プライバシーを侵害するソフトウェア

プライバシー侵害ソフトウェアは、ユーザーのプライバシーを侵害し、事前の通知や同意なしにユーザーとそのデバイスに関する情報を収集するソフトウェアの一種です。このようなソフトウェアは「スパイウェア」と呼ばれることもありますが、情報収集は悪意のあるものでも無害なものでもかまいません。^[1]収集されたデータは、広告主やその他の第三者に販売されるなど、商業的に利用されることがよくあります。[ ^2]

2000年初頭、スティーブ・ギブソンは、自分の個人情報を盗むソフトウェアが自分のコンピュータにインストールされていることに気づき、スパイウェアについての最初の説明を作成しました。 ^[3]

スパイウェアとは、ユーザーの知らないうちに、または同意なしに、バックグラウンドまたは「バックチャネル」でユーザーのインターネット接続を利用するソフトウェアです。^{[引用が必要]}

スパイウェアの定義についてはさまざまな解釈があるが、すべての説明には、関連するユーザーの同意の度合いと、ユーザーとそのコンピューター システムに与える悪影響のレベルという 2 つの中心的な側面が含まれている (Boldt 2007a) のセクション 2.3 とセクション 2.5 でさらに説明されている)。スパイウェアの概念に対する理解が曖昧であるため、公益団体、業界団体、スパイウェア対策企業で構成される Anti-Spyware Coalition (ASC) は、スパイウェアという用語は 2 つの異なる抽象化レベルで使用する必要があるという結論に達した。^[4]低レベルでは、Steve Gibson の元の定義に似た次の定義を使用している。

狭義では、スパイウェアとは、ユーザーへの適切な通知、同意、または制御なしに導入される追跡ソフトウェアを指す用語です。

ただし、この定義は利用可能なスパイウェアのさまざまなタイプをすべて網羅しているわけではないため、より抽象的な、より広い定義も提供されています。

より広い意味では、スパイウェアは、ASC が「スパイウェア (およびその他の潜在的に迷惑なテクノロジ)」と呼ぶものの同義語として使用されます。適切なユーザーの同意なしに展開されたテクノロジ、および/または次の事項に対するユーザーの制御を損なう方法で実装されたテクノロジ:

1) ユーザー エクスペリエンス、プライバシー、またはシステム セキュリティに影響を与える重要な変更、
2) コンピュータにインストールされているプログラムを含むシステム リソースの使用、および/または
3) 個人情報またはその他の機密情報の収集、使用、および配布。

スパイウェアの定義が困難だったため、ASC は代わりにスパイウェア (およびその他の潜在的に迷惑なテクノロジー) と彼らが呼ぶものを定義せざるを得ませんでした。これには、ユーザーの明示的な同意を得ずにコンピュータで実行されるソフトウェアが含まれます。スパイウェアの定義を試みた別のグループにStopBadwareがあり、ハーバード大学ロースクール、オックスフォード大学、Google、Lenovo、Sun Microsystemsなどの関係者で構成されています。^[5] StopBadware はスパイウェアという用語をまったく使用せず、代わりにバッドウェアという用語を導入しました。彼らの定義は次のとおりです。^[6]

アプリケーションが悪質なソフトウェアであるのは、次の 2 つの場合のいずれかです。1

. アプリケーションが欺瞞的または不可逆的に動作
する場合。2. アプリケーションが、次のことを行わずに、潜在的に不快な動作を行う場合
。- 最初に、そのような動作を行うことを明確で非技術的な言語でユーザーに明示的に開示し、
- 次に、アプリケーションのその側面に対するユーザーの積極的な同意を得る。

—  「Stop Badware Software Guidelines」。2006 年 4 月 7 日。2006 年 4 月 7 日時点のオリジナルよりアーカイブ。

「スパイウェア」という用語の定義に関するユーザーと組織間の意見の不一致は、この用語の主観性から生じています。一部のユーザーが正当なソフトウェアとみなすものが、他のユーザーにとってはスパイウェアとみなされる可能性があります。「スパイウェア」という用語が普及するにつれて、スパイウェアという用語と区別するために、トラックウェア、エビルウェア、バッドウェアなどの同義語が作成されました。その結果、このようなソフトウェアすべてを包括する「プライバシー侵害ソフトウェア」という用語が導入されました。

Warkentiens らの研究 (Boldt 2007a のセクション 7.3.1 で説明) は、プライバシーを侵害するソフトウェアの分類を作成する際の出発点として使用できます。プライバシーを侵害するソフトウェアは、ユーザーの同意と直接的な悪影響の組み合わせとして分類されます。ユーザーの同意は、低、中、高のいずれかで指定され、直接的な悪影響の程度は、許容できる、中、重大です。この分類により、開発者とユーザーは、まず正当なソフトウェアとスパイウェアを区別し、次にスパイウェアと悪意のあるソフトウェアを区別できます。ユーザーの同意が低いソフトウェア、または重大な直接的な悪影響をもたらすソフトウェアはすべて、マルウェアと見なす必要があります。一方、ユーザーの同意が高く、許容できる直接的な悪影響をもたらすソフトウェアは、正当なソフトウェアと見なす必要があります。この分類システムでは、スパイウェアは残りのソフトウェア グループ、つまりユーザーの同意が中程度であるか、直接的な悪影響が中程度であるソフトウェアを構成します。この分類については、(Boldt 2007a)の第7章でさらに詳しく説明されています。

この分類システムは、直接的な悪影響と間接的な悪影響の区別によってさらに細分化されます。これは、プログラムが実行するように設計された悪影響（直接的な悪影響）と、そのソフトウェアがシステム上で実行されるだけでもたらされるセキュリティ上の脅威（間接的な悪影響）を区別します。間接的な悪影響の一例としては、ユーザーの知らないうちにユーザーのシステム上で実行されるプログラムのソフトウェア脆弱性が悪用されるリスクが挙げられます。^[7]

パソコンやブロードバンド接続が一般的になるにつれ、電子商取引におけるインターネットの利用が増加した。^[8]初期の小売業者には、1994年に設立された書籍販売業者のAmazon.comやCD小売業者のCDNOW.comなどがある。 ^[9]顧客獲得競争が激化するにつれ、一部の電子商取引企業は、顧客を誘惑して取引を完了させるために疑わしい手段に訴えるようになった。^[10]

より効果的な広告戦略を模索する中で、企業はすぐにユーザーの興味をターゲットにした広告の可能性を発見しました。ターゲット広告がオンラインで表示されるようになると、広告主は、ユーザーの閲覧習慣を通じて個人の興味を収集する、スパイウェアとして知られるようになったソフトウェアの開発を開始しました。スパイウェアは、システムのパフォーマンスとセキュリティを低下させました。スパイウェアによって収集された情報は、ユーザーに購入を勧めることができるものを詳細に記述したユーザー プロファイルの作成に使用されました。オンライン広告の導入により、ソフトウェアにユーザーに広告を表示させることで、ソフトウェア開発に資金を提供する新しい方法が開かれました。ソフトウェア開発者は、広告代理店から報酬を受け取るため、ソフトウェアを「無料で」提供できました。ただし、「無料」と「無料ギフト」には違いがあり、無料ギフトは将来の報酬を期待せずに提供されるのに対し、無料で提供されるものは見返りを期待するという点で違いが生じます。「無料」と説明されているソフトウェアをダウンロードする場合、ユーザーは、表示される広告が自分の興味をターゲットにできるように、インターネットの使用状況を報告されると疑う理由はありませんでした。

問題は、このような監視の発生や範囲についてユーザーに通知されず、参加するかどうかを決定する機会も与えられなかったために発生しました。広告がターゲット型になるにつれて、アドウェアとスパイウェアの境界がなくなり、ユーザーを監視しながらターゲット広告を配信するようになりました。

より早く金銭的利益を得ようとする競争が激化するにつれ、競合する広告主の中には、競合他社に先んじるためにより悪質な手段に頼る者も現れた。その結果、サブスクリプション サービスからの広告、ポップアップ広告、プログラム自体に表示されるダウンロード広告など、人々が見たいと思う従来の広告との間にグレーゾーンが生まれた。^[11] この慣行により、オンライン広告はスパムやその他の侵入的でプライバシーを侵害する広告のダークサイドに近づいた。^[12]この発展の過程で、ユーザーは、誤ってコンピューターをクラッシュさせたり、アプリケーションの設定を変更したり、個人情報を収集したり、コンピューターの使用感を悪化させたりといった迷惑ソフトウェアによる感染を経験した。^[13]時間が経つにつれて、これらの問題に対して、スパイウェア対策ツールという形で対策が導入されるようになった。

スパイウェア対策は、熾烈な競争を伴うオンライン販売の新しい分野になっています。これらのツールは、スパイウェア、アドウェア、および同じグレーゾーンにあるその他の怪しいソフトウェアをコンピューターから除去するとされています。この種のソフトウェアは、一部のユーザーによって「スパイウェア」と分類される正当なソフトウェアもあるため、誤検知につながる可能性があります (例: Spybot: Search & Destroy は、Scan Spyware プログラムをスパイボットとして識別します)。これらのツールは、ウイルス対策ソフトウェアなどのマルウェア対策ツールと同様に設計されています。スパイウェア対策ツールは、シグネチャ (セマンティクス、プログラム コード、またはその他の識別属性) を使用してプログラムを識別します。このプロセスは既知のプログラムにのみ機能するため、前述の誤検知につながる可能性があり、以前は知られていなかったスパイウェアが検出されないままになります。状況をさらに悪化させるため、一部の怪しい企業は、オンライン広告市場のより大きな部分を求めて偽のスパイウェア対策ツールを配布しました。これらの偽ツールはスパイウェアを削除すると主張していましたが、実際には、何も知らないユーザーのコンピュータに独自のアドウェアとスパイウェアをインストールしていました。場合によっては、このソフトウェアは競合ベンダーのアドウェアとスパイウェアも削除していました。

新しいスパイウェア プログラムは絶えずリリースされており、終わりがないように思えますが、ここ数年で増加はやや落ち着いています。スパイウェア対策プログラムの開発者によると、スパイウェアとの戦いは、ウイルス、トロイの木馬、ワームとの戦いよりも複雑です。^[14]スパイウェアの定義や分類システムについてはまだコンセンサスが得られておらず、スパイウェア対策ツールの精度に悪影響を及ぼし、一部のスパイウェア プログラムがユーザーのコンピューターで検出されないままになることがあります。^{[15] [16]}

コンピュータとソフトウェアを人々の日常生活に統合するトレンドはいくつかあります。1つの例は、従来のメディア指向の製品がメディアセンターと呼ばれる単一のデバイスに統合されていることです。これらのメディアセンターには、従来のテレビ、 DVDプレーヤー、ステレオ機器と同じ機能がありますが、インターネットに接続されたコンピュータが組み合わされています。近い将来、これらのメディアセンターは消費者に多大な影響を与えると予想されています。^{[17] [18]}このような設定では、スパイウェアは、どのテレビチャンネルが視聴されているか、ユーザーがいつ/なぜチャンネルを変更したか、ユーザーがどのDVDを購入して視聴したかを監視および調査できます。この情報は、広告やメディア指向の企業にとって非常に魅力的です。これにより、スパイウェアがこれらの新しいプラットフォームに合わせて調整されるシナリオになる可能性が最も高くなります。

スパイウェアベンダーにとって、もう一つの興味深い分野は、モバイルデバイスの使用の増加です。広告配信業者はすでにこれらのデバイスに注目しています。これまでのところ、この開発では、これらのデバイスに保存されている地理的位置データは利用されていません。しかし、企業は現在、携帯電話やハンドヘルドデバイスに合わせたGPS誘導広告やクーポンの開発に取り組んでいます。 ^[19]つまり、地理追跡スパイウェアの開発により、広告主は個人の地理データにアクセスして、地理的にターゲットを絞った広告やクーポンを顧客に提供できるようになります。このような地理データが収集され、以前に収集されたデータと相関関係が確立されると、プライバシーの障壁がまた一つ越えられます。