金融機関がCookieトラッキング技術を通じて顧客データを外部に流出させるケースが相次いでいます。しかも当の金融機関自身がその事実に気づいていない可能性があります。
Jscramblerは本日、欧州および米国の金融機関が、銀行側が把握していないまま、サードパーティの広告・分析・パーソナライゼーションプラットフォームに機密情報を送信している実態についての調査結果を公表しました。この送信は、ユーザーが同意選択を行う前に発生する場合もあれば、ユーザーがトラッキング技術を拒否した後も継続する場合もあるといいます。
今回の調査結果は、Jscramblerが以前に実施した調査の続報です。前回の調査では、TikTokとMetaがトラッキングピクセルを使用してユーザーが広告主のサイトに移動した後も追跡を続け、その過程で個人を特定できる情報(PII)を取得していることが明らかになっていました。
今回の調査は、金融機関のウェブサイトがトラッキング技術を発動させるパターンを取り上げています。この調査で文書化された14の金融サービス事例のうち、9社では「Cookieバナーが操作される前、ユーザーがすべてのCookieを拒否した後、あるいは必須Cookieのみを選択したにもかかわらず、有効な同意選択なしにトラッキングが発動していた」とブログ記事は指摘しています。
送信先となったサードパーティは、Google、Meta、TikTok、LinkedIn、AdSafety、Salesforce、Adobe、Yextなど、およそ十数社に上ります。
問題は基本的な情報ページに限りません。Jscramblerは、銀行がトラッキングピクセルを有効化した結果、これらを運営するテクノロジー企業へ意図せず顧客データを送信していた事例も提示しています。さらに深刻なのは、こうした事象がローン申請ページなど、顧客の最も機微な情報を含むページで発生していた点です。複数のケースでは、情報が暗号化されるのではなく、決定論的ハッシュとして送信されるか、単にエンコードされているだけであり、条件次第では特定の個人に紐付けられる可能性が残っていました。
「トラッキングピクセルやパーソナライゼーションタグは、かつては広告表示の確認や訪問数のカウントを行うだけのシンプルなツールでした。しかし銀行のウェブサイドでは、これらのタグが住宅ローン計算機や口座開設フォーム、ローン申請と並んで設置され、小売サイトのチェックアウトページと同じように振る舞っています」とJscramblerの調査ブログは記しています。「これらは連絡先情報を収集し、ハッシュ化した上で永続的な識別子に紐付け、銀行が管理していないプラットフォームへ商品や金融上の関心を送信します。ほとんどの金融機関は、これがデフォルトでどれほど発生しているかを認識していないと考えられます」
欧州の金融機関、顧客データの取り扱いに不備
ある事例では、Jscramblerはスペインのある銀行を観察しました。この銀行では、住宅ローン申請の過程でユーザーにCookieの許可・設定・拒否という通常の選択肢が提示されます。ユーザーが許可を選択すると、住宅ローンページに埋め込まれたiframeからのリクエストを通じて、TikTokがユーザーのハッシュ化されたメールアドレスと電話番号をそのピクセルエンドポイントで受け取っていました。TikTokはこの銀行のCookieポリシーにもプライバシーポリシーにもベンダーとして記載されていないため、顧客がどちらを読んでも、Cookieの許可がTikTokへのハッシュ化情報送信につながることを知る術はありませんでした。
ポルトガルの銀行が関わる別の事例では、個人データはまったくハッシュ化されていませんでした。口座開設の過程で、あるトラッキングピクセルがEvergage(現Salesforce Interaction Studio)へリクエストを送信し、そのリクエストURLにはユーザーのメールアドレスがそのまま含まれていました。さらに同じフローの後の段階では、「顧客の氏名、年齢、ポルトガルの納税者番号(NIF)、Salesforce Marketing Cloudの連絡先キーを含む」追加の個人データが送信されていました。
研究者らは、トラッカーが広告主に対して度を越したデータを送信していた例を複数挙げています。あるポルトガルの消費者信用プロバイダーは、Google Analyticsに対し、融資額、期間、保険加入の有無などを含む重要な財務詳細情報がエンコードされたローン申請URLを丸ごと送信していました。
状況によっては、トラッキングがCookie同意の提示より前に開始されていたり、ユーザーが最初と異なるサブドメインに移動した途端に再開されたり、Cookie拒否済みである旨がトラッキングリクエスト自体に記録されているにもかかわらず動作を続けたりしていました。
規制上・責任上の含意
誰に責任があるのかという問いに答えるのは容易ではありません。TikTokとMetaはこれまで、これらのトラッカーのパラメータを設定するのは広告主側であるとし、主たる責任はウェブサイト運営者、つまり銀行自身にあるとの立場を示してきました。Jscramblerはブログ記事でこの見方に異を唱え、こうした巨大テック企業へ大量のデータを転送する仕組みの多くが、デフォルトで有効になっていると指摘しています。
「その説明が成り立つのは、収集が運営者によって意図的に有効化された場合に限られます。しかし私たちが観測した事象の多くはそうではありません。自動高度マッチングのような機能はデフォルトで有効になっており、サイト運営者による明示的な操作なしに連絡先情報を取得しハッシュ化するよう設計されています。標準的なピクセルを設置しただけの銀行が、住宅ローンページから顧客のハッシュ化されたメールアドレスや電話番号を送信するよう意図的に設定しているわけではありません」と同社は述べ、「こうした状況では、プラットフォームの既定動作こそが、どのデータが収集・送信されるかを左右する重要な要因になります」と付け加えています。
むしろ、不適切なデータ収集は、関係するすべての当事者が共同で負うべき責任であるように見えます。
そしてこれは倫理上の問題にとどまりません。欧州の主要なプライバシー法である一般データ保護規則(GDPR)の枠組みは、組織がユーザーデータを不正利用しないことを求めています。特に金融機関は、銀行・保険会社・投資会社などが自社の技術やサプライヤーによってリスクが高まらないよう求めるデジタルオペレーショナルレジリエンス法(DORA)を遵守する必要があります。
欧州のeプライバシー指令はデジタルCookieおよびトラッキングツールを規制しており、これらの規則はすでに明確な結果をもたらしています。2020年、フランスのデジタル自由委員会(CNIL)は、目的を明確に説明せず、また同意を得る前に広告用Cookieを設置したとして、Googleに1億ユーロ(1億1,400万ドル)、Amazonに3,500万ユーロ(3,990万ドル)の制裁金を科しました。同委員会をはじめとする各国の規制当局は、2020年以降も同様の判断を下し続けています。
さらに、EUの決済サービス指令2(PSD2)は、銀行をはじめとする金融機関に対し、顧客の金融情報や決済関連データの安全な取り扱いに関する義務を課しています。顧客の金融取引に関わるあらゆる情報がサードパーティと共有されるという事態は、とりわけ注視すべき問題となります。だからこそ、欧州の金融機関が顧客データの取り扱いに不備がないことを確保することが極めて重要になります。
Jscramblerは金融機関に対し、実行時の挙動を監視すること、実行時の制御を徹底すること、同意選択を実際の運用に反映させること(同意を得るまで追跡を行わず、サブドメインをまたいでも同意内容を尊重すること)、そして正当な理由がない限り高度マッチングと自動収集を無効化することを推奨しています。
Jscramblerでセキュリティ研究責任者を務めるGareth Bowker氏はDark Reading の取材に対し、今回の調査が明らかにした問題はプライバシーの問題であると同時にセキュリティの問題でもあり、サードパーティリスクの問題でもあると述べ、「だからこそ、この問題は見過ごされがちなのです」と付け加えました。
「根本的には、これはサードパーティリスクの問題です。組織自身が書いたわけでも、完全に管理しているわけでもないコードが、最も機微なページ上で実行されているのです。そのコードがユーザーの同意を得ていないプラットフォームへ個人データを送信した瞬間にプライバシーの問題となり、機微な値がリクエストURLやサードパーティのシステムに残ってしまう点、さらには侵襲的なデバイスフィンガープリンティングやローカルポートのプロービングも確認された点で、セキュリティの問題ともなります」と同氏は述べます。「これを単なるプライバシーの問題、あるいは単なるマーケティングの問題として扱ってしまえば、本来受けるべき精査が行われなくなってしまいます」
翻訳元: https://www.darkreading.com/data-privacy/eu-financial-institutions-cookie-trackers
