高木浩光＠自宅の日記

■ 公正取引委員会は日本でこういうFUDを許すのか

公正取引委員会は不当景品類及び不当表示防止法に基づき、不当な表示を指定しているが、スパイウェア検出製品の表示方法の問題についても検討するべきではないか。

• 不当景品類及び不当表示防止法

  （不当な表示の禁止）

  第４条　事業者は、自己の供給する商品又は役務の取引について、次の各号に掲げる表示をしてはならない。

  一　商品又は役務の品質、規格その他の内容について、一般消費者に対し、実際のものよりも著しく優良であると示し、又は事実に相違して当該事業者と競争関係にある他の事業者に係るものよりも著しく優良であると示すことにより、不当に顧客を誘引し、公正な競争を阻害するおそれがあると認められる表示

  二　商品又は役務の価格その他の取引条件について、実際のもの又は当該事業者と競争関係にある他の事業者に係るものよりも取引の相手方に著しく有利であると一般消費者に誤認されるため、不当に顧客を誘引し、公正な競争を阻害するおそれがあると認められる表示

  三　前２号に掲げるもののほか、商品又は役務の取引に関する事項について一般消費者に誤認されるおそれがある表示であつて、不当に顧客を誘引し、公正な競争を阻害するおそれがあると認めて公正取引委員会が指定するもの

• 「コンピュータ1台あたり平均28個のスパイウエアがひそんでいる」，米EarthLink調査, 日経IT Pro 海外ニュース, 2004年4月17日

  ■スパイウエアの調査結果（期間：2004年1月1日〜3月31日）
  ----------------------------------------------------------------
  SpyAuditでスキャンしたパソコン台数：            1,062,756
  検出したスパイウエアの総数：                   29,540,618
  パソコン1台あたりのスパイウエア数：                  27.8
  
  検出したアドウエアの総数：                      5,344,355
  検出したアドウエア・クッキーの総数：           23,826,785
  検出したシステムモニターの数：                    184,559
  検出したトロイの木馬の総数：                      184,919
  ----------------------------------------------------------------
  出典：Earthlink社

このように、「スパイウェア」が検出された！と騒がれているもののうち、80.7％がcookieである。

「あなたの銀行預金が危ない！」と人々を不安に陥れるのに相応しい「システムモニター」と「トロイの木馬」の合計は、全体の 1.25％にすぎない。

これを踏まえて以下などのサイトを訪れてみる。

• 眞鍋かをりさんとテレンス・リーさんが、“非常に危険な”スパイウェアの撲滅を呼びかける！ CA 春のスパイウェア撲滅キャンペーン

  家庭のパソコンの約80%に侵入しておりインターネット・ユーザの新たなセキュリティ脅威として社会問題化している“スパイウェア”をわかりやすく解説し（略）

  スパイウェアは、サイバー犯罪の中でも特に個人資産に繋がる重要な情報、決済、資産管理などに関わるネットサービスの情報が狙われる危険性が高いとして問題となっており、金銭被害の報告もされています。

• CA noSpy.jp / スパイウェアって何？：スパイウェアを知ろう

  スパイウェアを知ろう！

  ご家庭のパソコンの80％がスパイウェアに感染！

• スパイウェア対策・駆除はスパイゼロ2006で決まり！

  緊急案内 あなたの口座番号や、パスワードは盗まれていませんか？

  スパイウェア対策室はあなたのパソコンに忍び込み個人情報、口座情報、クレジットカード情報を漏洩させてしまうスパイウェアからあなたの大切な資産をお守りするソフトウェアを紹介するホームページです。

  日本経済新聞 2005年（平成17年）7 月3日（日曜日）
  「ネット銀行に預金 パソコンの情報 盗まれ引き出し」

  最新の調査によりますと家庭用パソコンの約80％にスパイウェアが侵入しているとの結果がでています。（2004年10月　米国NCSA/AOL調べ） 非常に危険ですので、スパイウェア検出は、今すぐに行ってください！

■ トラッキングcookieがスパイウェアなら、EZwebの携帯電話は100％がスパイウェア入り

「トラッキングcookie」とは、閲覧者に固有のID番号を振り当てる第三者cookieのことである。

これがいくらかのプライバシー上の問題を有することは、過去に書いてきた通りである。だが、その危険性は、「あなたのパソコンに忍び込み個人情報、口座情報、クレジットカード情報を漏洩させてしまう」という性質のものから比べれば、格段に小さい。

「閲覧者に固有のID番号を振り当てる」と言えば、携帯電話のサブスクライバーIDがまさにそれである。

トラッキングcookieの場合は、そのcookie発行元がアドウェア的にcookieを利用している場合のみ、「スパイウェア」に分類されるようだが、EZwebのサブスクライバーIDは、すべてのサイトに送信されてしまうのだから、アドウェア的に利用するサイトがどこかに存在すれば、そのIDはトラッキングcookieと同一の（もしくはそれ以上の）効果を発揮する。したがって、EZwebのサブスクライバーIDは常にトラッキングcookieであろう。アドウェア業者が発行するまでもなく、IDははじめからKDDIによって携帯電話に埋め込まれているのであり、誰でも共通に使える、万能のスーパートラッキングcookieである。

「家庭のパソコンの約80%に侵入、非常に危険です」とか言ってるスパイウェア検出ソフト売り業者は、携帯電話も駆除したらどうか。

総務省情報通信政策局総合政策課の認識でもcookieはスパイウェアらしい。

• スパイウェアの定義について, 総務省情報通信政策局総合政策課, 2006年2月21日

  “アドウェア”や“トラッキング・クッキー”、“キーロガ−”、“リモートアクセスツール”等は、本来は正しく使用されているプログラムであるが、環境や使途、活動内容によって不正なプログラム（マルウェア）として働く場合もある。このような場合には、スパイウェアの範疇に入るものと考えられる。

そう言うのなら、100％がトラッキングcookieを有するKDDIの携帯電話をまずなんとかしてもらいたい。それができないのなら、トラッキングcookieをスパイウェアと呼んではいけない。

予想される反論として、

サブスクライバIDを発行しているKDDIに悪意はなく、不正なプログラム（マルウェア）として用意されたものではない。

というのが想定されるが、そういう問題ではない。トラッキングcookieでは発行者と悪用者が同一であるのに対し、携帯電話のサブスクライバIDは、発行者とは別の者が悪用可能となっているという、ダメアーキテクチャなのだから、そういうものを発行していること自体が「スパイウェア」である。