Fastlane の新しいレポートによると、Facebook や Instagram などで使用されているアプリ内ブラウザは、ユーザー情報を記録してアプリに送信する機能を備えているとのことです。

開発者が、アプリ内ブラウザが潜在的なプライバシーリスクとなる可能性があると警告しています。リンクをクリックした際にアプリ内ブラウザが開くことほど迷惑なことはありません。アプリ内でリンクをクリックした際に、デフォルトのブラウザではなくアプリのブラウザが開くのは、常に煩わしいものです。

開発者が、アプリが独自のブラウザを持つことのセキュリティリスクについて解説しています。Facebookのように、プライバシー基準があまり確立されていないアプリの場合、特に問題となる可能性があります。

開発者はアプリ内ブラウザがプライバシーリスクであることを示す

アプリ内ブラウザは、いくつかの理由でしばしば煩わしいものとなります。まず、自動ログイン用のユーザー名やパスワードといったデータストレージへのアクセスがユーザーに許可されていないことが挙げられます。また、購入時の決済情報にもアクセスできません。そのため、ほとんどの場合、ユーザーはこれらの情報を手動で入力しなければなりません。

Fastlaneの創設者であるフェリックス・クラウス氏によると、アプリ内ブラウザを信頼できない最大の理由は、プライバシーリスクが内在しているということです。Fastlaneのレポートによると、Facebookなどのアプリ内ブラウザを使用するアプリは、外部ウェブサイトにおけるユーザーのあらゆるインタラクションを追跡できます。これには、パスワードやアドレスなどのフォーム入力から、ユーザーが行うすべてのタップまでが含まれます。

クラウス氏は記事の中でInstagramに言及していますが、開発者はInstagramをMeta関連アプリ全般の総称として使っています。開発者によると、

• 外部ウェブサイトへのリンクは、組み込みの Safari を使用する代わりに、Instagram アプリ内でレンダリングされます。
• これにより、Instagram はユーザーやウェブサイトプロバイダーの同意なしに、外部ウェブサイトで発生するすべてのことを監視できるようになります。
• Instagram アプリは、広告をクリックしたときも含め、表示されるすべてのウェブサイトに追跡コードを挿入し、タップされたすべてのボタンやリンク、テキストの選択、スクリーンショット、パスワード、住所、クレジットカード番号などのフォーム入力など、すべてのユーザー操作を監視できるようにします。

本質的に、これは企業がAppleのApp Tracking Transparency（追跡に関する透明性）ルールを回避する簡単な方法です。賢明なAppleユーザーは、Appleがユーザーのデータを追跡する前に許可を得ることを熟知しています。例えば、SafariはデフォルトでサードパーティCookieをブロックします。さらに、Safariは暗号化されているウェブサイトだけでなく、暗号化されていないウェブサイトでも動作します。

情報を見る

残念ながら、クラウス氏はMetaが具体的にどのような情報を抽出するのかを明言できません。開発者側は、同社がユーザーから情報を抽出していることのみを確認しています。

Instagramが本国に送信するデータの正確なリストは持っていません。InstagramとFacebookアプリが、ユーザーの同意なしにJavaScriptコマンドを積極的に実行し、追加のJS SDKを挿入し、ユーザーのテキスト選択を追跡しているという証拠はあります。もしInstagramが既にこれを行っているのであれば、他のJSコードを挿入することも考えられます。

Metaがクレジットカードやパスワードを盗もうとしているわけではないのは明らかです。しかし、具体的にどのような情報を抽出しているのかは不明なので、アプリ内ブラウザの使用を避け、独自のブラウザを使用することをお勧めします。

例えばFacebookアプリをご利用の場合、右下にある3つの点をタップして「ブラウザで開く」を選択できます。この選択肢がない場合は、通常は共有アイコンが表示され、リンクをコピー＆ペーストできます。

Krause 氏は、アプリによるユーザーデータの収集を阻止する方法についてのウェブサイト情報とコードも提供しています。

Appleに関して、クラウス氏は、同社はユーザーのプライバシー保護に非常に力を入れていると述べた。しかし、クラウス氏は、App Storeの審査ルールでは、企業や開発者が独自のアプリ内ブラウザを構築してユーザーを追跡し、入力内容を読み取ることを禁止していない点にも言及している。Appleは開発者に対し、このような行為を推奨していないものの、明確に禁止しているわけではない。

ユーザーはここで完全なレポートを読むことができます。