インドネシアでアプリのプライバシー侵害論争を巻き起こしている問題の報告書とは?

ユーザの携帯電話から個人情報を得ているとし、インドネシアでもっとも人気を博しているショッピングアプリの一部が非難を受けている。

ソフトウェアメーカー Opera による同報告書は、いかに容赦なくトラッカーを適用しているかという視点から、アプリのランク付けを行っている。トラッカーとは、ユーザの携帯電話から位置情報、電話番号、パスワード、ユーザの習慣（クリック先など）といった個人情報を収集するツールである。

対象となったインドネシアの e コマーススタートアップは、Bukalapak、OLX、Elevenia、Kaskus Jual Beli、Blibli、Lazada、MatahariMall、Tokopedia、Zalora などだ。

Android アプリを対象に実施された同テストの結果によると、ユーザのスマートフォンに対して送信されたトラッカーリクエスト数においては、Bukalapak と OLX が最悪だった。

Tech in Asia は初め、議論をよんでいるこの調査結果をインドネシア語で記載し、それがプライバシーに関する論争に火をつけるきっかけとなった。

報告書には、他の Android アプリが携帯電話に対して実際に何をしているのかを監視するアプリ、Opera Max を率いる Sergey Lossev 氏による発言も記載されている。

セキュリティ対策が施されていない Wi-Fi ネットワークを介して銀行口座情報などのデータを共有することは、ハッキングやサイバー犯罪といったリスクの増大につながることがあります。例えば携帯電話経由でオンラインショッピングをする時など、ユーザの多くが知らぬ間に情報提供を行っているのです。

Bukalapak と OLX は、ユーザをプライバシー侵害やハッキングのリスクにさらしたとする非難は不当だとしている。

Tech in Asia に対する声明で OLX は次のように述べている。

OLX は販売者と購入者間の処理を実行するわけではありませんから、顧客からデータを収集したりはしません。これは、弊社のアプリケーションがユーザの個人情報を収集しているとする報告に矛盾します。OLX は顧客データのセキュリティとプライバシーを可能な限り守ることに力を注いでいます。

しかしそれでは、アプリがどんな情報を携帯電話から読み取っているかという問題は解決されない。

Bukalapak も同様に、

弊社はユーザからのデータを HTTPS プロトコルで守っています。― これにより、情報は暗号化され、他者がそれを読み取ることはできなくなります。私たちが集めるデータには、銀行口座情報など機密性の高い内容は含まれません。

と語っている。

両社とも、アプリケーション内でトラッカーが使われるのは、インドネシアでもそれ以外の地域でも一般的であるとしている。

Elevenia の CMO、Madeleine Ong de Guzman 氏も他のスタートアップに同意している。

すべての e コマースプラットフォームが顧客を保護し信用を得るために最大限努力しています。

同氏は、同報告書の作成方法を明らかにするよう Opera に求めている。

報告書によると、Wi-Fi ネットワーク経由で実施されたショッピングアプリに対するテストでは、さまざまな商品の閲覧中に100件以上の購入リクエストが送信された。続いてウェブブラウザは、アプリが送り返してきた個人情報に対するトラッキングのリクエスト回数を記録した。

広報担当者が Tech in Asia に対して説明したところによると、Opera Max は高・中・低のリスクグループでサイトのトラッカーのランク付けを行うという。

Opera のアジア地域 PR 責任者の Peko Wan 氏はこのように語った。

このメカニズムは、バグやトラッキングスクリプトの発見に役立つオープンソースフィルター、EasyPrivacy に基づいています。こちらは、広告をブロックするサービスにも使用されています。

同氏は、同モニタリングアプリはユーザにトラッカーの存在を知らせるだけであり、収集される情報の種類や収集後どうなるかを知らせるわけではないと指摘している。

本報告書が発表された目的は、インターネット上のセキュリティ問題に対する認識を高めることであり、e コマースプラットフォームがトラッカーで収集したデータをどのように使用するかを調査するためではありません。（Wan 氏）

Opera はのちに、トラッカーの利用がもっとも多かった12ストアをピックアップし物議をよんでいた画像を報告書から削除している。また「誤解を避けるため、テストを実施した60のアプリ名をプレスリリースから削除しました」というコメントを追加している。

Opera の報告書では、10ヶ国に広がる60社のデータマイニング状況が分析されている。

本記事は、Aditya Hadi Pratama 氏による追加報告を含む。

BRIDGEでは会員制度の「Members」を運営しています。登録いただくと会員限定の記事が毎月3本まで読めるほか、Discordの招待リンクをお送りしています。登録は無料で、有料会員の方は会員限定記事が全て読めるようになります（初回登録時1週間無料）。