フェイスブックのずさんなデータ管理が、また明らかになった。サイバーセキュリティー企業UpGuardが、大量のユーザーデータが保護されていない状態でアマゾンのクラウドサーヴァーに置かれていたことを発見したのだ。

ユーザーの本名、パスワード、興味の対象、過去のコメントや「いいね！」の記録といった情報が含まれている。2組のデータセットは、Facebookアプリを開発する企業2社が個別にアップロードしたものだという。

フェイスブックはこれまで、第三者にデータを提供する場合、そのデータセットが最終的に何に使われるのか、またセキュリティー管理は的確かといったことをまったく把握していなかった。この事実は昨年、ケンブリッジ・アナリティカによるデータの不正利用が判明したことで明らかになっており、それが今回も裏付けられたことになる。

露呈したデータ管理の限界

ケンブリッジ・アナリティカの不正が判明して以来、フェイスブックはデータへのアクセス管理の徹底と、大量のデータを取得することが可能なアプリ開発者の監視強化に取り組むと何度も宣言してきた。

しかし、UpGuardの発見でフェイスブックの管理能力の限界が露呈した。UpGuardは公式ブログで、この状況を「データという魔神を瓶に戻すことはできない」と表現している。

同社によると、見つかった2組のデータセットの片方は、メキシコのCultura Colectivaという企業がアップロードしたもの。サイズは146GBで、5億4,000万件のデータが含まれる。

UpGuardは1月初めにこの件でCultura Colectivaに連絡をとったが、返事がなかったため1月末にアマゾンに注意喚起を行い、アマゾンからも同社に警告を送った。しかしデータはそのまま放置されており、4月に入ってブルームバーグが問題を報じる際にフェイスブックにコメントを求めたことで、ようやく非公開になった。

フェイスブックは以下のような声明を明らかにしている。

「弊社の利用規約は、Facebook関連のデータを公共のデータベースに保管することを禁じています。これを巡り警告があったために、アマゾンと協力してデータベースからデータセットを削除しました。今後もユーザーデータの保護に向けて開発者たちと協力していく所存です」

フェイスブックは「詳細を調査中」

一方、もう片方のデータセットは「At the Pool」というアプリを開発するメーカーのもので、こちらはサイズは小さいが、2万2,000人分のパスワードが平文で保管されていた。UpGuardは「このパスワードはFacebookのアカウントではなくAt the Poolのアプリのものと考えられるが、ユーザーが同じパスワードを使い回している場合があるため危険性は高い」と説明する。

こちらも現在は非公開になっているが、どのくらいの期間にわたって誰でもアクセスできる状態でサーヴァーに置かれていたかは不明だ。なお、At the Poolは2014年にサーヴィスを停止している。

フェイスブックの広報担当者は、クラウドサーヴァーに置かれていたデータの中身の詳細と、ユーザーへの影響の調査を進めているとしている。ケンブリッジ・アナリティカの問題が発覚したときにもまったく同じプロセスを経て、「ユーザーが特定のアプリで共有することを選択した情報の利用のされ方」を巡る懸念から、自社のプラットフォームで大量のアプリを禁止した。

UpGuardの今回の発見によって、フェイスブックはサードパーティーのデータ利用法のみならず、データの保管方法を的確に監督できているのかという疑念が生じる。ケンブリッジ・アナリティカは意図的に収集した個人情報を外部に販売していた。これは明確な規約違反だ。

データをアップした開発者に悪意はないが……

ただ、今回の事例ではおそらくアプリの開発者側に悪意はない。ユーザーデータをクラウドサーヴァーに公開状態で保管したのは故意ではなく、単純な不注意だろう。問題は、それでもユーザーが深刻な脅威にさらされることに変わりはないという点だ。

UpGuardのブログには以下のように書かれている。「Facebookのユーザーデータの保護という問題では、非常に広大かつ、これまでとはまったく異なるエリアをカヴァーする必要があります。そして、その責任はアプリの開発者が負わなければならないのです」

マーク・ザッカーバーグは3月、プライヴァシーを重視したSNSという新たな指針を打ち出した。例えば、そこでのやりとりはすべて暗号化されるという。ザッカーバーグは、人々がシェアするコンテンツの賞味期限が短くなっていることにも言及する。

彼はその直後に行われた『WIRED』US版とのインタヴューで、「自社プラットフォームでのユーザーの行動を見ていると、明らかにこうしたものが望まれている」と話している。今後については、フェイスブックの未来を巡る決断の中心に位置するのはプライヴァシー保護であるとの考えを示した。

しかし、今回の事件を見る限り、ザッカーバーグはフェイスブックの過去の行いに苦しめられることになるかもしれない。