アバスト、ユーザーデータの販売に関する懸念に回答

Avastは無料で使えるウイルス対策ソフトウェアでよく知られています。昨日、MotherboardとPCMagの報道で、このベンダーがあまり知られていない事実、つまりJumpshotという子会社を通じて自社のウイルス対策ソフトウェアユーザーの閲覧データを販売しているという詳細が明らかになりました。

マザーボードによると、共有された情報には「Google検索、Googleマップでの位置とGPS座標の検索、企業のLinkedInページを訪問した人々、特定のYouTube動画、ポルノサイトを訪問した人々」が含まれていたという。

「収集されたデータから、匿名のユーザーがYouPornとPornHubをいつ訪問したか、また場合によってはポルノサイトにどのような検索語を入力したか、具体的にどの動画を視聴したかを特定することが可能だ」とマザーボードは述べた。 

情報からはユーザー名などの個人を特定できる情報が削除されているとされているが、専門家は、Jumpshotが販売したデータと他のデータセットを組み合わせることで、特定の活動の匿名性が失われる可能性があると懸念している。これは、自分のデータが販売されていることに気づいていない人々のプライバシーを侵害する可能性がある。

専門家によると、これらのデータの匿名性を解除するのは困難だが、不可能ではないという。Jumpshotは複数のフィードを提供しており、「All Clicks Feed」はAvastユーザーが訪問したウェブサイト、訪問日時、閲覧デバイスに関する詳細な情報を提供するという。企業はこれらの詳細な記録を自社のデータセットと併用することで、匿名とされる個人を特定できる可能性がある。

しかし、トムズ・ハードウェアに送られた声明の中で、アバストの広報担当者は、ジャンプショットは「名前、電子メールアドレス、連絡先の詳細を含む個人識別情報」を収集しないと主張した。

「ユーザーはこれまでも、Jumpshotとのデータ共有をオプトアウトする選択肢を持っていました。2019年7月時点で、当社のアンチウイルスソフトの新規ダウンロードすべてにおいて、明示的なオプトインの選択肢を導入し始めており、現在では既存の無料ユーザーにもオプトインまたはオプトアウトの選択を促しており、このプロセスは2020年2月に完了する予定です」と広報担当者は続けた。

当社は長年にわたり、ユーザーのデバイスとデータをマルウェアから保護してきた実績があり、ユーザーのプライバシーと当社の中核セキュリティ製品に必要なデータの使用とのバランスを取る責任を理解し、真剣に受け止めています。」

しかし、このデータ収集はアバストのユーザーから完全に隠されていたわけではなく、同社は2015年のブログ投稿で、傘下のジャンプショットがユーザーデータの一部を使用しているという事実を明らかにしている。  

Avast の担当者は、12 月の時点で Avast は「オンライン セキュリティ拡張機能のブラウザー拡張機能要件に準拠している」こと、および「子会社の Jumpshot との共有を含め、コア セキュリティ エンジン以外の目的にはブラウザー拡張機能のデータを使用しない」ことも明らかにしました。

しかし、この慣行は完全に透明というわけではなかった。例えば、アバストがJumpshotのために収集した情報の量や、これほど大量の消費者データを購入しようとしている企業のリストは、これまでは不明だった。

しかし、アバストは最近、ウイルス対策ソリューションのインストール時に収集するデータについて、より詳細な情報を提供し始めました。現在、ダイアログボックスには「許可された場合、当社の子会社であるJumpshot Inc.に、お客様の閲覧履歴から抽出された、情報を削除し匿名化したデータセットを提供します。これは、Jumpshotが市場やビジネストレンドを分析し、その他の貴重な洞察を収集するために使用されます」と記載されています。

しかし、その意味を理解せずにその要求に同意する人がいることは容易に想像できます。読んでいない、あるいは完全に理解していないダイアログボックスに「OK」や「はい」をクリックしたことがない人はいないでしょう。多くの人は、「閲覧履歴から抽出された、情報を削除され匿名化されたデータセット」と「ポルノサイトに入力した検索語句や視聴した動画」を関連付けていないのではないでしょうか。

AvastがJumpshotに情報を提供したのは、このオプトインによるデータ共有だけではありません。同社は2019年10月、ブラウザ拡張機能を通じてユーザーデータを収集していたとして批判を受け、Google、Mozilla、Operaがそれぞれのブラウザ向けに運営するアドオンストアからこれらの拡張機能が削除されました。

マザーボードによると、Avast のウイルス対策ソフトウェアは毎月 4 億 3,500 万人以上が使用していると報告されており、Jumpshot は 1 億台のデバイスの情報にアクセスできると主張している。 

ここで問題となったのは、ブラウザ拡張機能によって収集されるデータを除き、アバスト側の情報開示不足ではありません。なぜなら、同社は2015年にそのデータを収集することを明言していたからです。また、ユーザーに対しても情報が収集される可能性があることを伝え、オプトアウトの機会も提供していました。問題は、無料のウイルス対策ソリューションを探している人の多くが、自分が何を共有しているのかを正確に理解していないことです。 

この批判は多くの企業に当てはまります。テクノロジー業界がユーザーをほぼ常時監視していることは、人々の認識が高まっていますが、この問題について十分な知識を持つ人は依然として少ないのが現状です。アバストは他の多くの企業とそれほど変わりませんが、だからといって現状が許容できるのでしょうか？それとも、5年前のブログ記事と企業用語だけで十分なのでしょうか？

それは各自が判断することになります。その間、Avastユーザーは設定を再確認することをお勧めします。

ナサニエル・モットは、Tom's Hardware US のフリーランスのニュースおよび特集記事ライターであり、最新ニュース、セキュリティ、テクノロジー業界の最も面白い側面などを扱っています。