Global Privacy Assembly、スクレイピングによるプライバシーリスクに警鐘

Jim Downey

昨年、Global Privacy Assembly（GPA）は、130を超えるデータ保護・プライバシー規制当局および執行機関で構成される団体として、ボットによるクレデンシャルスタッフィングがデータプライバシーに対する世界的なリスクをもたらしており、組織にはその防止に向けて合理的な対策を講じる義務があると警告しました。今回、GPAのInternational Enforcement Cooperation Working Group（IEWG）は、共同声明を発表し、ソーシャルメディア企業やその他のWebサイトには、違法なデータスクレイピングから個人の個人情報を保護する責任があると警告しました。

データスクレイピングとは

データスクレイピングとは、Webアプリケーションやモバイルアプリケーションからデータを自動的に抽出することです。スクレイパーは、競争優位性の獲得や価格比較用データの集約など、さまざまな目的でデータを抽出します。組織がスクレイピングを防ごうとするのは、競合他社による価格データや在庫データへのアクセスを避けるため、または大量のスクレイピングトラフィックがアプリケーションのパフォーマンスに影響を及ぼすためです。多くの場合、スクレイピングトラフィックは全体のトラフィックの95%を超えることがあり、アプリケーションの速度低下やクラッシュを引き起こす可能性があります。

データスクレイピングがデータプライバシーを脅かす仕組み

プライバシー規制は、個人のデータプライバシーに関する権利を保護し、自身のデータを誰が、どのような目的で、どのくらいの期間利用できるかを本人が決定できるようにすることを目的としています。ユーザーがソーシャルメディアでデータを共有する際は、アプリのプライバシー設定とポリシーで定められた特定の範囲の人々に閲覧されることを想定しています。このデータが本人の知らないうちにスクレイピングされると、スクレイピングを行った者が本来の目的とは異なる用途で利用する可能性があるため、個人は自身の個人情報を管理できなくなります。

データスクレイピングは、個人データの削除または訂正を求める個人の権利も侵害します。いったんデータがスクレイピングされると、作成者がソーシャルメディアサイトからそのデータを削除しても、スクレイピングを行った者は引き続きそのデータを使用し、共有します。

GPAの共同声明によると、このように個人データを管理できなくなることで、個人はさまざまなリスクにさらされます。犯罪者は、このデータをソーシャルエンジニアリング、標的型フィッシング、なりすまし詐欺に利用する可能性があります。また、認証システムを回避する目的で、個人のプロファイリングに利用する可能性もあります。さらに、良識に欠けるマーケティング業者が、ダイレクトマーケティングやスパムにこのデータを利用する可能性もあります。

これは組織にコンプライアンスリスクをもたらすのでしょうか？

GPAの共同声明によると、インターネット上で一般に公開されている個人情報であっても、データ保護法の適用対象となります。つまり、個人情報を大量にスクレイピングする行為は、多くの法域で報告義務のあるデータ侵害に該当する可能性があります。

共同声明では、データスクレイピングを防止するための対策を推奨しています。こうした対策は、多くの法域で法令上の要件として求められており、「裁判所やデータ保護当局によってそのように解釈される」可能性があります。

GPAは何を推奨しているのか

データスクレイピングによるプライバシーリスクを軽減するため、GPAは、管理策の実施と有効性の監視を担う専任チームの設置をはじめとする、多層的な技術面および手続き面の管理策を推奨しています。その他の管理策には、ユーザーに対するレート制限、ソーシャルネットワーク内での急速なリンク形成の監視、データを確実に削除させるためのデータスクレイパーに対する法的措置、データ侵害に該当するスクレイピング行為についての個人および規制当局への通知が含まれます。

多層的な対策の一環として、GPAはデータをスクレイピングするボットへの対策も推奨しています。共同声明では、CAPTCHAとIPレート制限が具体的に挙げられています。効果的な多層防御を実現したい組織は、シグナル収集とAIを活用して、CAPTCHAやIPレート制限を回避する高度なボットを緩和するボット管理ソリューションを検討する必要があります。

この脅威への懸念を高める変化とは？

データスクレイピングをめぐる脅威を、近年のフィッシングの進展と併せて考えると、個人のプライバシーに対する懸念はさらに深まります。Phishing-as-a-Service（PhaaS）ベンダーは、メールテンプレート、本物に見せかけた偽のWebサイト、標的候補の連絡先情報、詳細な手順、カスタマーサポートなど、フィッシング攻撃を実行するための包括的なツールセットを提供しています。そのため、スキルの低い攻撃者でも、より効果的にフィッシングを実行できるようになっています。さらに、フィッシングは、ユーザーを欺いて攻撃者が管理するアプリにワンタイムパスワードを入力させるリアルタイムフィッシングプロキシを通じて、MFAを回避する主な手段となっています。（フィッシングによってMFAが無効化されつつある状況については、F5 Labsのレポートをご覧ください。）

大規模言語モデルの活用により、フィッシングの有効性は今後さらに高まると考えられます。ダークウェブで販売されている新たな攻撃ツールに関する報告には、WormGPTとFraudGPTなどが挙げられており、犯罪者がフィッシングをはじめとする悪意ある目的に生成AIを利用し始めていることが示されています。これらのツールは、複数のアプリからスクレイピングした個人データを取り込むことで、効果的かつ個人に合わせたフィッシングメッセージを作成できるようになる可能性が極めて高く、スピアフィッシングの自動化につながるおそれがあります。

なぜ注意が必要なのか

データスクレイピングや、クレデンシャルスタッフィングなどの悪意ある自動化により、個人データが犯罪者にさらされるおそれがあります。犯罪者はそのデータを集約し、ソーシャルエンジニアリングやフィッシング攻撃に悪用する可能性があり、こうした攻撃は金融詐欺などの被害につながります。GPAは、警告を発し、ボットによる個人データのスクレイピングを許すことの有害な影響を組織に認識させることで、重要な公共サービスを提供しています。データスクレイピングとデータプライバシーへの対応にF5がどのように役立つかについては、www.f5.com/go/solution/scrapingをご覧ください。

著者について

Jim Downey

Jim Downeyのその他のブログ記事