2006年10月31日 - Tracking cookieはスパイウェアではない - スパイウェア対策ソフトメーカーの姿勢への疑問
多くのスパイウェア対策ソフトウェアはクッキー（Cookie）をスパイウェア（Spyware）として検出し、また方々で「トラッキングクッキーというスパイウェアに何十件も感染していました」などの相談を散見する。
「何十ものSpywareに感染し、どうしょうも無い！」と知人に泣きつかれ調べたらCookieだった、そんな体験はないだろうか？ - そもそも何故に、あるソフトウェアでは「悪質なもの」として検出され、他のソフトウェアでは検出されないのか？
（ちなみに過去に自分が直接対応した限りでは、「何か」に感染していた最高記録の事例であっても、100ファイルを超えるのは稀だ - Cookieの大量検出とブラウザのキャッシュ、そして既存ファイルを書き換えるものを除けば）
このブログエントリを読む際には事前に予備知識を得るためにクッキー（Cookie）の諸問題 - トラッキング クッキー ・ 追跡クッキー ・ サードパーティ クッキー（Semplice）を軽く流し読みしてもらいたい。
冗長な本文の前に、具体的な検出例を紹介しよう。
Tracking Cookie配布元企業のうち、著名な5つをピックアップ。Internet Explorerのプライバシー設定を中-高として配布元企業サイトを閲覧し、Cookiesを作成した。
http://www.webtrends.com/
http://www.valueclick.com/
http://www.100hot.com/index.html
http://www.doubleclick.com/us/
http://www.excite.com/
可視化するためにIE用Cookieエディタにて表示。
ウイルスバスター 2007のスパイウェア検索の結果である。なおウイルス検索ではトラブルが起こったため中止とした。
またトレンドマイクロ社のウイルスバスター オンラインスキャンにては何も検出されなかった点を付記する。
CA インターネット セキュリティ スイート 2007を導入し、CA Anti-Spywareでスキャンした結果である。
CA Anti-Virusでは何も検出されなかった。
（脅威レベルがLowとlowの2つなのは不思議）
ここで質問だ。このパソコンはTracking Cookieなるスパイウェアに感染しているんだろうか？
Tracking CookieがSpywareであるとの主張に対しては、日本国内での個人レベルにては否定的見解が多く見受けられる。
多くの事例では「Tracking CookiesというSpywareが検出されました！どうしたらいいんでしょうか。。。。。」との初心者層がよく遭遇する焦ったコメントに対し、「さほどの心配は無いんだよ、うん」のようなやりとりで終結するが、何故に無視しても良いのか・ならどうしたらば良いのかについての言及は、それほど多くはないようだ。
X-Cleanerの販売元である株式会社ネクステッジテクノロジーが運営するSpywareGuideにて、坂本堪亮氏による追跡クッキー (サードパーティ クッキー)について（スパイウェアガイド）とクッキーはスパイウェアではない（スパイウェアガイド）なる、クッキーに関する素晴らしいガイドがある。
（知識や経験の奥深さが伝わってきますね、凄い方ですよ）
坂本氏が記載した、Japan internet.comの記事より転載する。多少長くてすいません。
坂本堪亮氏は他の記事中にてFTCやSPY ACTを引き合いに出しているけど、ASCによる定義に関する見解なども伺いたいものです。
Cookieの話題からは多少ズレてしまうんですが、アンチウイルスソフトメーカーの一部は「どうでもいい下らないもの」を検出対象とし、表示される検出カテゴリを「トロイの木馬」やその他の「それは幾らなんでも嘘でしょう！なカテゴリ」なるものとし、エンドユーザーの不安感を必要以上に煽り、結果として消費者に製品の購入を強要している。
Tracking Cookieに限らず「下らないもの」を検出対象に含めスパイウェアであると宣伝すれば得をすると考えるメーカーも多々あるようだ。
Microsoftによる解説にては、Cookieとスパイウェアによる個人情報の流出について論じた上で、スパイウェアについて以下のように解説している。
Symantec社ではTracking Cookieを「その他のセキュリティリスク」とし、Tracking Cookie（Symantec）にシンプルな解説を掲載している。
海外に目を向ければ、著名なセキュリティ対策専門家であるBenjamin Edelman氏は2006年9月、アンチスパウイウェアソフトごとによるTracking Cookie検出に関する興味深いレポートを掲載したのだが（後述）、前置きとして大変示唆に富む解説をしている。
一部を抜粋して和訳し、転載しよう。
訳者より短く断りを。Benjamin Edelman氏はTracking Cookieによるプライバシー関連の問題は否定しておらず、彼がこれまで扱ったスパイウェアによる問題の深刻さとの対比として、このように記載している。
。。。。。。どうもやりづらいな。自分が考えていた論点を坂本氏とBenjamin Edelman氏にほとんど指摘され尽くされてしまった感がある。
二番煎じとなるのは、なぁ。
では論点を変えて、今回のメインテーマ - メーカー側の対応について考えてみたい。
第一に対策側メーカーは何を何故に検出対象とするのかは、大抵の場合不透明である。
個別の検出対象ごとの技術情報が存在しない場合も多々あるだろう。
第二には、スパイウェアではない軽微な問題を「とりあえず対応した方が良いよ」とレポートするのはあながち不適切な姿勢では無い点だ。多少話しがずれてしまうが、多くのアンチウイルスソフトウェアは、Windows OSの脆弱性を突く攻撃を検出対象としている。
スパイウェア対策ソフトによる検出結果画面のGUIにて「スパイウェアが検出されました！」なる固定化された文字列の下に「スパイウェアではないものの対処した方が望ましいもの」が掲載されるのは、メーカーの姿勢が詐欺的とか扇情的とまでは言えないだろう。その一点においては、メーカーを責めるべきではない。
（ただし、検出カテゴリの分類名と、それよりリンクされている技術情報は適切なものとする必要があるだろう）
第三として、Tracking Cookieをメーカーによる技術情報や解説中にて堂々とSpywareに含めるのは、やり過ぎだし暴走行為だ。
検出対象に含めるか否かと、メーカーの技術情報中にてスパイウェアに含めるべきか否かは、全く次元が異なる問題である。
「Tracking Cookieはスパイウェアではない！」と論じるならばまずは、メーカーによるFUD（恐怖(fear)・不安(uncertainty)・疑念(doubt)を煽り立てる悪質な商法）と判別するために、検出対象とするか否かではなく、そのメーカーによるドキュメントと定義付けを閲覧し判断しなければならないのではないだろうか。
ある不審なソフトウェアをA社はスパイウェア（狭義）、B社はスパイウェア（広義）、C社はトロイの木馬として検出対象とするのも、よくある話だ。
（やや込み入った分類話については、マルウェア（Malware）の定義（ウイルス・スパイウェア・アドウェア）（Semplice）を参照してもらいたい。）
クッキーをスパイウェアとして扱うべきか否かを論じる前に、広義のスパイウェアを考慮しなければならないだろう。多少込み入った話だが、ご甘受願いたい。
アンチウイルスソフトやアンチスパイウェアソフトの製造・販売元ごとに、スパイウェアの定義や扱い、つまりはある難儀なプログラムをどのカテゴリに含めるのか・検出対象とするのか。判断基準はメーカーごとに大きな乖離がある。
スパイウェアの定義がメーカー毎に異なり混沌としている状況にて、ASC（Anti-Spyware Coalitionｍ）なる団体が迷惑なソフトウェア・または関連技術について区分・整理し定義づけた。
ここで一つ、不可思議な事態が生じた。
ASCは狭義のスパイウェア（従来の・ある意味で本当のスパイウェア）のみならず、スパイウェアでも何でもない多くのもの - 一例としてTracking Cookieなど - を広義のスパイウェアとして区分してしまった。「スパイウェアではないものを、スパイウェアとして扱いたがるメーカー」に追随したのだろうか。
「広義のスパイウェア」は、一部の対策側メーカーにより不適切に利用されているテクニカルタームだ。メーカーサイトに掲載される場合はわざわざ広義なる説明は付記されず、スパイウェアと単独で呼称される。
自分は以前より、「広義のスパイウェア」を（それほどの脅威が無いものまで含め）都合に合わせ利用するような一部のウイルス対策ソフトメーカーの姿勢は単なるFUDに過ぎず、瑣末な問題を重大なトラブルであるように消費者を誤解させ、製品の購入を強要する目的に過ぎないのではとの疑念を持っている。
メーカーによっては広義の意味と狭義の意味を意図的に混同・または意図的に誤り、運営上メーカー自身にとって望ましいような区分（より消費者の不安を煽りやすい区分）で扱っている。
（FUDについてはFUD-恐怖(fear)・不安(uncertainty)・疑念(doubt)-悪質なマーケティング（Semplice）参照のこと）
（広義のスパイウェアに関しての詳細は、ASC（Anti-Spyware Coalitionｍ）のスパイウェア等の定義（Semplice）と、スパイウェア（Spyware）の解説と定義、概論（Semplice）を読み返していただきたい）
繰り返しになるが、ASCは特に断りが無ければスパイウェアとは広義のスパイウェアを指すとした。
結果として「当社ではスパイウェアは広義のスパイウェアなるカテゴリで扱っております」と言われたらば、一部のCookiesをスパイウェア（広義のスパイウェア）として扱う企業のマーケティング優先・とりあえず消費者の不安を煽って製品を購入させてしまえ的な姿勢に対して、反論は難しくなったとしても過言ではない。
Tracking Cookieをスパイウェアとして扱うべきか否かとの論点には、重要な課題が一つ残っている。
ASCのAnti-Spyware Coalition Definitions and Supporting Documents中には「Examples of Spyware and Potentially Unwanted Technologies（スパイウェアと潜在的に望ましくは無い技術）」なるリストがあり、広義のスパイウェアとして扱われる。
ページ末尾にUnauthorized Tracking Cookies （無許可のトラッキングクッキー）なる項目が掲載されているのを確認してもらいたい。
見落とされがちな部分であるが、多少読み替えて解説しよう。
ASC（Anti-Spyware Coalitionｍ）は消費者の許諾を得た上で導入されたTracking Cookieは、（広義の）スパイウェアには含めていないのだ
対策ソフト販売者は、一体どのようにしてサードパーティのTracking Cookie利用について消費者の許諾の有無を判別するのだろうか？サードパーティクッキーは、Tracking Cookieと同義ではない。
Tracking Cookieの利用をサイト運営者が閲覧者に（積極的ではないが）アナウンスした極めて少数の例外はmixiである、ただ「アナウンスした」と「利用者より許諾を得た」と完全に同義ではない点は誤解しないでいただきたい（行動ターゲティングサービスとmixi）。
（ブラウザの設定画面よりサードパーティのCookieをブロックしてなければ許諾した事になるだって？そんな事は無い）
許諾の有無を確認せず・Tracking Cookieであるのか否かを確認せずに、サードパーティクッキーをスパイウェアとして扱うならば、ASCの定義とは主旨を異とする。
現実の問題として、エンドユーザーの許諾を得ずに入り込むサードパーティCookieをリスク評価も無くASCの広義のスパイウェアに含めるのは、無理があるのだ。
では話と視点をガラッと入れ替えてみよう。そう、一部メーカー側の視点だ。
サードパーティクッキーをTracking Cookieとして扱い、Tracking Cookieを（広義の）スパイウェアとして扱うならば、メーカーは独自に調査した上で、「許諾の有無」を確認しなければならない。
そんな事はわかっているって？いや、君は全くわかっていない。
不思議な話として、一部のメーカーは検出対象となったTracking Cookieに関する個別の技術情報を「全く」掲載していないのだ。
これでは適切な評価が行われたのか否かを、利用者は判断できないだろう。「何か企んでいるのか？」と不信感を持たれるのは当然だ。
まさか、サードパーティクッキーである・もしくは広告代理店が発行したクッキーであるとの理由のみで、スパイウェアとして検出対象に含めたんではないよね？
全く説明が無いままでは、「壷買いませんかー」との怪しい霊感商法と同じではないか。
Tracking Cookie・Advertising Cookie（広告クッキー）をどう料理するのか。そもそも何をTracking Cookieとし、何をリスクが無いCookieとするのか。
最終的には対策メーカーがどれを検出対象とし・どれを検出対象としないのかとの判断基準は、メーカーによる個別の・独自のものとなる。
君は何かの対策ソフトにて検出されなかったものが、他のソフトウェアで検出された経験は無いだろうか？
Remnant （レムナント）*ではなく単純に、A社のソフトウェアで見過ごされていたスパイウェアと称される何かが、B社のスパイウェア対策ソフトで検出された**などの事例だ。
大多数の場合は、これらはTracking Cookieである。
（*Remnant：ウイルス感染ファイルなどを修復した際に残存した、カス。）
（**False PositiveなのかFalse Negativeを判断する情報なり材料は、大部分の場合はエンドユーザーには与えられていないのが現状だし、検出対象とする判断基準は多くの事例にて明瞭ではない）
Benjamin Edelman氏らによる2006年9月のレポートによれば、以前よりネット上のフォーラムにて言及されていた問題、つまり対策側メーカーによる対応はバラバラ・時にはメチャクチャなのではとの議論を裏付けた。
Cookies Detected by Anti-Spyware Programs: The Current Status
（文章は英語であるが、表や図が多く英語が十分にわからなくても直感的に理解できる内容である。一読して損は無いし必ず君の後日のために役立つ話なので、是非とも閲覧していただきたい）
具体的なテストの手順は、このような手法のようだ。
1）ブラウジングやクッキーの設置を妨げるソフトウェアを導入していないWindowsXP SP2のバーチャルマシンを準備
2）ネットワークスニッファを利用し、クッキーの設置を確認
3）対策ソフトウェアは最新の状態にするため更新し、デフォルトの設定で利用
#ネットワークスニッファを利用する所からして完璧主義ですよね、彼らって。
Benjamin Edelman氏のテスト結果を眺めると、あるCookieが検出対象として扱われるのか否かは驚くほどメーカー間でバラバラであり、一貫性が全く無い点に驚かされる。
結果を単純に解釈できないし、背景を理解するのは一筋縄ではいかないだろう。
検出できなかったメーカーはあるTracking Cookieの存在を知らなかったのか？もしくは定量的評価としてとあるTrackig Cookieを検出対象としなかったのか？
。。。。どうなんでしょうかね？
スパイウェア対策ソフトウェア・または従来はアンチウイルスソフトメーカーのスィート製品（複数の役割を果たす製品を包括したもの）におけるスパイウェア検索機能を利用し、スキャン終了後の画面にて「スパイウェアが検出されました」と表示する。そこにTracking Cookieとして表示すれば消費者は「あぁTracking Cookieはスパイウェアなんですね」と思い込みがちなのではなかろうか。
この場合はメーカー側は、Tracking Cookieに対し適切な説明をし、何故に検出対象としたのか・どの程度のリスクが存在するのかに関する技術情報を、検索し何かが表示されたスキャン終了画面より、消費者が容易にアクセスでき・見つけられるような状態で公表すればよいだろう。
適切な説明に容易にたどり着けるようにしておけば、「スパイウェア対策ソフトウェアにより検出されたから、クッキーはスパイウェアであり、とんでもなく多大な危害を与えるものだ」と思い込む方は減るだろう。
ウイルス対策ソフトではどうだろか？この場合はスパイウェア対策ソフトメーカーとは事情は異なるのではと、自分は考える。
何故ならば検出対象を検索画面にて例えば「スパイウェア検索中」などとと表示するか否か・技術情報にて「スパイウェア」に何かを含め表記するか否かの自由度は、ある意味でスパイウェア対策ソフトと比較し大きいからだ。
彼らはTracking Cookieを検出対象に含めたとしても、スパイウェアなるカテゴリに含めずにユーザーの誤解を避ける機会はスパイウェア対策ソフトウェアよりはある意味で多く、そのまま単なるTracking Cookieとして扱える。スパイウェアではなく「どうでもいいもの」とか「その他の脅威」として説明する機会がスパイウェア対策ソフト以上に与えられているだろう。
だがスパイウェア対策機能を備える製品を販売しているウイルス対策ソフトメーカーがドキュメント中にて、Tracking Cookiwをスパイウェアとして記載するのは、これまた全く異なる問題である。そのような場合はメーカー側による「意図的な混同」と捉えるより解釈のしようがない。
スパイウェア対策ソフトウェアがデフォルトで堂々と、検索結果画面にてスパイウェアの表示と共にTracking Cookieと表示される点は仕方ないだろう。。。。その点には自分は十分に理解を示す
だがスキャン結果画面にて「スパイウェアが検出されました」と表示したとして、一部メーカーはその後がいけませんな。
検出された項目をダブルクリックして表示されたページにはろくな情報もなく・場合によっては検出対象となった個別のTracking Cookieに関するページも無い。メーカーの解説ページにてTracking Cookieがスパイウェアとして記載されている。そんな一部メーカーはあまりにも不審でいかがわしいのだ。
一例としてトレンドマイクロ社は不正クッキーなる独自用語を利用しており、ウイルス対策基礎知識 - 用語集にはCookieに関する説明が掲載されていないものの、「不正クッキー」解説ページが存在する。
毎度の事ながら、メーカー独自の妙な単語や解釈を増やすのは止めてもらいたい。TrendMicro社はTracking Cookieに限らず、意図的に分類・区分を混同させるダブルスタンダード的な姿勢をとっている。
ウイルスバスターとトレンドマイクロ社は大変不思議だ。スキャン後の画面よりダブルクリックしても、大多数の場合トレンドマイクロ ウイルスデータベース-検索結果なる画面と「0 検索内容.」「お探しのウイルス情報はデータベースに見当たりませんでした」と表示されるだけである。
。。。。。。。検出対象とした判断基準・Tracking Cookieであるとした理由は何ですか？何故に堂々と技術情報として表示されないんですか？
ウイルスバスターのスパイウェア検索機能にて堂々とTracking Cookieをスパイウェアと表示するのだから、相応の説明をするべきである。
これがCA（Computer Associates International, Inc. ・コンピュータ・アソシエイツ）なると、また事情が異なる。
CAによるスパイウェア拡大解釈は、広義のスパイウェアではなくペストか？（Semplice）にても紹介したが、CAはPestPatrol社買収後のゴタゴタのためか、技術情報がかなりメチャクチャであり、やや悪い言い回しだがどうしょうも無い状態だ。
ブログからFUDへ？ 眞鍋かをりは30個の「スパイウェア」のうちcookieの数を明らかにせよ（高木浩光＠自宅の日記）なる指摘もあるが、そもそもCAでは「何でもかんでもスパイウェア」として扱っているため、検出対象とするスパイウェアに関するドキュメントには技術的な裏づけが全く無い。
ウイルス対策ソフトメーカーとスパイウェア対策ソフトメーカーは、エンドユーザーに対して適切かつ十分な説明を行うべきである。
Tracking Cookieそのものに関する説明は対策メーカー間ではさほどの違いは無い。
しかし何故に一部のメーカーはスパイウェアとして扱い・またスキャン後表示される画面なり技術情報にて、必要以上に・なおかつ不適切に消費者の不安感を煽り、製品の購入を結果として強要するんだろうか。
このような行為は、FUD（消費者の不安感を必要以上に煽り立てる悪質なマーケティング手法）に過ぎないだろう（FUD-恐怖(fear)・不安(uncertainty)・疑念(doubt)-悪質なマーケティング（Semplice））。
Tracking Cookieをして「スパイウェアが検出されました！」と表示し、ろくな説明を提供しないのは、消費者の判断材料を奪っている。
検出されたものの詳細情報を見るため、検出画面よりクリックして表示されたメーカーサイトのページが情報不足・時には無い場合は？
技術情報にてTracking Cookieがスパイウェアに含まれている場合は？その理由は？
あえてドコ宛てとは明記しませんが、多少センシティブな話を。
Tracking Cookieを（広義の）スパイウェア・もしくはメーカー独自の基準としてのスパイウェアとして扱い、なおかつろくな説明を消費者にしないならば、端的に答えてもらいたい。
ASCの定義では、ユーザーの許諾の有無を広義のスパイウェアに含めるべきか否かの判断材料としている。某社では「ユーザーの許諾の有無」を、どうやって判断しているんですか？説明できないならば「広義のスパイウェア」なる定義を利用しているとの説明には齟齬なり乖離があります。
ASCに加盟しながら、全く独自の定義にて「下らないどうでもいいもの」をスパイウェアとして技術情報に掲載するのは、何故なんでしょうか？
し「メーカー独自の基準でスパイウェアに含めています。当社が言うところのスパイウェアは狭義ではなく広義の意味でのスパイウェアです」と回答なされるならば、貴社が参加するASCのドキュメントとはあまりにもかけ離れていますね。
（ASC：スパイウェア等の用語の定義を定めた団体。詳細はCurrent ASC Members（ASC）（Semplice）参照）
改善するとしたらば、検出対象とする際には明瞭な判断基準を備え、検出レポート画面中にて消費者の不安を必要以上に扇情しないよう表示し、ドキュメント中にてTracking Cookieはスパイウェアに含めず別のカテゴリとして扱うのが理想的だろう。
まぁ、ほら、あれだ。「どうでもいいもの」をスパイウェアとして宣伝してきた企業姿勢は、簡単には変わらないだろう。
はてな上で2006年9月20日、はてな上でアンケートを行った。回答数は500件。「とりあえずポイントゲット（24件）」と「ビスケットの親戚のようなものですか？ （23件）」の二つを有効回答より除く。
クッキー・一部のクッキーをスパイウェアだとの回答は33+29件=62件33+229件=262件、クッキーはスパイウェアではないとの回答は143件である。3つの回答205405件より求めれば、約7035%がクッキーはスパイウェアではない、約3065%がクッキー・または一部のクッキーをスパイウェアであると回答した。
アンケート回答者はどのような層であり、どんな経験があるのだろうか？あなたのパソコン歴・ネット歴は何年ですか？（人力検索はてな）と別のアンケートを行った結果、90%以上の回答者は5年以上の経験が備わっていると回答したのだ。
（同じアンケート中にて個別の質問項目として行うべきであった点は反省）
得られた回答より、対策ソフトウェアによりTracking Cookieをスパイウェアと表示されても動揺しないと考えられる層は、クッキーはスパイウェアではない（143件）と一部のクッキー（トラッキングクッキー等）はスパウェアだ（29件）であり、有効回答中の68%であった。
（2008年4月6日追記：ブログ主の主観に極度に依存する解釈であり、取り下げます）
あなたのパソコン歴・ネット歴は何年ですか？（人力検索はてな）との別のアンケートを行った結果、90%以上の回答者は5年以上の経験が備わっていると回答した。ならば「クッキーをスパイウェアとして検出されても動揺しない層」の比率はもっと高くても不思議ではないのだが。。。。。
自分はこのアンケート結果にかなり当惑したのだよ。
場を改めてアンケートを行うにしても、多くの課題を残した。「何故にTracking Cookieがスパイウェアではないと考えるのか」についての言及を求めるべきであったのだ。
ウイルス対策ソフトやスパイウェア対策ソフトはTracking Cookieを検出対象とするな、などとは宣言しない。だが一部のメーカーがスパイウェアの語感の悪さを利用し、スパイウェア対策ソフト利用者に誤解を招き、過度の不安感を抱かせる現状はどうにかならないのだろうか。
彼らの狙いは製品の購入を強要するためなのか？はっきり違うと答えられるならば、メーカーは企業の姿勢なり技術的評価にて、多くの点を改善しなければならない。
狭義のスパイウェアのリスクは、広義のスパイウェアやメーカー独自の解釈（つまり何でもアリ）と単純に比較できるものではない。
メーカーが宣伝目的にて「何十・何百件ものスパイウェアが検出されました」などと宣伝するのは・また調査会社が「何十%ものパソコンにスパイウェアが！」と扇情的な記事を掲載するのは、単なる水増し行為に過ぎずお行儀が悪い。
と言っても、Tracking Cookieは検出対象とするべきではないと言い切っても良いのか？
重篤な脅威がある危険なクッキーが出現した際に検出対象としないのは、ユーザー保護の観点からは望ましくはないだろう。
Tracking Cookieはスパイウェアに含めず、独自のカテゴリとして扱うのが理想的だ。
自分はスパイウェア対策ソフトが検出結果画面にて「スパイウェアが検出されました！」と表示し、その中にTracking Cookieが並ぶのは、別の問題であるとし一定の理解を示している。
対策ソフト利用者側がTracking Cookieを重篤な脅威と即座に思い込んでしまうのは、この部分に限定して考えるならば、早計であるし慎重さが不十分なのだろうか。
だが検出結果画面におけるカテゴリ表示やリスク評価、また検出結果画面中よりダブルクリックし表示されるメーカーサイトの解説ページが無い・不十分であるならば、消費者の判断材料を事実上奪っている。そのようなメーカーは解決しなければならない課題が多いだろう。
メーカーのスパイウェア関連技術情報にてTracking Cookieに十分な説明をしているならば、「某社は消費者の不安を必要以上に煽り立てた！」との非難には当てはまらないようにも思える。
だが「消費者に提示する情報を不十分なままとした」「表示した脅威のリスクを消費者が過大評価するよう誘導した」ならば、消費者保護の観点より責められても仕方ないだろう。
クッキー（Cookie）の諸問題 - トラッキング クッキー ・ 追跡クッキー ・ サードパーティ クッキー
CA認定のスパイウェア撲滅隊隊長眞鍋かをりは、何時何で何件検出したのだ？
Cookiesを削除するだけの目的でソフトウェアを購入するべきではない
一連のCookie関連原稿も最終的には1000行を超え、文章の海に溺れておりましたが、やっと一段落。
exさんよりは有意義なアドバイスを幾つもいただき、視野が大変広がりました。Sakaiさんよりは初心者が勘違いしやすい事例として多くのアドバイスをいただきました。miyasatoさんよりは消費者とメーカーの視点が乖離している等と、自分が考えもしなかった多くのアドバイスをいただきました。
2008年4月7日 はてなでのアンケート集計の数字が間違っていた点をUniさんより指摘され修正。連絡ありがとうございます。
「何十ものSpywareに感染し、どうしょうも無い！」と知人に泣きつかれ調べたらCookieだった、そんな体験はないだろうか？ - そもそも何故に、あるソフトウェアでは「悪質なもの」として検出され、他のソフトウェアでは検出されないのか？
（ちなみに過去に自分が直接対応した限りでは、「何か」に感染していた最高記録の事例であっても、100ファイルを超えるのは稀だ - Cookieの大量検出とブラウザのキャッシュ、そして既存ファイルを書き換えるものを除けば）
このブログエントリを読む際には事前に予備知識を得るためにクッキー（Cookie）の諸問題 - トラッキング クッキー ・ 追跡クッキー ・ サードパーティ クッキー（Semplice）を軽く流し読みしてもらいたい。
スパイウェア対策ソフトによるTracking Cookie検出
冗長な本文の前に、具体的な検出例を紹介しよう。
Tracking Cookie配布元企業のうち、著名な5つをピックアップ。Internet Explorerのプライバシー設定を中-高として配布元企業サイトを閲覧し、Cookiesを作成した。
http://www.webtrends.com/
http://www.valueclick.com/
http://www.100hot.com/index.html
http://www.doubleclick.com/us/
http://www.excite.com/
可視化するためにIE用Cookieエディタにて表示。
ウイルスバスター 2007のスパイウェア検索の結果である。なおウイルス検索ではトラブルが起こったため中止とした。
またトレンドマイクロ社のウイルスバスター オンラインスキャンにては何も検出されなかった点を付記する。
CA インターネット セキュリティ スイート 2007を導入し、CA Anti-Spywareでスキャンした結果である。
CA Anti-Virusでは何も検出されなかった。
（脅威レベルがLowとlowの2つなのは不思議）
ここで質問だ。このパソコンはTracking Cookieなるスパイウェアに感染しているんだろうか？
Tracking Cookieがスパイウェアではない理由
Tracking CookieがSpywareであるとの主張に対しては、日本国内での個人レベルにては否定的見解が多く見受けられる。
多くの事例では「Tracking CookiesというSpywareが検出されました！どうしたらいいんでしょうか。。。。。」との初心者層がよく遭遇する焦ったコメントに対し、「さほどの心配は無いんだよ、うん」のようなやりとりで終結するが、何故に無視しても良いのか・ならどうしたらば良いのかについての言及は、それほど多くはないようだ。
X-Cleanerの販売元である株式会社ネクステッジテクノロジーが運営するSpywareGuideにて、坂本堪亮氏による追跡クッキー (サードパーティ クッキー)について（スパイウェアガイド）とクッキーはスパイウェアではない（スパイウェアガイド）なる、クッキーに関する素晴らしいガイドがある。
（知識や経験の奥深さが伝わってきますね、凄い方ですよ）
坂本氏が記載した、Japan internet.comの記事より転載する。多少長くてすいません。
セキュリティ強化と利便性の低下
技術的に、クッキーはスパイウェアではありません。クライアントコンピュータに残るクッキーには、スパイウェアとなるプログラムコードやスクリプトは入っていないからです。
しかし、アンチスパイウェアの多くは、クッキーをスパイウェアとして検出します。クッキーは現在ほとんどの Web サイトで使われている技術で、ユーザーのサイトでの利便性を高めたり、ユーザーを見せたい情報に誘導するために欠かせない技術のひとつです。
クッキーはスパイウェアではない
時々、アンチスパイウェアベンダーは、製品販促を優先するためか、無実のものも脅威としてユーザーの恐怖心を煽っているように感じます。
例えば、ベンダーは、クッキーをスパイウェアとしてシグネチャ データベースに登録することで、シグネチャファイルを簡単に大きくすることができます。アンチウィルスの DB データ登録件数を多く見せる方法に加えて、クッキーをシグネチャに追加することで、多く見せることは簡単です。つまり、「ｘｘ社のアンチスパイウェア製品はxx万のデータベースがあります」と、優位性を見せることができます。
インターネット上の Web サーバーを巡回し、クッキーを自動的に収集するのはそれほど難しいことではありません。しかしこれは、スパイウェア対策という面では、あまり効果的な方法とは思われません。 追跡クッキーはプライバシーの侵害であるから、スパイウェア、という意見もあります。あるアンチスパイウェアベンダーは、この追跡クッキーのことを「スパイウェアクッキー」と呼んだりしています。
これは間違いです。これでは、ユーザーのスパイウェアに対する誤解を招いてしまいます。
クッキーは、クライアントに保存される単純なテキストファイルです。このファイルには、プログラムコードも、またユーザー ID やパスワードなどの情報も一切含まれていません。従って、クッキーがコンピュータの情報を盗む、外部に漏らす、コンピュータ障害を引き起こすなどはありません。
一方、そのクライアント コンピュータ上に残るクッキー ファイルが盗まれることで、セキュリティのリスクが発生するのは確かです。
スパイウェア対策――情報セキュリティリテラシの向上（2005年7月21日）（Japan internet com）
坂本堪亮氏は他の記事中にてFTCやSPY ACTを引き合いに出しているけど、ASCによる定義に関する見解なども伺いたいものです。
Cookieの話題からは多少ズレてしまうんですが、アンチウイルスソフトメーカーの一部は「どうでもいい下らないもの」を検出対象とし、表示される検出カテゴリを「トロイの木馬」やその他の「それは幾らなんでも嘘でしょう！なカテゴリ」なるものとし、エンドユーザーの不安感を必要以上に煽り、結果として消費者に製品の購入を強要している。
Tracking Cookieに限らず「下らないもの」を検出対象に含めスパイウェアであると宣伝すれば得をすると考えるメーカーも多々あるようだ。
Microsoftによる解説にては、Cookieとスパイウェアによる個人情報の流出について論じた上で、スパイウェアについて以下のように解説している。
Q. スパイウェアは、ユーザーの情報をどのように悪用しますか?
Cookie の悪用もスパイウェアもプライバシーの侵害であるという観点から言うとスパイウェアの問題はCookie の問題と類似しています。しかし、スパイウェアは厳密に言うと Cookie とは異なります。スパイウェアは、ユーザーのコンピュータ上で実行されるプログラムで、ユーザーの Web ブラウジングの習慣をトラッキングし、これらのパターンを利用し、広告などが表示されるようにします。スパイウェアは Cookie の少量のテキストのようなものではなく、コンピュータプログラムであるため、不正な動作を実行し、その動作が継続され、また表示されるページに影響を及ぼし続ける可能性もあります。
マルウェアの定義 : FAQ（Microsoft）
Symantec社ではTracking Cookieを「その他のセキュリティリスク」とし、Tracking Cookie（Symantec）にシンプルな解説を掲載している。
海外に目を向ければ、著名なセキュリティ対策専門家であるBenjamin Edelman氏は2006年9月、アンチスパウイウェアソフトごとによるTracking Cookie検出に関する興味深いレポートを掲載したのだが（後述）、前置きとして大変示唆に富む解説をしている。
一部を抜粋して和訳し、転載しよう。
私は常に広告クッキーに対するアンチスパイウェアプログラムの様々な態度によって当惑させられている。 幾つかのアンチスパイウェアプログラムは「スパイクッキー」のような用語で極端な批判をし、クッキーの害を深刻に誇張している。他のものはまったくクッキーを無視する。中間としては幾つかの興味深い選択肢 - デフォルトでクッキーを無視し（しかしオプション検出で）、クッキーの検出を隠す簡単な方法をユーザーへ与え、そしてクッキーを「低リスク」として検出する。
求められていない導入、ユーザへの利益は無い − スパイウェアのような響き？著名なWalt Mossberg を含めて、若干名はそのように言う。だがそれは私の実際の見解とは異なる。 私が注目しているスパイウェアとは異なり、クッキーは過剰な広告でユーザを妨害しない、ユーザのPCを遅くしない、クラッシュしない、そしてただ些細な帯域幅・メモリ・CPUだけを必要とする。
全体を眺めれば、私はクッキーが典型的ユーザーに対し多くの深刻な懸念を引き起こすとは思えない。
Which Anti-Spyware Programs Delete Which Cookies?（Benjamin Edelman）氏のブログの一部を抜粋し和訳した。
訳者より短く断りを。Benjamin Edelman氏はTracking Cookieによるプライバシー関連の問題は否定しておらず、彼がこれまで扱ったスパイウェアによる問題の深刻さとの対比として、このように記載している。
。。。。。。どうもやりづらいな。自分が考えていた論点を坂本氏とBenjamin Edelman氏にほとんど指摘され尽くされてしまった感がある。
二番煎じとなるのは、なぁ。
では論点を変えて、今回のメインテーマ - メーカー側の対応について考えてみたい。
Tracking CookieをSpywareとして検出する企業を、どのようにして評価すべきなんだろうか？
第一に対策側メーカーは何を何故に検出対象とするのかは、大抵の場合不透明である。
個別の検出対象ごとの技術情報が存在しない場合も多々あるだろう。
第二には、スパイウェアではない軽微な問題を「とりあえず対応した方が良いよ」とレポートするのはあながち不適切な姿勢では無い点だ。多少話しがずれてしまうが、多くのアンチウイルスソフトウェアは、Windows OSの脆弱性を突く攻撃を検出対象としている。
スパイウェア対策ソフトによる検出結果画面のGUIにて「スパイウェアが検出されました！」なる固定化された文字列の下に「スパイウェアではないものの対処した方が望ましいもの」が掲載されるのは、メーカーの姿勢が詐欺的とか扇情的とまでは言えないだろう。その一点においては、メーカーを責めるべきではない。
（ただし、検出カテゴリの分類名と、それよりリンクされている技術情報は適切なものとする必要があるだろう）
第三として、Tracking Cookieをメーカーによる技術情報や解説中にて堂々とSpywareに含めるのは、やり過ぎだし暴走行為だ。
検出対象に含めるか否かと、メーカーの技術情報中にてスパイウェアに含めるべきか否かは、全く次元が異なる問題である。
「Tracking Cookieはスパイウェアではない！」と論じるならばまずは、メーカーによるFUD（恐怖(fear)・不安(uncertainty)・疑念(doubt)を煽り立てる悪質な商法）と判別するために、検出対象とするか否かではなく、そのメーカーによるドキュメントと定義付けを閲覧し判断しなければならないのではないだろうか。
Tracking cookieはスパイウェア - 広義のスパイウェア定義が為せる拡大解釈
広義のスパイウェアと定義について
ある不審なソフトウェアをA社はスパイウェア（狭義）、B社はスパイウェア（広義）、C社はトロイの木馬として検出対象とするのも、よくある話だ。
（やや込み入った分類話については、マルウェア（Malware）の定義（ウイルス・スパイウェア・アドウェア）（Semplice）を参照してもらいたい。）
クッキーをスパイウェアとして扱うべきか否かを論じる前に、広義のスパイウェアを考慮しなければならないだろう。多少込み入った話だが、ご甘受願いたい。
アンチウイルスソフトやアンチスパイウェアソフトの製造・販売元ごとに、スパイウェアの定義や扱い、つまりはある難儀なプログラムをどのカテゴリに含めるのか・検出対象とするのか。判断基準はメーカーごとに大きな乖離がある。
スパイウェアの定義がメーカー毎に異なり混沌としている状況にて、ASC（Anti-Spyware Coalitionｍ）なる団体が迷惑なソフトウェア・または関連技術について区分・整理し定義づけた。
ここで一つ、不可思議な事態が生じた。
ASCは狭義のスパイウェア（従来の・ある意味で本当のスパイウェア）のみならず、スパイウェアでも何でもない多くのもの - 一例としてTracking Cookieなど - を広義のスパイウェアとして区分してしまった。「スパイウェアではないものを、スパイウェアとして扱いたがるメーカー」に追随したのだろうか。
「広義のスパイウェア」は、一部の対策側メーカーにより不適切に利用されているテクニカルタームだ。メーカーサイトに掲載される場合はわざわざ広義なる説明は付記されず、スパイウェアと単独で呼称される。
自分は以前より、「広義のスパイウェア」を（それほどの脅威が無いものまで含め）都合に合わせ利用するような一部のウイルス対策ソフトメーカーの姿勢は単なるFUDに過ぎず、瑣末な問題を重大なトラブルであるように消費者を誤解させ、製品の購入を強要する目的に過ぎないのではとの疑念を持っている。
メーカーによっては広義の意味と狭義の意味を意図的に混同・または意図的に誤り、運営上メーカー自身にとって望ましいような区分（より消費者の不安を煽りやすい区分）で扱っている。
ASCは、既に多くの対策ソフトメーカーが「広義のスパイウェア」を用語として利用するのを妨げず、公式な文書にて断りがなければ、スパイウェアとは広義のスパイウェアを指すと発表した。
（これは「何でもかんでもスパイウェア扱いし、ユーザーの不安を煽るのを推奨する」との意味ではなく、現況での広義かつ広範な用例を解説しただけではなかろうか）
思いっきり広義の意味で使ってしまえば、何でもアリだ。
スパイウェア（Spyware）の解説と定義、概論（Semplice）
（FUDについてはFUD-恐怖(fear)・不安(uncertainty)・疑念(doubt)-悪質なマーケティング（Semplice）参照のこと）
（広義のスパイウェアに関しての詳細は、ASC（Anti-Spyware Coalitionｍ）のスパイウェア等の定義（Semplice）と、スパイウェア（Spyware）の解説と定義、概論（Semplice）を読み返していただきたい）
繰り返しになるが、ASCは特に断りが無ければスパイウェアとは広義のスパイウェアを指すとした。
結果として「当社ではスパイウェアは広義のスパイウェアなるカテゴリで扱っております」と言われたらば、一部のCookiesをスパイウェア（広義のスパイウェア）として扱う企業のマーケティング優先・とりあえず消費者の不安を煽って製品を購入させてしまえ的な姿勢に対して、反論は難しくなったとしても過言ではない。
ASCの広義のスパイウェアとTracking Cookie - 許可の有無について
Tracking Cookieをスパイウェアとして扱うべきか否かとの論点には、重要な課題が一つ残っている。
ASCのAnti-Spyware Coalition Definitions and Supporting Documents中には「Examples of Spyware and Potentially Unwanted Technologies（スパイウェアと潜在的に望ましくは無い技術）」なるリストがあり、広義のスパイウェアとして扱われる。
ページ末尾にUnauthorized Tracking Cookies （無許可のトラッキングクッキー）なる項目が掲載されているのを確認してもらいたい。
見落とされがちな部分であるが、多少読み替えて解説しよう。
ASC（Anti-Spyware Coalitionｍ）は消費者の許諾を得た上で導入されたTracking Cookieは、（広義の）スパイウェアには含めていないのだ
対策ソフト販売者は、一体どのようにしてサードパーティのTracking Cookie利用について消費者の許諾の有無を判別するのだろうか？サードパーティクッキーは、Tracking Cookieと同義ではない。
Tracking Cookieの利用をサイト運営者が閲覧者に（積極的ではないが）アナウンスした極めて少数の例外はmixiである、ただ「アナウンスした」と「利用者より許諾を得た」と完全に同義ではない点は誤解しないでいただきたい（行動ターゲティングサービスとmixi）。
（ブラウザの設定画面よりサードパーティのCookieをブロックしてなければ許諾した事になるだって？そんな事は無い）
検出対象のTracking Cookieは、本当に正当な理由で検出対象とされたのか？
許諾の有無を確認せず・Tracking Cookieであるのか否かを確認せずに、サードパーティクッキーをスパイウェアとして扱うならば、ASCの定義とは主旨を異とする。
現実の問題として、エンドユーザーの許諾を得ずに入り込むサードパーティCookieをリスク評価も無くASCの広義のスパイウェアに含めるのは、無理があるのだ。
では話と視点をガラッと入れ替えてみよう。そう、一部メーカー側の視点だ。
サードパーティクッキーをTracking Cookieとして扱い、Tracking Cookieを（広義の）スパイウェアとして扱うならば、メーカーは独自に調査した上で、「許諾の有無」を確認しなければならない。
そんな事はわかっているって？いや、君は全くわかっていない。
不思議な話として、一部のメーカーは検出対象となったTracking Cookieに関する個別の技術情報を「全く」掲載していないのだ。
これでは適切な評価が行われたのか否かを、利用者は判断できないだろう。「何か企んでいるのか？」と不信感を持たれるのは当然だ。
まさか、サードパーティクッキーである・もしくは広告代理店が発行したクッキーであるとの理由のみで、スパイウェアとして検出対象に含めたんではないよね？
全く説明が無いままでは、「壷買いませんかー」との怪しい霊感商法と同じではないか。
どのTracking Cookieを検出対象とするかは、メーカー独自の基準となる
Tracking Cookie・Advertising Cookie（広告クッキー）をどう料理するのか。そもそも何をTracking Cookieとし、何をリスクが無いCookieとするのか。
最終的には対策メーカーがどれを検出対象とし・どれを検出対象としないのかとの判断基準は、メーカーによる個別の・独自のものとなる。
君は何かの対策ソフトにて検出されなかったものが、他のソフトウェアで検出された経験は無いだろうか？
Remnant （レムナント）*ではなく単純に、A社のソフトウェアで見過ごされていたスパイウェアと称される何かが、B社のスパイウェア対策ソフトで検出された**などの事例だ。
大多数の場合は、これらはTracking Cookieである。
（*Remnant：ウイルス感染ファイルなどを修復した際に残存した、カス。）
（**False PositiveなのかFalse Negativeを判断する情報なり材料は、大部分の場合はエンドユーザーには与えられていないのが現状だし、検出対象とする判断基準は多くの事例にて明瞭ではない）
Benjamin Edelman氏らによる2006年9月のレポートによれば、以前よりネット上のフォーラムにて言及されていた問題、つまり対策側メーカーによる対応はバラバラ・時にはメチャクチャなのではとの議論を裏付けた。
Cookies Detected by Anti-Spyware Programs: The Current Status
（文章は英語であるが、表や図が多く英語が十分にわからなくても直感的に理解できる内容である。一読して損は無いし必ず君の後日のために役立つ話なので、是非とも閲覧していただきたい）
具体的なテストの手順は、このような手法のようだ。
1）ブラウジングやクッキーの設置を妨げるソフトウェアを導入していないWindowsXP SP2のバーチャルマシンを準備
2）ネットワークスニッファを利用し、クッキーの設置を確認
3）対策ソフトウェアは最新の状態にするため更新し、デフォルトの設定で利用
#ネットワークスニッファを利用する所からして完璧主義ですよね、彼らって。
Benjamin Edelman氏のテスト結果を眺めると、あるCookieが検出対象として扱われるのか否かは驚くほどメーカー間でバラバラであり、一貫性が全く無い点に驚かされる。
結果を単純に解釈できないし、背景を理解するのは一筋縄ではいかないだろう。
検出できなかったメーカーはあるTracking Cookieの存在を知らなかったのか？もしくは定量的評価としてとあるTrackig Cookieを検出対象としなかったのか？
。。。。どうなんでしょうかね？
対策ソフトウェアのおかしさ
十分な内容の技術情報を提示しないメーカー
スパイウェア対策ソフトウェア・または従来はアンチウイルスソフトメーカーのスィート製品（複数の役割を果たす製品を包括したもの）におけるスパイウェア検索機能を利用し、スキャン終了後の画面にて「スパイウェアが検出されました」と表示する。そこにTracking Cookieとして表示すれば消費者は「あぁTracking Cookieはスパイウェアなんですね」と思い込みがちなのではなかろうか。
この場合はメーカー側は、Tracking Cookieに対し適切な説明をし、何故に検出対象としたのか・どの程度のリスクが存在するのかに関する技術情報を、検索し何かが表示されたスキャン終了画面より、消費者が容易にアクセスでき・見つけられるような状態で公表すればよいだろう。
適切な説明に容易にたどり着けるようにしておけば、「スパイウェア対策ソフトウェアにより検出されたから、クッキーはスパイウェアであり、とんでもなく多大な危害を与えるものだ」と思い込む方は減るだろう。
ウイルス対策ソフトではどうだろか？この場合はスパイウェア対策ソフトメーカーとは事情は異なるのではと、自分は考える。
何故ならば検出対象を検索画面にて例えば「スパイウェア検索中」などとと表示するか否か・技術情報にて「スパイウェア」に何かを含め表記するか否かの自由度は、ある意味でスパイウェア対策ソフトと比較し大きいからだ。
彼らはTracking Cookieを検出対象に含めたとしても、スパイウェアなるカテゴリに含めずにユーザーの誤解を避ける機会はスパイウェア対策ソフトウェアよりはある意味で多く、そのまま単なるTracking Cookieとして扱える。スパイウェアではなく「どうでもいいもの」とか「その他の脅威」として説明する機会がスパイウェア対策ソフト以上に与えられているだろう。
だがスパイウェア対策機能を備える製品を販売しているウイルス対策ソフトメーカーがドキュメント中にて、Tracking Cookiwをスパイウェアとして記載するのは、これまた全く異なる問題である。そのような場合はメーカー側による「意図的な混同」と捉えるより解釈のしようがない。
メーカーの技術情報中における、SpywareとTracking Cookieについて
スパイウェア対策ソフトウェアがデフォルトで堂々と、検索結果画面にてスパイウェアの表示と共にTracking Cookieと表示される点は仕方ないだろう。。。。その点には自分は十分に理解を示す
だがスキャン結果画面にて「スパイウェアが検出されました」と表示したとして、一部メーカーはその後がいけませんな。
検出された項目をダブルクリックして表示されたページにはろくな情報もなく・場合によっては検出対象となった個別のTracking Cookieに関するページも無い。メーカーの解説ページにてTracking Cookieがスパイウェアとして記載されている。そんな一部メーカーはあまりにも不審でいかがわしいのだ。
一例としてトレンドマイクロ社は不正クッキーなる独自用語を利用しており、ウイルス対策基礎知識 - 用語集にはCookieに関する説明が掲載されていないものの、「不正クッキー」解説ページが存在する。
不正クッキーとは何か
「不正クッキー」とは一般に、「Tracking Cookie（トラッキングクッキー）」、「Tracing Cookie（トレーシングクッキー）」、「Data Miner（データマイナー）」、「サードパーティクッキー」などと呼ばれる、悪用の可能性があるクッキーの総称です。
トレンドマイクロではユーザのプライバシー侵害につながると指摘があったクッキーを不正クッキーとして検出します。この検出はユーザの注意喚起が目的であり、直ちに大きな危険があることを示すものではありません。
「不正クッキー」とは何か （TrendMicro）
毎度の事ながら、メーカー独自の妙な単語や解釈を増やすのは止めてもらいたい。TrendMicro社はTracking Cookieに限らず、意図的に分類・区分を混同させるダブルスタンダード的な姿勢をとっている。
ウイルスバスターとトレンドマイクロ社は大変不思議だ。スキャン後の画面よりダブルクリックしても、大多数の場合トレンドマイクロ ウイルスデータベース-検索結果なる画面と「0 検索内容.」「お探しのウイルス情報はデータベースに見当たりませんでした」と表示されるだけである。
。。。。。。。検出対象とした判断基準・Tracking Cookieであるとした理由は何ですか？何故に堂々と技術情報として表示されないんですか？
ウイルスバスターのスパイウェア検索機能にて堂々とTracking Cookieをスパイウェアと表示するのだから、相応の説明をするべきである。
これがCA（Computer Associates International, Inc. ・コンピュータ・アソシエイツ）なると、また事情が異なる。
CAによるスパイウェア拡大解釈は、広義のスパイウェアではなくペストか？（Semplice）にても紹介したが、CAはPestPatrol社買収後のゴタゴタのためか、技術情報がかなりメチャクチャであり、やや悪い言い回しだがどうしょうも無い状態だ。
ブログからFUDへ？ 眞鍋かをりは30個の「スパイウェア」のうちcookieの数を明らかにせよ（高木浩光＠自宅の日記）なる指摘もあるが、そもそもCAでは「何でもかんでもスパイウェア」として扱っているため、検出対象とするスパイウェアに関するドキュメントには技術的な裏づけが全く無い。
一部メーカーへの要望 - 消費者の不安感をもたらすのみではなく、十分な説明を！
ウイルス対策ソフトメーカーとスパイウェア対策ソフトメーカーは、エンドユーザーに対して適切かつ十分な説明を行うべきである。
Tracking Cookieそのものに関する説明は対策メーカー間ではさほどの違いは無い。
しかし何故に一部のメーカーはスパイウェアとして扱い・またスキャン後表示される画面なり技術情報にて、必要以上に・なおかつ不適切に消費者の不安感を煽り、製品の購入を結果として強要するんだろうか。
このような行為は、FUD（消費者の不安感を必要以上に煽り立てる悪質なマーケティング手法）に過ぎないだろう（FUD-恐怖(fear)・不安(uncertainty)・疑念(doubt)-悪質なマーケティング（Semplice））。
Tracking Cookieをして「スパイウェアが検出されました！」と表示し、ろくな説明を提供しないのは、消費者の判断材料を奪っている。
検出されたものの詳細情報を見るため、検出画面よりクリックして表示されたメーカーサイトのページが情報不足・時には無い場合は？
技術情報にてTracking Cookieがスパイウェアに含まれている場合は？その理由は？
あえてドコ宛てとは明記しませんが、多少センシティブな話を。
Tracking Cookieを（広義の）スパイウェア・もしくはメーカー独自の基準としてのスパイウェアとして扱い、なおかつろくな説明を消費者にしないならば、端的に答えてもらいたい。
ASCの定義では、ユーザーの許諾の有無を広義のスパイウェアに含めるべきか否かの判断材料としている。某社では「ユーザーの許諾の有無」を、どうやって判断しているんですか？説明できないならば「広義のスパイウェア」なる定義を利用しているとの説明には齟齬なり乖離があります。
ASCに加盟しながら、全く独自の定義にて「下らないどうでもいいもの」をスパイウェアとして技術情報に掲載するのは、何故なんでしょうか？
し「メーカー独自の基準でスパイウェアに含めています。当社が言うところのスパイウェアは狭義ではなく広義の意味でのスパイウェアです」と回答なされるならば、貴社が参加するASCのドキュメントとはあまりにもかけ離れていますね。
（ASC：スパイウェア等の用語の定義を定めた団体。詳細はCurrent ASC Members（ASC）（Semplice）参照）
改善するとしたらば、検出対象とする際には明瞭な判断基準を備え、検出レポート画面中にて消費者の不安を必要以上に扇情しないよう表示し、ドキュメント中にてTracking Cookieはスパイウェアに含めず別のカテゴリとして扱うのが理想的だろう。
まぁ、ほら、あれだ。「どうでもいいもの」をスパイウェアとして宣伝してきた企業姿勢は、簡単には変わらないだろう。
「ネット・パソコン中級者層」以上はどのように解釈しているのか
はてな上で2006年9月20日、はてな上でアンケートを行った。回答数は500件。「とりあえずポイントゲット（24件）」と「ビスケットの親戚のようなものですか？ （23件）」の二つを有効回答より除く。
クッキー・一部のクッキーをスパイウェアだとの回答は
クッキーはスパイウェアではない（143件）
クッキーはスパイウェアだ（33件）
一部のクッキー（トラッキングクッキー等）はスパウェアだ（29229件）
設問の内容がわからない（19件）
クッキーが何を指すのかわからない（16件）
スパイウェアが何を指すのかわからない（13件）
クッキーはスパイウェアだと思いますか？（人力検索はてな）
アンケート回答者はどのような層であり、どんな経験があるのだろうか？あなたのパソコン歴・ネット歴は何年ですか？（人力検索はてな）と別のアンケートを行った結果、90%以上の回答者は5年以上の経験が備わっていると回答したのだ。
（同じアンケート中にて個別の質問項目として行うべきであった点は反省）
（2008年4月6日追記：ブログ主の主観に極度に依存する解釈であり、取り下げます）
あなたのパソコン歴・ネット歴は何年ですか？（人力検索はてな）との別のアンケートを行った結果、90%以上の回答者は5年以上の経験が備わっていると回答した。ならば「クッキーをスパイウェアとして検出されても動揺しない層」の比率はもっと高くても不思議ではないのだが。。。。。
自分はこのアンケート結果にかなり当惑したのだよ。
場を改めてアンケートを行うにしても、多くの課題を残した。「何故にTracking Cookieがスパイウェアではないと考えるのか」についての言及を求めるべきであったのだ。
Conclusion
ウイルス対策ソフトやスパイウェア対策ソフトはTracking Cookieを検出対象とするな、などとは宣言しない。だが一部のメーカーがスパイウェアの語感の悪さを利用し、スパイウェア対策ソフト利用者に誤解を招き、過度の不安感を抱かせる現状はどうにかならないのだろうか。
彼らの狙いは製品の購入を強要するためなのか？はっきり違うと答えられるならば、メーカーは企業の姿勢なり技術的評価にて、多くの点を改善しなければならない。
狭義のスパイウェアのリスクは、広義のスパイウェアやメーカー独自の解釈（つまり何でもアリ）と単純に比較できるものではない。
メーカーが宣伝目的にて「何十・何百件ものスパイウェアが検出されました」などと宣伝するのは・また調査会社が「何十%ものパソコンにスパイウェアが！」と扇情的な記事を掲載するのは、単なる水増し行為に過ぎずお行儀が悪い。
と言っても、Tracking Cookieは検出対象とするべきではないと言い切っても良いのか？
重篤な脅威がある危険なクッキーが出現した際に検出対象としないのは、ユーザー保護の観点からは望ましくはないだろう。
Tracking Cookieはスパイウェアに含めず、独自のカテゴリとして扱うのが理想的だ。
自分はスパイウェア対策ソフトが検出結果画面にて「スパイウェアが検出されました！」と表示し、その中にTracking Cookieが並ぶのは、別の問題であるとし一定の理解を示している。
対策ソフト利用者側がTracking Cookieを重篤な脅威と即座に思い込んでしまうのは、この部分に限定して考えるならば、早計であるし慎重さが不十分なのだろうか。
だが検出結果画面におけるカテゴリ表示やリスク評価、また検出結果画面中よりダブルクリックし表示されるメーカーサイトの解説ページが無い・不十分であるならば、消費者の判断材料を事実上奪っている。そのようなメーカーは解決しなければならない課題が多いだろう。
メーカーのスパイウェア関連技術情報にてTracking Cookieに十分な説明をしているならば、「某社は消費者の不安を必要以上に煽り立てた！」との非難には当てはまらないようにも思える。
だが「消費者に提示する情報を不十分なままとした」「表示した脅威のリスクを消費者が過大評価するよう誘導した」ならば、消費者保護の観点より責められても仕方ないだろう。
関連記事
クッキー（Cookie）の諸問題 - トラッキング クッキー ・ 追跡クッキー ・ サードパーティ クッキー
CA認定のスパイウェア撲滅隊隊長眞鍋かをりは、何時何で何件検出したのだ？
Cookiesを削除するだけの目的でソフトウェアを購入するべきではない
Acknowledge
一連のCookie関連原稿も最終的には1000行を超え、文章の海に溺れておりましたが、やっと一段落。
exさんよりは有意義なアドバイスを幾つもいただき、視野が大変広がりました。Sakaiさんよりは初心者が勘違いしやすい事例として多くのアドバイスをいただきました。miyasatoさんよりは消費者とメーカーの視点が乖離している等と、自分が考えもしなかった多くのアドバイスをいただきました。
更新履歴
2008年4月7日 はてなでのアンケート集計の数字が間違っていた点をUniさんより指摘され修正。連絡ありがとうございます。
Posted by Luca at 22:55
│
Comments(0)
│
2006年10月30日 - Cookiesを削除するだけの目的でソフトウェアを購入するべきではない
国内・海外のダウンロードサイトや宣伝広告にて、ただ単にCookiesを削除するだけのソフトウェアを見かけた経験は無いだろうか？
セキュリティ対策やプライバシー対策を謳うにしても、大変不思議な製品である。必要性があるとは思えない。
CookieだけではなくRecent fileやブラウザの履歴などを含め対処する製品もあるものの、いずれもあっさりと手動で対応できる点で下らない「脅威」である。
わざわざ金銭を支払い誰でも手動で削除できるInternet Explorerなどブラウザのクッキーを、本気で君は無駄に代金を支払って削除したいのかい？
製品によっては数千円と高額な代金となる。いいお値段ですね。
詐欺、ではないだろう多分。いや、どうなんだろう。
「壷を購入しないと家族に不幸が」と同レベルのような気がするものの、ソフトウェア販売者らが何を考えているのかがわからない。
疑問が湧いたのだが、Cookiesを削除するのはそんなに難しいのか？Cookiesは未知の怪しいものなのか？
よくわからないなぁ。
2006年9月17日、はてな上でアンケートを行った。回答数は986件。「とりあえずポイントゲット（21件）」と「ビスケットの親戚のようなものですか？ （24件）」の二つを有効回答より除く。
グラフにしてわかりやすく表示すると、このようになる。大多数のアンケート回答者は手動でサクッと削除できるのだ。
ブラウザ（Internet Explorer等）の設定画面よりCookieを削除できるとの回答が増えるのは、ある程度予想はできた。だがアンケートの対象者層が質問の目的とあまりにも沿わなかったと、はてな回答者層のパソコン・ネット履歴を質問したアンケート結果より後々になって判明した。
人力検索はてなでの回答者は、ある程度以上の玄人層である。あなたのパソコン歴・ネット歴は何年ですか？（人力検索はてな）なる別のアンケートを行った結果、90%以上の回答者は5年以上の経験が備わっていると回答したのだ。
「全てのネットユーザー」を対象としてアンケートを行うかもしくは初心者層に絞った上で、どのような購買行動を示すのか・それぞれクッキーを手動で削除できるのかを集計すべきであった。
街頭アンケートしかないのかなぁ、どうしたものだろう。
クッキー（Cookie）の諸問題 - トラッキング クッキー ・ 追跡クッキー ・ サードパーティ クッキー
Tracking cookieはスパイウェアではない - スパイウェア対策ソフトメーカーの姿勢への疑問
セキュリティ対策やプライバシー対策を謳うにしても、大変不思議な製品である。必要性があるとは思えない。
CookieだけではなくRecent fileやブラウザの履歴などを含め対処する製品もあるものの、いずれもあっさりと手動で対応できる点で下らない「脅威」である。
わざわざ金銭を支払い誰でも手動で削除できるInternet Explorerなどブラウザのクッキーを、本気で君は無駄に代金を支払って削除したいのかい？
製品によっては数千円と高額な代金となる。いいお値段ですね。
詐欺、ではないだろう多分。いや、どうなんだろう。
「壷を購入しないと家族に不幸が」と同レベルのような気がするものの、ソフトウェア販売者らが何を考えているのかがわからない。
Cookieを手動削除するのは、困難な行為なのか？
疑問が湧いたのだが、Cookiesを削除するのはそんなに難しいのか？Cookiesは未知の怪しいものなのか？
よくわからないなぁ。
2006年9月17日、はてな上でアンケートを行った。回答数は986件。「とりあえずポイントゲット（21件）」と「ビスケットの親戚のようなものですか？ （24件）」の二つを有効回答より除く。
ブラウザの設定画面より削除できます（816件：86.7%）
削除する方法がわかりません（42件：4.5%）
クッキーが何かわかりません（28件：3.0%）
何かのソフトを利用し、危険なものを削除できます（24件：2.6%）
何かのソフトを利用し、削除できます（21件：2.2%）
削除する必要を認めません（10件：1.1%）
クッキー（Cookie）を削除する方法を知っていますか？（人力検索はてな）
グラフにしてわかりやすく表示すると、このようになる。大多数のアンケート回答者は手動でサクッと削除できるのだ。
ブラウザ（Internet Explorer等）の設定画面よりCookieを削除できるとの回答が増えるのは、ある程度予想はできた。だがアンケートの対象者層が質問の目的とあまりにも沿わなかったと、はてな回答者層のパソコン・ネット履歴を質問したアンケート結果より後々になって判明した。
人力検索はてなでの回答者は、ある程度以上の玄人層である。あなたのパソコン歴・ネット歴は何年ですか？（人力検索はてな）なる別のアンケートを行った結果、90%以上の回答者は5年以上の経験が備わっていると回答したのだ。
「全てのネットユーザー」を対象としてアンケートを行うかもしくは初心者層に絞った上で、どのような購買行動を示すのか・それぞれクッキーを手動で削除できるのかを集計すべきであった。
街頭アンケートしかないのかなぁ、どうしたものだろう。
関連記事
クッキー（Cookie）の諸問題 - トラッキング クッキー ・ 追跡クッキー ・ サードパーティ クッキー
Tracking cookieはスパイウェアではない - スパイウェア対策ソフトメーカーの姿勢への疑問
Posted by Luca at 07:39
│
│
2006年10月28日 - マルウェア感染後にリカバリー・新規インストールをし、再利用可能なデータファイルと注意事項
リカバリーなりOSの新規インストールをすれば、ウイルスやスパイウェアに感染していない環境となるだろう。
その後に見逃されがちなのが、感染中のパソコンよりバックアップ・保存したファイルの扱いだ。
ウイルスやマルウェアに感染した後に、ファイルをDVD-Rにバックアップしたとして、どのファイルが果たして再利用可能なものなんだろうか？
ウイルス（極めて狭義のもの）では、既存のファイルが破壊・上書きされる場合もあるだろう。この場合はどのようなファイルが果たして汚染され得るのかは、難しい問題である。
感染後の対応として以前、リカバリー・再インストール直後のWindowsXPを安全に最新の状態に更新する（Semplice）なる記事を掲載はしたものの、何を・どこまでバックアップすべきなのか、安全なファイルは何なのかは、大変難しい問題だ。
「これで安全だ！」との判断基準を提示するのは困難である。
やや古い尺度では、「プログラムファイル」と「データファイル」として区分し、それぞれに見合った対応が紹介されただろう。後者は場合によっては「ウイルスに感染しない」「安全である」と言い切られてしまう。
しかしながら何をデータファイルとすべきなのか、更には通常データファイルとして扱われる形式であっても本当に安全なのかと考え出すと、なかなか難しいのだ。
模範解答的には、exeなどの実行形式ファイルを「汚染」するマルウェア（ウイルス）には最も用心しなければならないだろう。言い尽くされている話だが、出所が怪しいソフトウェア（ファイル交換サービスなどより入手したもの等）のインストーラーなどもだ。
Microsoft Officeのマクロウイルスは最近ではあまり見かけないが、用心しなければならない。
近年では、従来は安全であると言われていた画像や動画ファイルなどであっても、Windows OSの脆弱性を突く攻撃が存在する可能性を考えると、用心する必要があるだろう。
Adobe Reader（旧称：Acrobat Reader）で開くpdfなども注意が必要なのかな？
一太郎の脆弱性を攻撃する事例が多数生じているのだから、一太郎関連ファイルにも警戒しなければならない。
古くはREDLOFなどhtmlファイルを汚染するマルウェアも存在するのだから、htmlファイルも要注意だ。
考え過ぎと言われそうではありますが。
感染中のシステムにて作成した圧縮ファイル（特にパスワードを設定している書庫形式ファイル）は、他のパソコン上にて解凍せずに対策ソフトウェアでスキャンしたとしても、混入した何かを検出されない可能性もあるだろう。
ブラウザハイジャッカーやAdware感染後には、Internet Explorerのお気に入り（ブックマーク）にいかがわしいものが勝手に追加される場合もある。リカバリー後にお気に入りより開いたサイトでまた何かに感染したらば困るのだ。
受信したメール本文のバックアップ・インポートも注意を払わねばならない。未整備なパソコンにインポートした受信済みメールを、脆弱性が残る古いバージョンのメーラー（Outlook Express等）で表示してしまうのは論外だ。だからOSやメーラーを十分最新のバージョンとした上で、過去に受信した古いメールを開かねばならないだろう。
幾つか前置きをしておく。
マスメーリング（大量メール送信）による感染活動を行うようなマルウェアは、ウイルス対策メーカーなどは速やかに対応するだろう。
だがTargeted Attackではどうだろうか？新規なマルウェアや、一部の層やコミュニティのみをターゲッティングしたマルウェアでは、対策ソフトウェアにより検出されないのもよくある話だ。
（一例として、ファイル交換サービスを利用するユーザー間で広まった、ハードディスク丸ごと消去系マルウェア（Whiter・検出名やフォーラム上での名称が多岐なものだが）は、最も最初の報告より数ヶ月間送れてアンチウイルスソフトメーカーが対応した）
感染中のWindows OS上にては、アンチウイルスソフトやスパイウェア対策ソフトウェアが正常に稼動しないのもまた、今時では一般常識となりつつある。
対策ソフトウェアは予防のために利用するものであり、感染後の復旧作業では十分には力量を発揮しない。
多くのマルウェアは、手動でのスキャンやオンラインスキャンにて感染していないとレポートされたとしても、実際にダブルクリックし展開すれば常駐機能により何かが検出されブロックされる事例も多々あるだろう。
これはマルウェア関連ファイルがpackやcryptされている場合に多い事例である。
（検出回避処理はマイナーな話ではない。ワンクリウェアなどは凄まじい頻度でアンチウイルスソフトによる検出を避けるために、チョコチョコと更新されている事例が多い）
最も理想的な手法は、多分このようになるだろう。
1）感染中のパソコンよりファイルを外付けハードディスクやDVDにバックアップ。
2）実行形式ファイル（exe・bat・com・scr）は細心の注意を払い、場合によっては再利用せず削除。
3）バックアップメディアは他のパソコンより、複数のアンチウイルスソフトやスパイウェア対策ソフトによりスキャンする。
4）リカバリー後のパソコンには常駐監視機能が備わっているアンチウイルスソフトを導入、スキャン対象はメーカー推奨ではなく全てのファイルとし、ヒューリスティックスキャンを最高レベルとする。
（一部の製品ではデフォルトの状態でヒューリスティックスキャンの設定が最高レベルではないため、手動によるオンデマンドスキャンでは未知のマルウェアに取りこぼしが生じる可能性が高い）
5）マルウェアの脅威への対策は、定性的観点だけではなく定量的な判断も必要である。万が一・文字通り1万に1回の見落としに備えるならば、クリティカルな事態を避ける目的で必要以上にバッサリとバックアップファイルを削除するのも、事例によってはおかしな話ではない。
6）もちろん、「どうでもいいようなもの」に感染したからと言って、過剰反応するのも利便性を損ねるだろう。何事にもバランスは必要である。
スパイウェア（http://forum.higaitaisaku.com/viewtopic.php?t=1260）（【アダ被】フォーラム）にてまさにこの問題についての応酬があるので、紹介する。
時系列的にまとめると、このようになる。
1）羊氏が、アドウェア系マルウェア感染後にリカバリーしたものの、感染システム中より保存したファイルの安全性について質問。
2）anju氏が、感染中のパソコンより保存したファイルには十分注意しなければならないとのコメントを返信。
3）ママ姐女史が「Adwareに感染したならば他のファイルへは感染しない・Windows Defenderがあれば安心」との主旨のコメントをPost
4）anju氏がママ姐女史に反論。「感染中ならば対策ソフトにより検出できなかったものが無いとは言い切れない」とか、注意を払うべきファイルについての解説など。
5）ママ姐女史は具体的反論をせず、思いやり論を持ち出しanju氏を非難・攻撃。
higaitaisaku.com（旧称：アダルト被害対策の部屋（アダ被））って殺伐としてますね、毎度の事ながら。
ママ姐女史が感情論を持ち出し一方的に議論終結を宣言なされた理由はわかりませんが、これでは「よくも自分に反論したなぁ！おまえ生意気だぞぉ！」と爆発しただけのような印象が。
anju氏は「拡張子によって以下のファイルが存在します」と区分したのはおかしな話ではない。具体的な対応策を十分に言及しなかった点で言葉足らずではあったが。
（ママ姐女史より「質問者の立場を考えていない」と非難されてもなぁ。。。。。）
ママ姐女史の投稿は、技術的論点 - 何が安全で何が安全ではないのか - についての判断材料を全く提示しきれていない。また「Windows Defenderの導入を薦めれば後は何の問題も無い」のだろうか？自分は納得できませんが。
anju氏の指摘通り、感染中のシステムにては対策ソフトウェアが十分には機能しない可能性は高いし、更には他のマシン上にファイルを移動させた後であっても「対策ソフトウェアにより検出されない何かの存在」はリスクマネージメントとして考慮しなければならないポイントだ。
バックアップしたデータファイルは新しい環境へ戻し利用する前に、ANTIDOTE SuperLite 簡易版の利用や複数のウイルス対策ソフトウェアによるオンラインスキャン、もしくは他のパソコンにバックアップしたメディアを接続してのスキャンを実施する必要があるのではなかろうか。
更にはママ姐女史の「感染したのが所詮Adwareなのだから、既存のファイルが汚染される可能性は考えられない」との決め付けは、あまりにも早急であるし論拠が無い。
何故にAdwareに感染したのか、Adware以外の何かが潜んでいた可能性はどうなのか、脅威は極めて限定されていたのかとのリスクアセスメントができていないのだ。
今回のブログエントリでは、自分なりに慎重に言葉を選び、可能な限り穏やかな言い回しとしました。
1と2それぞれのAppendix、3など、色々ありましたね。
その後に見逃されがちなのが、感染中のパソコンよりバックアップ・保存したファイルの扱いだ。
感染後に注意を払うべきファイル
ウイルスやマルウェアに感染した後に、ファイルをDVD-Rにバックアップしたとして、どのファイルが果たして再利用可能なものなんだろうか？
ウイルス（極めて狭義のもの）では、既存のファイルが破壊・上書きされる場合もあるだろう。この場合はどのようなファイルが果たして汚染され得るのかは、難しい問題である。
感染後の対応として以前、リカバリー・再インストール直後のWindowsXPを安全に最新の状態に更新する（Semplice）なる記事を掲載はしたものの、何を・どこまでバックアップすべきなのか、安全なファイルは何なのかは、大変難しい問題だ。
「これで安全だ！」との判断基準を提示するのは困難である。
やや古い尺度では、「プログラムファイル」と「データファイル」として区分し、それぞれに見合った対応が紹介されただろう。後者は場合によっては「ウイルスに感染しない」「安全である」と言い切られてしまう。
しかしながら何をデータファイルとすべきなのか、更には通常データファイルとして扱われる形式であっても本当に安全なのかと考え出すと、なかなか難しいのだ。
模範解答的には、exeなどの実行形式ファイルを「汚染」するマルウェア（ウイルス）には最も用心しなければならないだろう。言い尽くされている話だが、出所が怪しいソフトウェア（ファイル交換サービスなどより入手したもの等）のインストーラーなどもだ。
Microsoft Officeのマクロウイルスは最近ではあまり見かけないが、用心しなければならない。
近年では、従来は安全であると言われていた画像や動画ファイルなどであっても、Windows OSの脆弱性を突く攻撃が存在する可能性を考えると、用心する必要があるだろう。
Adobe Reader（旧称：Acrobat Reader）で開くpdfなども注意が必要なのかな？
一太郎の脆弱性を攻撃する事例が多数生じているのだから、一太郎関連ファイルにも警戒しなければならない。
古くはREDLOFなどhtmlファイルを汚染するマルウェアも存在するのだから、htmlファイルも要注意だ。
考え過ぎと言われそうではありますが。
感染中のシステムにて作成した圧縮ファイル（特にパスワードを設定している書庫形式ファイル）は、他のパソコン上にて解凍せずに対策ソフトウェアでスキャンしたとしても、混入した何かを検出されない可能性もあるだろう。
ブラウザハイジャッカーやAdware感染後には、Internet Explorerのお気に入り（ブックマーク）にいかがわしいものが勝手に追加される場合もある。リカバリー後にお気に入りより開いたサイトでまた何かに感染したらば困るのだ。
受信したメール本文のバックアップ・インポートも注意を払わねばならない。未整備なパソコンにインポートした受信済みメールを、脆弱性が残る古いバージョンのメーラー（Outlook Express等）で表示してしまうのは論外だ。だからOSやメーラーを十分最新のバージョンとした上で、過去に受信した古いメールを開かねばならないだろう。
アンチウイルスソフトによるスキャンは万全なものではない
幾つか前置きをしておく。
マスメーリング（大量メール送信）による感染活動を行うようなマルウェアは、ウイルス対策メーカーなどは速やかに対応するだろう。
だがTargeted Attackではどうだろうか？新規なマルウェアや、一部の層やコミュニティのみをターゲッティングしたマルウェアでは、対策ソフトウェアにより検出されないのもよくある話だ。
（一例として、ファイル交換サービスを利用するユーザー間で広まった、ハードディスク丸ごと消去系マルウェア（Whiter・検出名やフォーラム上での名称が多岐なものだが）は、最も最初の報告より数ヶ月間送れてアンチウイルスソフトメーカーが対応した）
感染中のWindows OS上にては、アンチウイルスソフトやスパイウェア対策ソフトウェアが正常に稼動しないのもまた、今時では一般常識となりつつある。
対策ソフトウェアは予防のために利用するものであり、感染後の復旧作業では十分には力量を発揮しない。
多くのマルウェアは、手動でのスキャンやオンラインスキャンにて感染していないとレポートされたとしても、実際にダブルクリックし展開すれば常駐機能により何かが検出されブロックされる事例も多々あるだろう。
これはマルウェア関連ファイルがpackやcryptされている場合に多い事例である。
（検出回避処理はマイナーな話ではない。ワンクリウェアなどは凄まじい頻度でアンチウイルスソフトによる検出を避けるために、チョコチョコと更新されている事例が多い）
最も理想的な手法は、多分このようになるだろう。
1）感染中のパソコンよりファイルを外付けハードディスクやDVDにバックアップ。
2）実行形式ファイル（exe・bat・com・scr）は細心の注意を払い、場合によっては再利用せず削除。
3）バックアップメディアは他のパソコンより、複数のアンチウイルスソフトやスパイウェア対策ソフトによりスキャンする。
4）リカバリー後のパソコンには常駐監視機能が備わっているアンチウイルスソフトを導入、スキャン対象はメーカー推奨ではなく全てのファイルとし、ヒューリスティックスキャンを最高レベルとする。
（一部の製品ではデフォルトの状態でヒューリスティックスキャンの設定が最高レベルではないため、手動によるオンデマンドスキャンでは未知のマルウェアに取りこぼしが生じる可能性が高い）
5）マルウェアの脅威への対策は、定性的観点だけではなく定量的な判断も必要である。万が一・文字通り1万に1回の見落としに備えるならば、クリティカルな事態を避ける目的で必要以上にバッサリとバックアップファイルを削除するのも、事例によってはおかしな話ではない。
6）もちろん、「どうでもいいようなもの」に感染したからと言って、過剰反応するのも利便性を損ねるだろう。何事にもバランスは必要である。
higaitaisaku.com（旧称：アダルトサイト被害対策の部屋、略称：アダ被）での、ママ姐（mama_ane）女史とanju氏のかみ合わないやりとり
スパイウェア（http://forum.higaitaisaku.com/viewtopic.php?t=1260）（【アダ被】フォーラム）にてまさにこの問題についての応酬があるので、紹介する。
時系列的にまとめると、このようになる。
1）羊氏が、アドウェア系マルウェア感染後にリカバリーしたものの、感染システム中より保存したファイルの安全性について質問。
2）anju氏が、感染中のパソコンより保存したファイルには十分注意しなければならないとのコメントを返信。
3）ママ姐女史が「Adwareに感染したならば他のファイルへは感染しない・Windows Defenderがあれば安心」との主旨のコメントをPost
4）anju氏がママ姐女史に反論。「感染中ならば対策ソフトにより検出できなかったものが無いとは言い切れない」とか、注意を払うべきファイルについての解説など。
5）ママ姐女史は具体的反論をせず、思いやり論を持ち出しanju氏を非難・攻撃。
higaitaisaku.com（旧称：アダルト被害対策の部屋（アダ被））って殺伐としてますね、毎度の事ながら。
ママ姐女史が感情論を持ち出し一方的に議論終結を宣言なされた理由はわかりませんが、これでは「よくも自分に反論したなぁ！おまえ生意気だぞぉ！」と爆発しただけのような印象が。
マルウェア感染後のリスクマネージメント
anju氏は「拡張子によって以下のファイルが存在します」と区分したのはおかしな話ではない。具体的な対応策を十分に言及しなかった点で言葉足らずではあったが。
（ママ姐女史より「質問者の立場を考えていない」と非難されてもなぁ。。。。。）
ママ姐女史の投稿は、技術的論点 - 何が安全で何が安全ではないのか - についての判断材料を全く提示しきれていない。また「Windows Defenderの導入を薦めれば後は何の問題も無い」のだろうか？自分は納得できませんが。
anju氏の指摘通り、感染中のシステムにては対策ソフトウェアが十分には機能しない可能性は高いし、更には他のマシン上にファイルを移動させた後であっても「対策ソフトウェアにより検出されない何かの存在」はリスクマネージメントとして考慮しなければならないポイントだ。
バックアップしたデータファイルは新しい環境へ戻し利用する前に、ANTIDOTE SuperLite 簡易版の利用や複数のウイルス対策ソフトウェアによるオンラインスキャン、もしくは他のパソコンにバックアップしたメディアを接続してのスキャンを実施する必要があるのではなかろうか。
更にはママ姐女史の「感染したのが所詮Adwareなのだから、既存のファイルが汚染される可能性は考えられない」との決め付けは、あまりにも早急であるし論拠が無い。
何故にAdwareに感染したのか、Adware以外の何かが潜んでいた可能性はどうなのか、脅威は極めて限定されていたのかとのリスクアセスメントができていないのだ。
後書き
今回のブログエントリでは、自分なりに慎重に言葉を選び、可能な限り穏やかな言い回しとしました。
1と2それぞれのAppendix、3など、色々ありましたね。
Posted by Luca at 10:21
│
│
2006年10月23日 - 再編集記事のアナウンス
ブログのような媒体では致命的な問題が潜在的に存在する。
一番の問題は、過去のコンテンツを再編集しても大多数の方が見逃し・気付いてもらえない点だ。
危機感を感じたきっかけは、とある以前のブログエントリが某所にて紹介された直後に有用なコメントが幾つか得られた経験からだ。古いブログエントリは、他所よりの紹介・又は検索エンジン経由の訪問者でなければ、多くの場合見逃されがちなものである。
更には直接のフィードバックとして頂いた意見なのだが、数ヶ月前のブログエントリにコメントを記載するのは躊躇する方も多数存在する。
よくわかりますよ、はい。自分も素晴らしいBlog記事を見つけたとしても、1年も前の日付であればコメントの投稿を避けてしまうものです。
解決するための最も手っ取り早い方策は、情報を小出しにし過去のブログエントリへリンクする方法があるが、どうも自分のブログではうまくないような気がする。
また更新・再編集したブログを誰かが紹介するに当っては、日付は更新日を明記しなければ、最初にPostされた日付として扱われる。ブログエントリ上にはっきりと更新履歴を明記すべきなのだろう。
以前ベルモンツさんより指摘されてはいたのだが、時事問題中心ではなく特定テーマを深く掘り下げたコンテンツを運用するに際しては、Blogよりもむしろ固定的・静的でカテゴライズされたWebサイトの方が望ましい。
それはよくわかるのだが、コメントやトラックバックによる意見集約を期待しているため、ブログでの運用をキープし続けたいのだ。
更新履歴の一覧をまとめたブログエントリを作成しようかと考えたものの、どうもアクセシビリティの点で難がある。
どうやって再編集した記事をアナウンスすべきなんですかね。
あ、すっかり忘れてました。
livedoor Blogのプラグインには、上級者向けプラグインにフリーエリアプラグインがあるではないですか。
しかし既に一つ、フリーエリアプラグインは利用している。二つならばどうなんだろう？
物は試しでフリーエリア プラグインを追加。最近の再編集記事一覧とのタイトルを付けた。
「ブログに設定を反映（再構築）」を「サイドバー（プラグイン）」にて実行するも、設定が反映されない。
「全てのページ」でまた再構築。やっと反映されました。
（何故なんだろう？）
一番の問題は、過去のコンテンツを再編集しても大多数の方が見逃し・気付いてもらえない点だ。
危機感を感じたきっかけは、とある以前のブログエントリが某所にて紹介された直後に有用なコメントが幾つか得られた経験からだ。古いブログエントリは、他所よりの紹介・又は検索エンジン経由の訪問者でなければ、多くの場合見逃されがちなものである。
更には直接のフィードバックとして頂いた意見なのだが、数ヶ月前のブログエントリにコメントを記載するのは躊躇する方も多数存在する。
よくわかりますよ、はい。自分も素晴らしいBlog記事を見つけたとしても、1年も前の日付であればコメントの投稿を避けてしまうものです。
解決するための最も手っ取り早い方策は、情報を小出しにし過去のブログエントリへリンクする方法があるが、どうも自分のブログではうまくないような気がする。
また更新・再編集したブログを誰かが紹介するに当っては、日付は更新日を明記しなければ、最初にPostされた日付として扱われる。ブログエントリ上にはっきりと更新履歴を明記すべきなのだろう。
以前ベルモンツさんより指摘されてはいたのだが、時事問題中心ではなく特定テーマを深く掘り下げたコンテンツを運用するに際しては、Blogよりもむしろ固定的・静的でカテゴライズされたWebサイトの方が望ましい。
それはよくわかるのだが、コメントやトラックバックによる意見集約を期待しているため、ブログでの運用をキープし続けたいのだ。
更新履歴の一覧をまとめたブログエントリを作成しようかと考えたものの、どうもアクセシビリティの点で難がある。
どうやって再編集した記事をアナウンスすべきなんですかね。
あ、すっかり忘れてました。
livedoor Blogのプラグインには、上級者向けプラグインにフリーエリアプラグインがあるではないですか。
しかし既に一つ、フリーエリアプラグインは利用している。二つならばどうなんだろう？
物は試しでフリーエリア プラグインを追加。最近の再編集記事一覧とのタイトルを付けた。
「ブログに設定を反映（再構築）」を「サイドバー（プラグイン）」にて実行するも、設定が反映されない。
「全てのページ」でまた再構築。やっと反映されました。
（何故なんだろう？）
Posted by Luca at 00:10
│
│
2006年10月22日 - CAによるスパイウェア拡大解釈は、広義のスパイウェアではなくペストか？
CA（Computer Associates International, Inc. ・コンピュータ・アソシエイツ）はPestPatrol社を買収したが、eTrust PestPatrol アンチスパイウェアをCA アンチスパイウェアとのブランドに改称し販売するようだ（現在ではまだhome2.ca.comドメイン中でいずれも販売されている）。
最近Cookie関連に興味を持っているのだが、スパイウェアの種類と脅威の分類（CA）にてはスパイウェア クッキー（Spyware Cookie）なる項目があるものの、「トラッキング クッキーの説明をご覧ください。」に説明が留まる。
トラッキング クッキーに関する説明はどうかと目を向ければ、一般的な内容に過ぎず「スパイウェアクッキー」との違いを記載していないため、CAはスパイウェアクッキーはトラッキングクッキーと同義であると扱っているのだろう。
CAがトラッキングクッキーをスパイウェアとして扱う点は間違いないようだ。
スパイウェアの種類と脅威の分類（CA）は違和感を感じるドキュメントだ。
スパイウェアとして列記されている中には「健全な非ペスト ファイル（Healthy Non-Pest File）」や「ペスト（Pest）」などの見覚えのある用語と、「パスワードクラック用辞書（Password Cracking Word List）」「電話不正利用文書（Phreaking Text）」など「それはスパイウェアでも何でもないだろう」と考えられるものが含まれる。
CAによる「スパイウェア」とは広義のスパイウェアではなく、PestPatrol社がPestと称したものの看板を付け替え、スパイウェアと呼称しただけなのだろうか？
（ペスト（pest） - 汎用性が高い定義（2005年10月1日）（Semplice））
CA製品によりスパイウェアとして検出される多くの「何か」は、スパイウェアでも何でもないメーカー独自の拡大解釈 - つまり水増し行為 - なのでは？
「ペスト（Pest）として検出しました！」と唱えるならば、あぁそれはメーカー独自の用語と解釈なのねと納得できるものの、現況はあまりにもいい加減だ。
当初自分は、CAによるスパイウェア定義は広義のスパイウェアなのだろう、それならば一部のクッキーをスパイウェアとして扱うのは仕方無いのかなぁ、などと誤解していたのだが。
これでは納得がいかない。
ペスト（Pest）はメーカー独自の用語であり広義・狭義のスパイウェアと同義ではないため単純に比較できないし、ペストには多くの広義のスパイウェアが含まれる。
ペストをCAが言う所のスパイウェアに含めるのは、変なのだ。
（買収後のゴタゴタで未整理なのか？）
付記すると、CAのスパイウェア撲滅キャンペーンには微妙ないかがわしさが伴う。
ブログからFUDへ？ 眞鍋かをりは30個の「スパイウェア」のうちcookieの数を明らかにせよ（高木浩光＠自宅の日記）にて「それってCookieでは？」と�睫攣瓩六愿Δ靴拭�
眞鍋かをり女史の発言はいつの間にか「208ものスパイウェア」とエスカレートし、不思議な状況となっている（CA認定のスパイウェア撲滅隊隊長眞鍋かをりは、何時何で何件検出したのだ？（Semplice））。
本当にCookieなんだろうか？もしもの話なのだが（極論を持ち出し申し訳ない）。
眞鍋かをり女史がCA製品により検出したスパイウェアがCookieではなく、怪しい地下文書やツールならば、どうなんだろうか。
ASC（Anti-Spyware Coalitionｍ）のスパイウェア等の定義
スパイウェア（Spyware）の解説と定義、概論
CA認定のスパイウェア撲滅隊隊長眞鍋かをりは、何時何で何件検出したのだ？
最近Cookie関連に興味を持っているのだが、スパイウェアの種類と脅威の分類（CA）にてはスパイウェア クッキー（Spyware Cookie）なる項目があるものの、「トラッキング クッキーの説明をご覧ください。」に説明が留まる。
トラッキング クッキーに関する説明はどうかと目を向ければ、一般的な内容に過ぎず「スパイウェアクッキー」との違いを記載していないため、CAはスパイウェアクッキーはトラッキングクッキーと同義であると扱っているのだろう。
CAがトラッキングクッキーをスパイウェアとして扱う点は間違いないようだ。
スパイウェアの種類と脅威の分類（CA）は違和感を感じるドキュメントだ。
スパイウェアとして列記されている中には「健全な非ペスト ファイル（Healthy Non-Pest File）」や「ペスト（Pest）」などの見覚えのある用語と、「パスワードクラック用辞書（Password Cracking Word List）」「電話不正利用文書（Phreaking Text）」など「それはスパイウェアでも何でもないだろう」と考えられるものが含まれる。
CAによる「スパイウェア」とは広義のスパイウェアではなく、PestPatrol社がPestと称したものの看板を付け替え、スパイウェアと呼称しただけなのだろうか？
（ペスト（pest） - 汎用性が高い定義（2005年10月1日）（Semplice））
CA製品によりスパイウェアとして検出される多くの「何か」は、スパイウェアでも何でもないメーカー独自の拡大解釈 - つまり水増し行為 - なのでは？
「ペスト（Pest）として検出しました！」と唱えるならば、あぁそれはメーカー独自の用語と解釈なのねと納得できるものの、現況はあまりにもいい加減だ。
当初自分は、CAによるスパイウェア定義は広義のスパイウェアなのだろう、それならば一部のクッキーをスパイウェアとして扱うのは仕方無いのかなぁ、などと誤解していたのだが。
これでは納得がいかない。
ペスト（Pest）はメーカー独自の用語であり広義・狭義のスパイウェアと同義ではないため単純に比較できないし、ペストには多くの広義のスパイウェアが含まれる。
ペストをCAが言う所のスパイウェアに含めるのは、変なのだ。
（買収後のゴタゴタで未整理なのか？）
付記すると、CAのスパイウェア撲滅キャンペーンには微妙ないかがわしさが伴う。
ブログからFUDへ？ 眞鍋かをりは30個の「スパイウェア」のうちcookieの数を明らかにせよ（高木浩光＠自宅の日記）にて「それってCookieでは？」と�睫攣瓩六愿Δ靴拭�
眞鍋かをり女史の発言はいつの間にか「208ものスパイウェア」とエスカレートし、不思議な状況となっている（CA認定のスパイウェア撲滅隊隊長眞鍋かをりは、何時何で何件検出したのだ？（Semplice））。
本当にCookieなんだろうか？もしもの話なのだが（極論を持ち出し申し訳ない）。
眞鍋かをり女史がCA製品により検出したスパイウェアがCookieではなく、怪しい地下文書やツールならば、どうなんだろうか。
関連記事
ASC（Anti-Spyware Coalitionｍ）のスパイウェア等の定義
スパイウェア（Spyware）の解説と定義、概論
CA認定のスパイウェア撲滅隊隊長眞鍋かをりは、何時何で何件検出したのだ？
Posted by Luca at 11:15
│
│
2006年10月17日 - 個人情報をトラッキングする糸と、mixi個人情報流出騒ぎへの感慨
Cookieによる追跡行為はそれほどの脅威ではない、のだろうか
エンドユーザーがある日ふと思いつきクッキーを全て削除してしまえば、ユーザートラッキングの糸は途絶えてしまうだろう。
具体的な個人の特定にまで結びつけられなければ、長期のモニタリングが必要なリサーチは行えない。
子供向けクリスマス商戦のリサーチには、春先に何度も幼稚園入学関連情報サイトを見たとか、夏に公開された子供向け映画に関心を持っていたなどの、やや長いスパンの情報も役立つのだろう。
サードパーティ クッキーを利用して、購買傾向や趣味やブラウジングの結びつきなどのマーケティング上有用な資料作成を「十分に」達成するには、やはり具体的に個人特定した方が容易なのではなかろうか。
整理しなおして考えてみる。
1）マーケティング向けリサーチを行う業者の大部分は、年齢・性別・職業・業種・趣味・大まかな都道府県レベルの居住地、それとネット上の行動があればよい。個人を特定できる情報のうちコアな部分（氏名など）は必要無い・むしろどうでもいいのでは？
（年齢・性別・職業・業種・趣味と都道府県であっても、プライバシーの侵害として拒絶する消費者も居るだろうけど、主観が業者・消費者により異なるのは無視してはならない観点だ）
2）サードパーティ クッキー「のみ」より得られる情報は、サイト運営者よりの情報提供が無ければ単なるブラウジング履歴に留まる低質なものに過ぎず、せいぜいバナー広告の切り替え程度にしか役立たないのではないか？
3）ホームユーザーのパソコンは、誰が使うのかわからない。子供のブラウジング履歴は、クレジットカードを使える親の購買行動やネット上の行動とは一致しない。
（付記すると、長期に渡ってトラッキングが可能なIDを強制的に割り当てる仕組みの一つが、ある種のソフトウェアを導入させる手法、つまりスパイウェアだ）
では「長期に渡ってのトラッキング行為が可能」「購買に結びつくユーザーの嗜好を詳細に知る」などの問題をクリアするには、どうしたらば？
登録者の特定がある程度の確度で可能な場、もしくは年齢・性別・職業・業種・趣味などのマーケティング情報を容易に得られる場 - 例えばソーシャルネットワーキングサービス（SNS）や、Yahoo!やLycosなどのポータルサイトではどうだろうか。
多くの個人情報やマーケティングにつながる情報を保有しているサイトは登録者に対し、主体的に「何か」を行える。一例としてログオン後に表示させる広告、迷惑な「何とかご案内メール」、などなど。
マーケティング業者は大手サイトと連携してしまった方が、ある意味で利口だし、ハズレは無いだろう。
大手サイトよりは「個人を特定できない形での情報」を提供してもらい、自社が大手サイト経由で配布するサードパーティクッキーの裏づけとする。
（断りとして：「個人を特定できない形での情報」が消費者の大手サイト登録IDを含む場合は、「本当に個人が特定できないのか否か」の点は判別つきづらいし、（氏名までの具体的な）個人特定に至らなかったとしても十分消費者の嫌悪感を招く可能性がある。
バナー広告を閲覧する度に入れ替える程度の目的に留まるのであれば、さほど非難するべきではないような気がする、と言ってもね。
消費者の不安は、「単なるバナー広告の選定などに限定されるのか」「説明が無い・ユーザーの許諾の裏をかく何かがあるのでは」「私の名前を含んだデータがどこかでやりとりされるのぉ？」と、際限がない。そして自分も似たような不安感を日頃より感じる。
ユーザーの選択肢
1）充分な説明の有無・十分な説明を行った上でのユーザーよりの許諾の有無
2）裏でやりとりされる情報は、どこまで含まれるのか
3）あるサイトなり業者が本当に信頼できるのか
これらは全く別の問題である。どれかを満たしたらばそれでいいだろうと思いこまれても、困るのだ。
業者側の勘違い（もしくは甘え・言い訳作り）について、更に一点。
「自分らの行動をトラッキングして下さい」との内容で、ユーザー登録時などにオプトイン（opt-in）にて許諾を得るべきではないだろうか。
やってみなさいな。ほぼ全てのエンドユーザーは、拒絶するだろう。
登録者がオプトアウト（opt-out）、つまりは「私の行動をトラッキングしないでください」と余計な手順・手続きをしなければならないのは、「優しさが足りない」。
手続きの存在・または問題そのものの存在を知らないユーザーが生じ、結果として「許諾を得ないトラッキング行為」となる事例が多数生じるのは明らかだ。
不可思議な事例としてmixi。行動ターゲティングサービスとmixi（Semplice）にて掲載した行動ターゲティングサービス導入のアナウンスは、タイミングを誤ったような気がする（後述）。
「トラッキング行為の事実を明らかにしないよりは良いだろう」または「オプトアウトにより拒否できるならば良いだろう」との論点ならば、エンドユーザーよりどこまで賛意を得られるのだろうか。
mixiでの個人情報流出騒ぎにおける不思議
暫く前よりmixi関連が騒がしく、これまでmixi側では全く無頓着だったユーザー自身による個人情報の公開について、注意喚起を行っている。
「mixiに掲載した情報はインターネット上で多くの人に公開されていることになります。その点に十分留意してご利用ください」。ミクシィは11日、同社が運営するソーシャルネットワーキングサービス（SNS）「mixi」を利用する際の注意事項をQ＆A形式でまとめて公開した。
Q＆Aでは、「名前の欄には本名を載せてよいでしょうか？」「どのようなニックネームがよいでしょうか？」「プロフィールを書くときの注意点は何ですか？」などの質問を掲載。本名による登録については、知り合いに発見されやすくなり交流が広がるとしながらも、「全く知らない人にも本名がわかってしまう可能性があります」と注意を促した。
「本名を登録してよいでしょうか？」mixiが注意事項をQ＆A形式で紹介（INTERNET Watch）
mixiを利用した悪質なネットストーカー行為は幾例も報告されているし。
所属機関や団体、卒業した学校のコミュに参加するのはどうなのよとの議論もあった。
何故に今頃、と首をかしげていたのだよ
mixi側が個人情報の掲載について注意喚起した理由は、これなのね。
最近の全裸開脚画像流出事件（ファイル共有ソフトが感染したビールスにより彼女の全裸開脚画像がネットに流出）等もありmixiでの個人情報の扱いが話題になっている。
個人情報の詳細がmixiの情報から暴露された事と、初期においてmixi内で暴露が行われた事によりmixiの安全性に対するイメージが大きく変化しているようだ。
mixiの個人情報が抜かれる（別人28号のいやがらせブログ）
「超mixi足あとちょう」は、ぼくはまちちゃん！関連なんですね。「Cookieをこまめに削除」は自分も日頃より口にはしたものの、ここまで思い知らされる事例は初めてでした。
株式公開後の株価高騰、プライバシーポリシーの突然の改訂とトラッキング行為、個人情報登録についてと、かなり騒がしい状況。
今後の推移をじっくりと眺めたいものだ。
Posted by Luca at 23:09
│
│
2006年10月15日 - CA認定のスパイウェア撲滅隊隊長眞鍋かをりは、何時何で何件検出したのだ？
CA（Computer Associates International, Inc. ・コンピュータ・アソシエイツ）は「スパイウェア撲滅キャンペーン」を2006年11月24日より開始するが、ブログの女王として著名な眞鍋かをり女史をスパイウェア撲滅隊隊長に任命したそうだ。
CA eTrust スパイウェア撲滅キャンペーン実施中！（CA）
眞鍋かをり女史はCA社関連のイベントに幾度か加わり、発言は大きく報道されている。だがどうも話がおかしいのだ。
�睫攅生�氏はウイルスバスター2006はトレンドマイクロの定義で言うところのスパイウェアである（高木浩光＠自宅の日記）中にて、眞鍋かをり女史の記事を一つ紹介している。
続いてブログからFUDへ？ 眞鍋かをりは30個の「スパイウェア」のうちcookieの数を明らかにせよ（高木浩光＠自宅の日記）にて、CA、スパイウェア撲滅キャンペーンに眞鍋かをりらが参加（Internet Watch）の30個のスパイウェアは何なのかと疑問を呈した。
半年を経た今では、どうだろうか。
女史が始めて利用したスパイウェア対策ソフトは何なのか、その際の検出数は本当は幾つなんだろうか？
検出されたものは、何なんだろうか。
初めて利用したのがCA製品で検出数は208としたらば、2005年11月に何十個（製品不明）、2006年3月にCA社のeTrust PestPatrol アンチスパイウェアを利用し約30との発言と、整合性が取れないのだ。
おかしな話ですね。
今後スパイウェア撲滅キャンペーン及びCA アンチスパイウェア関連キャンペーンの発言に注目したい。
CA eTrust スパイウェア撲滅キャンペーン実施中！（CA）
眞鍋かをり女史はCA社関連のイベントに幾度か加わり、発言は大きく報道されている。だがどうも話がおかしいのだ。
�睫攅生�氏はウイルスバスター2006はトレンドマイクロの定義で言うところのスパイウェアである（高木浩光＠自宅の日記）中にて、眞鍋かをり女史の記事を一つ紹介している。
キャンペーンは、ＩＴ管理ソフト会社のコンピュータ・アソシエイツ（東京都新宿区）が主催。
「私のパソコンから何十個もスパイウェアが出てきた。これからは周囲の人にあいさつ替わりに『スパイウェア対策してる？』と話して、意識を高めたい」と抱負を語った。
眞鍋かをり：スパイウェア撲滅隊長に就任（2005年11月24日）（MSN-Mainichi INTERACTIVE 芸能）
続いてブログからFUDへ？ 眞鍋かをりは30個の「スパイウェア」のうちcookieの数を明らかにせよ（高木浩光＠自宅の日記）にて、CA、スパイウェア撲滅キャンペーンに眞鍋かをりらが参加（Internet Watch）の30個のスパイウェアは何なのかと疑問を呈した。
最近までスパイウェア対策をしていなかったという眞鍋かをりは、CAのスパイウェア対策ソフト「eTrust PestPatrol アンチスパイウェア」でPCをスキャンしたところ、約30のスパイウェアが検出されたと告白。
CA、スパイウェア撲滅キャンペーンに眞鍋かをりらが参加（2006年3月9日）（Internet Watch）
半年を経た今では、どうだろうか。
昨年、スパイウエア撲滅キャンペーンとしてその危険性をアピールした眞鍋さんだが「実はセキュリティー対策ソフトをきちんと導入したのは昨年からだった」と告白。「パソコンをスキャンしてみたら208個ものスパイウエアが見つかってビックリした」と、知らぬ間に侵入するスパイウエアの怖さを語った。
ブログ女王のPCに208のスパイウエアが！ 日本CAが総合セキュリティー対策ソフト発表（2006年10月5日）（デジタルARENA）
発表会の場に駆け付けた眞鍋さんは「初めてスパイウェアスキャンをしたとき、208個もスパイウェアが出てきた。（セキュリティ対策の必要性は）痛い目に遭わないと分からない。PCに症状が出ずに情報を盗まれるだけだと、それに気付かないから恐ろしい」と話した。
眞鍋さん、スパイウェア208個にビックリ！――CAが新総合セキュリティ対策ソフトを発表（2006年10月4日）（ITmedia）
眞鍋さんは、以前にも日本CAのイベントに出席しているほか、PC関連のコンテンツ全般に強いタレントというイメージだが、昨年に同社の製品をもらうまでは、とくにセキュリティ対策をしていなかったという。初めて同社のスパイウェア対策ソフトをインストールしたさいには、208ものスパイウェアが検出されて、驚いたそうだ。
眞鍋かをりスパイウェアに驚く――“軽く”て“使いやすい”CAのセキュリティスイート2007 (2/2)（2006年10月4日）（ITmedia）
女史が始めて利用したスパイウェア対策ソフトは何なのか、その際の検出数は本当は幾つなんだろうか？
検出されたものは、何なんだろうか。
初めて利用したのがCA製品で検出数は208としたらば、2005年11月に何十個（製品不明）、2006年3月にCA社のeTrust PestPatrol アンチスパイウェアを利用し約30との発言と、整合性が取れないのだ。
おかしな話ですね。
今後スパイウェア撲滅キャンペーン及びCA アンチスパイウェア関連キャンペーンの発言に注目したい。
Posted by Luca at 19:53
│
│
2006年10月12日 - クッキー（Cookie）の諸問題 - トラッキング クッキー ・ 追跡クッキー ・ サードパーティ クッキー
クッキー（Cookie）とは
クッキーはブラウザ（Internet Explorerやその他）にてサイトを閲覧した際に作成される、テキストファイルである。ビスケットの親戚のような菓子ではない。
クッキーには何かのアカウント名やセッションID、サイト閲覧時刻や回数、そして稀には（望ましくは無いが）パスワードや何故かIPアドレスが保存される。多くの場合は万が一のリスクを避ける目的で、アカウント名とパスワードをセットでそのまま保存するのではなく、ランダムな値によるセッションIDを保存するだろう。
ファーストパーティ クッキー（first-party cookie）とサードパーティ クッキー（third-party cookie）
話を続けるに当って、用語の説明を一つ。
クッキーを大別すると「ファーストパーティのクッキー（First-Party Cookies）」と「サードパーティのクッキー（Third-Party cookies）」に区分される。
あるサイトAを閲覧時にクッキーはファーストパーティクッキーである。
サイトAに表示された、サイトBのバナー経由で作成されるクッキー（一例としてad.example.netよりのもの）はサードパーティクッキーである。
1）www.examplle.com（サイトA）を閲覧、ファーストパーティクッキーがSetされる
2）ad.example.net（サイトB）のバナーが表示
3）ad.example.net（サイトB）よりサードパーティクッキーがSetされる
トラッキング クッキー（Tracking Cookies）・追跡クッキー・サードパーティ クッキーについての前置き
この区分に含められてしまうcookieは、消費者に警戒されるものだ。これらは時には混同され、時には同一のものと考えられてしまう。
だがサードパーティクッキーの全てがトラッキングクッキーであるとは言い切れない。
クッキーによるトラッキング行為・ユーザーの追跡は時にはサードパーティ クッキーにより、時にはファーストパーティ、場合によってはいずれでもある。
一部の何とか対策サイトにてはサードパーティクッキーをトラッキングクッキー（Tracking Cookie）として・もしくはスパイウェア（Spyware）として扱い解説している。
アンチウイルスソフトメーカーのCAはスパイウェア クッキー（Spyware Cookie）なる用語まで記載しているようだ。
サードパーティクッキー（Third-Party cookies）と情報収集行為
広告代理店によるサードパーティのトラッキングクッキーを用いた情報収集（またはプライバシー侵害）について考えてみたい。
君はwww.example.comを閲覧し、表示されたバナー広告経由で広告代理店ad.example.netよりのサードパーティ クッキーを取得したとする。
このサードパーティ クッキーには、ユニークな・一意の・重複しないIDが含まれるとする。
後日他のサイトを閲覧した際に、ad..example.netより以前のIDを含んだクッキーを読み込まれるだろう。
ad.example.netのバナー広告が設置されているサイトを幾つも閲覧すれば、サードパーティクッキーをセットした広告代理店ad.example.net運営者は、多くのサイトより取得した君のWeb上での閲覧や行動（どこのサイトを閲覧したのか等）を知ってしまうだろう、これはプライバシーの侵害では、と。
やさしいセキュリティ(トラッキングCookie)（Firewall & Forest）にてわかりやすい解説があるので、是非とも推薦したい。
一部のサードパーティクッキーは、マーケティング上の情報収集目的にて、過剰に個人のネット上における挙動を収集し・時にはプライバシーを侵害したとして非難される。
サードパーティクッキーによりエンドユーザーのネット上の挙動などをWebマーケティング情報として取り纏め、個人を特定できない形で利用・販売される場合もあるだろう。このような情報収集行為は - 具体的にどこの誰が何をと特定できる情報を含めないとしても - 多くの消費者より嫌悪される。
サードパーティクッキーを配布するマーケティング業者が、具体的な氏名などを取得する手段を備えていなかったとしても、人の不安と拒絶感は簡単に拭い去れるものではない。
サードパーティー・クッキーを置く行為は、電子プライバシー擁護派の激しい攻撃の的となっている。なぜなら、ユーザーのハードウェアに残されるそうしたクッキーをもとに、第三者が各ユーザーのサイト訪問傾向を把握するかもしれないからだ。
ダブルクリック社は今年、ウェブサーファーの訪問記録と訪問者の実際の身元との関連づけを行なうという計画を発表し、激しい非難を浴びて計画を撤回した。
賞賛されるIEのクッキー警告機能(下)（2000年7月21日）（WＩRED NEWS）
サードパーティ クッキーの危険性として以下の点がよく論点とされる。
1）有効期限の長いサードパーティクッキー
有効期限が長いクッキーは、何とか対策ソフトウェアにより削除される可能性があるため、適度な間隔を置き入れ替えた方がベターなのだろうか。
2）サードパーティ クッキーを喰わせるサイトが多ければ、いずれ個人特定に結びつく
「量より質」のような気がしますね。個人特定までを実現するのは「サイトの数」ではなく「個人特定に至る有用な情報があるサイト」が必要なのではないでしょうか。
また「個人の特定」とは、住所氏名まで得られてしまうような事例なのだろうか？それとも「ある匿名IDのユーザーに関する情報の寄せ集めに過ぎない」？
3）どこかのサイトにて個人情報を入力すれば、筒抜けになる
サイト運営者と第三者cookie発行者が顧客に関する情報を（裏または表で）やりとりしているとの前提が必要ですね。確かに「個人情報を含まない情報をマーケティングに利用します」と記載しているサイトもありますが。
4）エンドユーザーは許諾しているのか
サードパーティcookieを発行する業者及びバナーを表示するサイトは、消費者の了解を得ているのか？
バナー等をクリックしたらば - サードパーティがファーストパーティに変わる瞬間
さて、君が閲覧したサイトに表示されるバナーなり - これはサードパーティクッキーをセットするものではあるが、一見すると個人情報の流出などとは無縁のように思われるものの、少し待ってもらいたい。
当り前の話ではあるが、サードパーティクッキーを発行したバナーをクリックし表示されたサイトは、「サードパーティ」ではない場合もあるだろう。リンク先サイトにて個人情報を入力すれば、どうなるのかと。
（考えをまとめるに当って相談に応じていただいた、exさんに感謝。）
「サードパーティクッキーによるユーザーのトラッキングは、個人情報の深刻な侵害までにはつながらない」との見解は、結論を急ぎ過ぎている。
バナー広告を表示するのは、広告代理店のみとは限らない。そして（思い込みと言われるのは承知だが）彼らが本当に信頼できのか否かは簡単には判別できないだろう。怪しい事例としてはBogus wareやインチキソフトと区分される業者が、普通のサイト上に直接宣伝目的の詐欺的なバナー広告を直接表示する事例も散見する。
君が「わざわざ」個人情報を入力した場合は、ネット上での幾つかのサイトにおける挙動の幾つかは、何らかの形で悪用されたりはしないものなんだろうか？
バナーのリンク先が、個人情報を収集しスパム的なメールを送信する目的でメールアドレスや個人情報・興味のある話題カテゴリを収集するような業者であったらば、どうなんだろうか。
#悪用なる用語の扱いは、人により様々であるとは思うものの。
コンバージョン トラッキング クッキー（Conversion Tracking Cookies）
広告代理店によるサードパーティ クッキーが追跡クッキーとして機能する話は、ひとまず置いておく。
閲覧したサイトやポータルサイトや検索サイトと、掲載される広告・スポンサーへのリンクに関わるコンバージョンクッキー（Conversion Cookies）はWebマーケティングにて広く利用されているが、プライバシーを侵害しているのではないかとの議論も存在する。
コンバージョンとは閲覧者の挙動 - サイトの閲覧やクリック、注文などを指す。トランザクションとは商品の購入・支払いの購買行為だ。
君はいずこかの検索ポータルへ広告掲載依頼をし、ゾロゾロと多くの訪問者が現れたとする。どれだけの費用対効果 - クリック数や購買に結びついた成功率 - を知らなければ、広告掲載のために投下した費用が十分には生かされないやもしれない。
一例としてGoogleは、AdWords広告へ登録する企業向けにこのようなコンテンツを掲載している。
コンバージョンの定義
アドワーズ広告コンバージョンが達成されるのは、アドワーズ広告がクリックされ、売り上げの完了や販売促進情報の収集として認識される処理が、ウェブ サイトで実行されたときです。コンバージョンに含まれるのは、デジタル カメラの購入、保険の問い合わせのために連絡先情報を送る訪問者、またはソフトウェアの機能についてのパンフレットをダウンロードした見込みのある顧客などです。
コンバージョンを測定するときに理解しなければならない別の重要な用語は、"トランザクション(取引)" です。アドワーズ広告を通じてお客様のサイトに訪問があり、購入されたことをコンバージョンが表していると同時に、トランザクションは、購入または訪問者に望まれている取引行動そのものを表しています。
コンバージョン トラッキングの設定
一般にコンバージョン トラッキングでは、コンバージョン タイプとして実際の購入または販売、販売促進、申し込み、およびページの閲覧を指定できます。
レッスン 3c: ROI と コンバージョン トラッキングの基本（Google AdWords ラーニング センター）
Yahoo! Japanにて検索すると、スポンサーサイトなる表示が現れる場合がある。
広告リンクを開くと、Yahoo!と業務提携しているOverture.comのcookieが作成されるだろう。
またGoogleの検索結果よりスポンサーリンクを開けば、www.googleadservices.comのクッキーが作成される。
（可視化するためにIE用Cookieエディタにて表示した状態である）
一部の「セキュリティ対策ソフトウェア」は、大手検索エンジンによるコンバージョントラッキングクッキーを削除対象としている。
なおBenjamin Edelman 氏らはCookies Detected by Anti-Spyware Programs: The Current Statusにて、スパイウェア対策ソフトウェアとCookie検出の興味深い記事を掲載している。断っておくが彼らは、これらのコンバージョントラッキングクッキーをスパイウェアとして扱うには賛同しておらず、むしろ反対の立場である。
クッキーに伴う諸問題
いつまでも不変のクッキー
第三者がクッキーを取得した際に、容易に個人情報が流出する可能性が指摘された事例もある。一例として「はてなの Cookie が洩れると個人情報も洩れる（羊堂本舗）」にて紹介されているように、かつてのはてなにてはCookieはいつまでも同じものが利用され、Cookieを取得してしまえばその後はユーザー登録情報設定画面に接続するためにパスワードの入力を求められない。
（注：現在でははてなの古いCookieは、何度もログオンするとそのうちに上書きされる）
高木浩光はブログ中にてこのように記載している。
どうやら、ユーザ登録した直後に生成されたランダムキー（もしくはアカウント名を暗号化したものかもしれない）が、永久に認証用として使われているようだ。
ということは、一度この値を盗まれるともうどうしようもなくなるということだ。パスワードを変更しても乗っ取られる状態は続いてしまう。アカウントを放棄するしかない。
解決方法にはいろいろ考えられるが、標準的な方法は、セッションIDを使うことだ。ログイン時に、新たにランダムな文字列（セッションID）を生成して、cookieにセットし、そのIDからユーザを検索できる管理表をサーバ側で管理する。ブラウザからのアクセスがあると、cookieとしてセッションIDが送られてくるので、それを元にユーザを検索して、ユーザごとの処理を実行する。
はてなの安全性を考える（高木浩光＠茨城県つくば市の日記」跡地）
いつまでも・何度ログオンしても不変であるならば、万が一Cookieを第三者に取得された場合に「なりすましログイン」が可能なチャンスは増大するだろう。
クッキーには有効期限が設定される
セッション クッキー（Session Cookie）はブラウザ（Internet Explorerなど）を終了してしまえば削除されるCookieであり、有効期限が設定されていないと作成される。
有効期限が設定されている場合はいずれ削除されるが、極めて長い有効期限（数年もしくはそれ以上）が設定されるとユーザーをトラッキングする目的と警戒され・時にはスパイウェア対策ソフトウェアにて削除対象とされる。
有効期限はどれだけの長さが適切なのだろうか。
ログイン時に「えぇ？そんなに長期間保持されるのか！」と驚くだけの長期間、例えば5年などパソコンの寿命以上と言われそうな長期間有効である場合もあるだろう。
登録ユーザーにとってはパスワードの入力を利便性のために避けたいと期待する方も居るでしょう。
ユーザー自身が望んだ場合、「次回ログオン時にパスワードの入力を省略する」などのボックスにチェックを入れた場合はどうなんだろうか。
どれだけの期間かは別として、クッキーの有効期間を長くするようエンドユーザーが望んだ場合は、これを不正なもの・不適切なものと考えるべきなのか？
（エンドユーザーが5年10年を望むか、またこれらに付随する問題を理解したのかが気になりますが）
有効期限が長い・長すぎるのはどうなのか。様々な見解をあちらこちらより得たのだが、一部を紹介する。
まぁあまり「好ましいCookieの使い方」だとは私は思いません。
この辺難しいですね。正直普通の人がこの辺のリスクを認知しているとは思えませんし。
（ex氏よりのアドバイスより直接引用）
「エンドユーザーが長期間Cookiesの保持を認めたから別に問題は無いのでは」との自分の見解は、何か大きなものを見逃しておりました。
有効期限を具体的にユーザーに選択させ、なおかつ長期間有効とするリスク - 一例としてクッキー盗難や第三者がパソコンを取得しなりすましログインする可能性 - をはっきりと説明するべきなのだろう。
Yahoo! Japanではログオンする登録ユーザーが気付きやすい位置へ、毎回ログインするのは面倒 / 「次回からIDの入力を省略」とは？（Yahoo! Japan）へのヘルプを掲載し、注意を促している。
また他の例のサイトにおける事例として、Lucaさんが巡回しているとあるサイトにては、クッキーによるログイン保持期間は1時間・1日・1週間・1ヶ月・期限限定無しの5つより選択できる。
有効期限の長さ・生じ得るリスクをどのように説明するかについては、後日じっくりと考えた上で。
Webメールとセッション管理
3年ほど前までは、フリーメールとして膨大な数のユーザーが利用するとある著名なWebメールは、Cookieを利用しておらず。
ログオンした登録ユーザーにはそれぞれ毎回ユニークなセッションIDを含めたURL（URI）を発行するのだが、これが問題であった。
攻撃手法としては極めて単純な手法であり、まずはアクセス解析を設置したサイトを準備し、相手にそのリンクを含めたhtmlメールを送付する。メール受信者がリンクを踏むと、リファによりアクセス元URIが取得できる。
取得したセッションID入りURLをブラウザのアドレス欄に入力し接続。
あら、不思議。他人のフリーメールに。。。。。
現在ではCookieによるセッション管理が利用され、このような攻撃手法が実行可能なフリーメールサービスはよもや存在しないだろう（まだあったらば運営者にセッセと通報してもらいたい）。
Cookiesとドメイン属性・パス属性
基本的には・普通は、クッキーを発行したサイト運営者以外の第三者はCookieに記載された情報を利用できないが、稀には運営上の問題なのか同一ルートドメインにて運用されている他のサブドメインサイト（www.example.comとwww2.example.comなど）でも相互に閲覧利用できた事例があった（メモを無くしてしまったため、具体的事例を紹介できない、申し訳無い）。
君がどこかのサービスと契約し、Webサイトやブログを所有したとする。
URL（URI）を大別すると3つに分かれるだろう。
1）独自ドメイン形式
http://独自のドメイン/
2）サブドメイン形式
http://username.example.com/
3）ディレクトリ形式
http://example.com/username/
Domain属性とPath属性を特に指定しなければ、君が見たサイトのそのディレクトリにCookieは設定されるだろう。
だがCookieのDomain属性は「username.example.com」のみで読み取れるようSetせずに、「*.example.com」つまりexample.comに属するいずれのサブドメインでも利用できるようにしてしまうと、多少問題がある。
例えば「betujin.example.com」など別のサブドメインに属するサイトより、意図せずCookieを取得されてしまう危険性がある。
更にはPath属性は不適切な・変な設定であると、ディレクトリ形式のURI（URL）にて第三者が運用するサイトにCookieを取得される可能性が存在する。
不適切な設定により第三者がクッキーを取得してしまう問題については、Cookie(クッキー)の届く範囲（あいまいモード・コム）なる大変素晴らしいサイトがあるので、この場にて推薦したい。
一点だけ付記しておく。
独自ドメインを取得し自分のサイトに設定したとしても、契約した業者によりデフォルトで設定されたURL（URI）が存在する場合もあるだろう。
一例として君が独自ドメインを取得しサイトを運営し、URL（URI）はhttp://独自ドメイン.com/で通常運用していたとしても、example.comを運用する業者によりhttp://username.example.com/なるURL（URI）も利用可能な場合がある。
リスクが高いクッキー・そうではないクッキー間の尺度の違いと対策
判断しづらい部分でありますが、exさんより以下のような見解を紹介していただきました。
「安全なCookie」とは以下ではないかと考えます。
・Cookieの提供元がはっきりしている（かつそれが十分に信頼できる提供元である）
・Cookieの目的がはっきりしている
・Cookieの有効期限が適切に設定されている
裏返せば、安全ではないCookieとは
・Cookieの提供元がはっきりしていない
・Cookieの目的がはっきりしていない
・Cookieの有効期限が適切に設定されていない
ただし、これは多くのTracking Cookie、サードパーティのCookieに（当たり前ではありますが）該当してしまいます。それらはサイトの利用者が「意図せずに」食わされていますから。
（exさんよりのアドバイスより引用）
提供元が安全・かつ信頼できる業者なのか否か・cookieを利用し取得する情報の範囲及び利用の様態 - これはエンドユーザーには判別できないのではなかろうか。
さて、何とか対策セキュリティソフトみたいなものを導入してみれば、これでもう終わりなのか？
特定のドメイン、つまりはある広告代理店よりのクッキーを対策ソフトウェアにて検出対象とするのは、どうなんだろうか。
変な業者が新たにボコボコと沸いたらば、特定ドメインのクッキーをブロックするような対策は意味を為さないような。
サードパーティクッキーはInternet Explorerの設定より、容易にブロックできるだろう。
まずインターネットオプションを開き、「プライバシータブ」より「詳細設定」を選択する。
「自動 Cookie 処理を上書きする（O）」のボックスにチェックを入れて、「サードパーティ の Cookie」欄にて「ブロックする（L）」を選択すればよい。
ちなみに、インターネットゾーンのプライバシー設定は、「中-高」が手頃なのではなかろうか。これはP3Pプライバシーポリシーに従いCookieを制御するものであるが、「すべてのCookieをブロック」や「高」ではログオンが必要なほとんどのサービスは利用できなくなる。
自分はlivedoor Blogへログオンする際には「中-高」を、ログオフ後にはブロックを選択している。
もちろん、ログオン中のサービス（一例としてmixiやWebメール）より外部リンクを開くのは望ましくないとの議論もある点には配慮を払っている。
Conclusion
クッキーによるプライバシー侵害の例としてトラッキング クッキー・追跡クッキー（tracking cookie）の問題がよく取り沙汰される。
またサードパーティ クッキーがトラッキングクッキーや追跡クッキーと同意のものと扱われる事例も散見する。
ファーストパーティ クッキーであってもユーザーの挙動を追跡する事例（例えば検索サイトや大手ポータルによるコンバージョン トラッキング クッキー）もあるだろう。トラッキング行為はサードパーティ クッキーには留まらない。
サードパーティ Cookieをブロックすれば、またファーストパーティ Cookieであっても削除してしまえばOKとの議論もまた乱暴だ。
自分にはクッキーが「どこまで安全」または「どこまで安心できるのか」との定量的判断をこの場にては示せない。
「消費者はどこまで許容すべきなのか」についても千差万別であるため、正直な話として結論付けられない。
関連記事
Cookiesを削除するだけの目的でソフトウェアを購入するべきではない
Tracking cookieはスパイウェアではない - スパイウェア対策ソフトメーカーの姿勢への疑問
Acknowledge
このブログエントリを掲載するに当り、exさんより様々なアドバイスをいただけたまして、自身の視野が大変広まりました。また毎度ながら冗長で我ながら混沌とした文章を、校閲し整理して下さったSakaiさんに、深く感謝いたします。
更新履歴
2006年10月13日 序文がわかりづらいとの指摘を受け、一部修正。
Posted by Luca at 22:05
│
│
2006年10月02日 - 行動ターゲティングサービスとmixi
サイト運営主がサードパーティ クッキー（Third-Party cookies）について言及しているサイトは、何故かそれほど多くは無い。
サードパーティクッキーはトラッキングクッキーと同じなのか・個人情報流出に繋がるスパイ行為か・追跡行為なのか。そのような話題は後日後述する。
exさんよりmixiについての事例としてみくしのプライバシーポリシー改正（ピンクブロッサムダイアリー）なる記事を紹介され、mixiのプライバシーポリシー（平成18年 9月28日 改訂）を眺めてみました。
（注：現在ではmixi上のアナウンスが、何故か閲覧できない）
正直な感覚として、13章は甘受したくないですね、これ。
取得した情報をmixi内部のみで扱うのか否かがどうもよくわからない。
「個人が識別できるような情報」が含まれるのか否かは別として、各種の情報が - mixi利用者の挙動なり嗜好性として、いずこかに販売・または提供されるのか否かが気になるんですね。
言及が無いのは、プライバシーポリシーとしては十分な理解は得られないような（考えすぎでしょうか）。
また14章、「行動ターゲッティング用クッキー」についてが、どうも。
Cookiesによるトラッキング行為が許容できないと感じるエンドユーザーに、株式会社アイメディアドライブのオプトアウト（Cookie無効化操作ができるサイト）のリンクを掲載しこれで終わり、は多くのmixi利用者（ミクッ子）不安感を煽ったのではなかろうか。
最初からサードパーティのトラッキング クッキーを導入しない方が、またアナウンスした直後にプライバシーポリシー関連改訂のお知らせを削除しない方が、エンドユーザーよりの風評を損ねなかったのではなかろうか。
mixiのプロフィールには、以下の項目がある。
1）名前, 2）ニックネーム, 3）現住所（日本国内なら市町村単位）, 4）誕生日, 5）血液型, 6）出身地（日本国内なら市町村単位）, 7）趣味（映画鑑賞・スポーツ・スポーツ観戦・音楽鑑賞・以下略）, 8）職業, 9）所属（会社名や学校名）
また「好きな何とか」として映画、音楽、飲食物などなど。
一部は非公開に設定できるものの、当然mixi運営者には登録情報及びそれ以上の情報が筒抜けである。
大体13章のタイトルは「クッキーの使用等」である。
「等」って何でしょうか。
文中にて記載されている「ユーザーに関する情報」とはcookieより取得した情報のみを指すのではなく、mixiにユーザーが登録した情報を利用するものと解釈できる。
（性別、職業、年齢はcookieのみでは取得できない）
株式会社アイメディアドライブによるサードパーティクッキーについて記載した14章とは別の話なのだ。
個人が識別できるような情報が分析結果に含まれることはありませんと記載されているのでそれほどの問題は無いのやもしれないが、13章中には「分析結果」なるものがmixi内部のみの利用に留まるのか否かが判然としない。
これらの情報は単独であっても・またユーザーの挙動（どのようなリンクを踏むのか等）と組み合わせても、大変有用なマーケティング資料である。転売すれば（mixi上にて利用しようがしまいが）相応の利益が転がり込むだろう。
プライバシーポリシーを後になってから改訂するのでは、登録ユーザーの許諾を十分には得られないだろう。
「どこどこの誰さん」と特定されなかったとしても、プライバシーの侵害と受け止めるユーザーが存在するのは事実だ。しきい値は人それぞれである。
拒絶感を示す層が存在するのは明らかな事実だと認めてもらいたい。
自分はmixiには有償で・料金を支払い参加している。だからこの手の議論に付き物の「無償サービスならば広告なり情報収集行為を受け入れるのは当然」との論点とはある意味で無縁である。
このブログエントリに限らず幾つかのテーマにて、exさんより多くのアドバイスをいただきました。この場にて深く感謝いたします。
サードパーティクッキーはトラッキングクッキーと同じなのか・個人情報流出に繋がるスパイ行為か・追跡行為なのか。そのような話題は後日後述する。
mixiによるトラッキング行為
exさんよりmixiについての事例としてみくしのプライバシーポリシー改正（ピンクブロッサムダイアリー）なる記事を紹介され、mixiのプライバシーポリシー（平成18年 9月28日 改訂）を眺めてみました。
（注：現在ではmixi上のアナウンスが、何故か閲覧できない）
13. クッキーの使用等について
2 弊社は、新しいサービスを検討したり、提供しているサービスや広告の内容をよりユーザーの皆様に適したものとするために、性別、職業、年齢、ご覧になったページ・広告、ご利用時間帯、ご利用の方法、ご利用環境等のユーザーに関する情報を利用する場合があります。
3 弊社は、広告主や情報提供元、サービス提供元などに、どのような広告や情報、サービスなどを掲載または提供していただくことが効果的であるかを分析して提供するために、ユーザーに関する情報を分析したり、分析のためのアンケートの対象の抽出を行う場合があります。なお、個人が識別できるような情報が分析結果に含まれることはありません。
14. 行動ターゲティング用のクッキー無効化（オプトアウト）についての説明
弊社のサイトにおいては、効果的な広告配信のために株式会社アイメディアドライブが米国レベニュー・サイエンス社（以下RSI）の技術を用いた行動ターゲティングサービスを行っています。当サービスで利用するクッキー（RSIの作成するドメイン名：revsci.netのクッキー）は効果的な広告配信の目的のみに使用し、その他の目的や個人情報の収集には一切使用しません。このクッキーを無効にしたい場合は、お手数ですが、行動ターゲティングクッキーステータス確認ページにて手順に従い、無効化してください。
（mixiのプライバシーポリシーより引用）
正直な感覚として、13章は甘受したくないですね、これ。
取得した情報をmixi内部のみで扱うのか否かがどうもよくわからない。
「個人が識別できるような情報」が含まれるのか否かは別として、各種の情報が - mixi利用者の挙動なり嗜好性として、いずこかに販売・または提供されるのか否かが気になるんですね。
言及が無いのは、プライバシーポリシーとしては十分な理解は得られないような（考えすぎでしょうか）。
また14章、「行動ターゲッティング用クッキー」についてが、どうも。
Cookiesによるトラッキング行為が許容できないと感じるエンドユーザーに、株式会社アイメディアドライブのオプトアウト（Cookie無効化操作ができるサイト）のリンクを掲載しこれで終わり、は多くのmixi利用者（ミクッ子）不安感を煽ったのではなかろうか。
最初からサードパーティのトラッキング クッキーを導入しない方が、またアナウンスした直後にプライバシーポリシー関連改訂のお知らせを削除しない方が、エンドユーザーよりの風評を損ねなかったのではなかろうか。
「mixiって匿名では？」と質問が来たので、追記。
mixiのプロフィールには、以下の項目がある。
1）名前, 2）ニックネーム, 3）現住所（日本国内なら市町村単位）, 4）誕生日, 5）血液型, 6）出身地（日本国内なら市町村単位）, 7）趣味（映画鑑賞・スポーツ・スポーツ観戦・音楽鑑賞・以下略）, 8）職業, 9）所属（会社名や学校名）
また「好きな何とか」として映画、音楽、飲食物などなど。
一部は非公開に設定できるものの、当然mixi運営者には登録情報及びそれ以上の情報が筒抜けである。
大体13章のタイトルは「クッキーの使用等」である。
「等」って何でしょうか。
文中にて記載されている「ユーザーに関する情報」とはcookieより取得した情報のみを指すのではなく、mixiにユーザーが登録した情報を利用するものと解釈できる。
（性別、職業、年齢はcookieのみでは取得できない）
株式会社アイメディアドライブによるサードパーティクッキーについて記載した14章とは別の話なのだ。
個人が識別できるような情報が分析結果に含まれることはありませんと記載されているのでそれほどの問題は無いのやもしれないが、13章中には「分析結果」なるものがmixi内部のみの利用に留まるのか否かが判然としない。
これらの情報は単独であっても・またユーザーの挙動（どのようなリンクを踏むのか等）と組み合わせても、大変有用なマーケティング資料である。転売すれば（mixi上にて利用しようがしまいが）相応の利益が転がり込むだろう。
プライバシーポリシーを後になってから改訂するのでは、登録ユーザーの許諾を十分には得られないだろう。
「どこどこの誰さん」と特定されなかったとしても、プライバシーの侵害と受け止めるユーザーが存在するのは事実だ。しきい値は人それぞれである。
拒絶感を示す層が存在するのは明らかな事実だと認めてもらいたい。
断りとして
自分はmixiには有償で・料金を支払い参加している。だからこの手の議論に付き物の「無償サービスならば広告なり情報収集行為を受け入れるのは当然」との論点とはある意味で無縁である。
Acknowledge
このブログエントリに限らず幾つかのテーマにて、exさんより多くのアドバイスをいただきました。この場にて深く感謝いたします。
Posted by Luca at 21:35
│
│
