手法
- 利点として、企業側はコンバージョン率の向上やUI/UX改善、ユーザー側は配信広告の最適化などがある
- トラッキングのリスクに、情報漏洩やプライバシーの侵害がある
- トラッキングのリスク対策として、OS/ブラウザのプライバシー設定、広告ブロックツールの活用などがある
トラッキングは、企業とユーザー双方にメリットがある一方、情報漏洩やプライバシー侵害の原因ともなり得ます。企業はユーザーの同意を得た上で透明性を確保し、適切なトラッキングを実施することが不可欠です。またユーザー側も対策として、適切なプライバシー設定、トラッキング機能の無効化などを行うと良いでしょう。
おすすめ記事
