競合他社のデータが欲しくてたまらないFacebookは、内密に人々に金を払い、Facebook ResearchというVPN（仮想プライベートネットワーク）をインストールさせていた。ユーザーのスマートフォンやウェブでの活動情報をすべて吸い上げるというものだ。これは、Appleによって6月に禁止され、8月に排除されたFacebookのOnavo Protectアプリとよく似ている。そこでFacebookはApp Storeから離れ、ティーンエイジャーや大人たちに報酬を支払ってResearchアプリをダウンロードさせるようになった。Facebookはこのアプリにルート権限を持たせ、おそらくAppleの規約に違反して、スマートフォンを使ったユーザーの活動の暗号解読と解析を行っていることがTechCrunchの調査で確認された。FacebookはTechCrunchに対して、Researchプログラムでユーザーの行動に関するデータを集めていたことを認めたが、止めるつもりはないとも話している。
2016年より、Facebookは、13歳から30歳までのユーザーに最大で月20ドルと紹介料を支払い、iOSまたはAndroid版の「Facebook Research」アプリをインストールさせて、彼らの個人情報を買い取っていた。Facebookは、Amazonの購入履歴のスクリーンショットの提出も要求していた。この計画は、ベータテストを請け負うApplause、BetaBound、uTestといった企業を通して運営され、Facebookの関与は隠されていた。一部の資料では、計画名が「プロジェクト・アトラス」とされていて、世界の流行やライバルをマッピングしようとするFacebookの思惑を見事に表現している。
我々が、Guardian Mobile Firewallのセキュリティー専門家であるWill StrafachにFacebook Researchアプリの解析を依頼したところ、彼はこう教えてくれた。「もしFacebookが、ユーザーにCertificate（証明書）のインストールを要求して、最高レベルまでアクセスを可能にした場合、次のようなデータを継続的に収集できるようになります。ソーシャルメディア・アプリでのプライベートなメッセージ、インスタントメッセージ・アプリでのチャット（互いにやりとりした写真や動画も含まれる）、電子メール、ウェブ検索、ウェブ閲覧、位置情報を追跡するアプリがいずれかでもインストールしてあれば、そこからリアルタイムの位置情報もわかります」 。この中でFacebookが本当に欲しい情報がどれなのかは不明だが、このアプリをインストールさせれば、ほぼ無制限にユーザーのデバイスにアクセスできるようになる。
この戦略から、Facebookが、その拠り所であるAppleのiOSプラットフォームの規約を破ってまでして、どこへ行こうとしているのか、また今の独占状態を保つためにどれだけ支払う気があるのかが見てとれる。Appleは、FacebookにResearchアプリの配布を止めさせる手段を講じたり、社内使用限定アプリの提供許可を取り消すなどしてきたが、両者の関係はどんどん悪化する恐れがある。AppleのTim Cookは、Facebookのデータ収集活動を再三批判してきた。iOSの規約に従わず、さらなる情報を吸い上げ続けるFacebookの問題は、新しい段階に入ろうとしている。TechCrunchは、この問題の認識についてAppleにコメントを求めたのだが、記者発表の前に話を聞くことはできなかった。
「とても専門的に聞こえますが、『私たちのRoot Certificate（ルート証明書）をインストールしてください』というステップにはゾッとします」とStrafachは私たちに話した。「これにより、Facebookは私たちのもっともセンシティブなデータに継続的にアクセスできるようになります。そしてほとんどのユーザーは、同意書にサインはしても、これに本当の意味で同意することはできません。同意した時点で、どれだけの権限をFacebookに譲り渡すのか、はっきりとわかる方法がないからです」
Facebookの調査アプリ
Facebookがデータを嗅ぎ回るビジネスを開始したのは、2014年に1200万ドル（約13億円）でOnavoを買収したときからだ。そのVPNアプリによって、ユーザーはモバイル機器のデータプランの利用状況を確認し節約することが可能になったのだが、同時に、ユーザーがどのようなアプリを使っているかという深いところまで解析する権利をFacebookに与えてしまった。BuzzFeed NewsのCharlie WarzelとRyan Macが入手した内部資料によれば、Facebookは、WhatsAppから1日に発信されるメッセージの量がFacebookのMessengerの2倍であることをOnavoを使うことで知ったという。OnavoはFacebookに、急速に成長するすスタートアップWhatsAppの存在を知らせ、2014年に同社を190億ドル（約2兆754億円）で買収する理由を与えた。それによりWhatsAppのユーザー基盤は3倍になり、Onavoはその優れた先見性を示すこととなった。
それから数年間、OnavoはFacebookに、どのアプリを真似するべきか、どのような機能を作り、どんな失敗を避けるべきかを提言してきた。2018年までFacebookは、メインのFacebookアプリの「Protect」ボタンでOnavo Protectアプリを推奨し、情報源となるユーザーを増やそうとしていた。さらにFacebookは、監視中にパスコードや指紋でアプリをロックするOnavoのBolt App Lockアプリの配布を開始したが、プライバシー上の批判を受けてすぐに取り下げている。Onavoのメインのアプリは、今でもGoogle Playにあり、1000万回以上ダウンロードされている。
3月、ユーザーが画面をオンオフしたこと、またVPNがオフのときでもWi-Fiとスマートフォンのバイト単位のデータ利用状況をOnavo ProtectがどのようにFacebookに報告しているかをセキュリティーの専門家Strafachが詳しく解説すると、大きな反動が起きた。6月、Appleは開発者向けの規約を改定し、他のアプリの利用状況や、自身のアプリの機能とは関係のないユーザーの情報の収集を禁じた。8月、Appleは、Onavo Protectがデータ収集に関する規約に違反していること、そしてApp Storeでの配布を止めるようFacebookに伝え、Facebookはそれに従ったと、WSJのDeepa Seetharamanは伝えている。
しかし、それでもFacebookのデータ収集は終わらなかった。
プロジェクト・アトラス
TechCrunchがこのほど入手した情報から、Onavo ProtectがApp Storeから追い出されても、Facebookは似たようなVPNアプリを「Facebook Research」という別名で、ユーザーに報酬を支払う形でApp Storeとは別のところから配布していることがわかった。我々の調査で判明したのは、BetaBound、uTest、Applauseというベータテストを請け負う3つの企業に依頼して、FacebookがResearchアプリを配布しているということだ。Facebookは、2016年にResearch VPNアプリの配布を開始している。これは2018年中ごろから「プロジェクト・アトラス」と呼ばれるようになった。ちょうど、Onavo Protectの問題が騒がれ、AppleがOnavoを締め出すために規約を改定した時期だ。しかしFacebookは、一般ユーザーのスマートフォンの使用状況に関するデータの収集をあきらることはなく、Onavo ProtectがAppleによって排除された後も、Research計画を継続した。
uTestが運営するプログラムのInstagramとSnapchatの広告（下の写真）は、「有償ソーシャルメディア調査」と称して13歳から17歳の若者に参加を訴えかけている。Applauseが管理するFacebook Researchの申し込みページでは、Facebookの名前は出てこないが、「対象年齢：13-35（13-17歳の方は保護者の同意が必要です）」のユーザーを求めている。未成年者が申し込もうとすると、保護者の同意書の記入フォームが表示され、そこにはFacebookの関与がこう記されている。「当プロジェクトに参加することによるリスクは報告されてませんが、当プロジェクト固有の性質上、お子様がアプリをご使用になる際に個人情報が追跡されることをご理解ください。お子様のご参加には、Applauseより報酬をお支払いいたします」。お金が欲しい子どもたちは、報酬と聞けば自分のプライバシーをFacebookに売ってもいいと思うだろう。
Applauseのサイトでは、Facebook Researchアプリによって収集される可能性のあるデータの種類が次のように説明されている（私に該当する部分は太字にしてある）。
「このソフトウエアをインストールすることにより、あなたは私たちの依頼主に、あなたの携帯端末から収集したデータ、および、携帯端末にインストールしているアプリの機能の利用状況に関する情報の提供を許可したものとみなします。……つまり、あなたは以下のような情報の収集を、私たちの依頼主に許可します。あなたの携帯端末に入っているアプリは何か、いつどのようにそれを使っているか、あなたの利用状況およびそのアプリに含まれるコンテンツに関するデータ、それらのアプリを通じて、他の人たちがどのようにあなたやあなたのコンテンツに関わっているか。また、あなたは私たちの依頼主に、インターネットでの閲覧状況（どのウェブサイトを見たか、そして、あなたのデバイスとそれらのウェブサイトとの間で交わされたデータを含む）と、他のオンラインサービスの利用状況に関する情報の収集も許可することになります。私たちの依頼主は、アプリが暗号化されているとき、または保護されたブラウザーの利用中でも、これらの情報を収集することがあります」
一方、URLの最後に「Atlas」と付いているBetaBoundの申し込みページでは、「アプリをあなたの携帯端末にインストールしてバックグラウンドで実行すると、1カ月に20ドル（eギフトカード）が支払われます」と説明されている。このサイトでも、最初にFacebookの名前は出てこないが、Facebook Researchのインストール説明書でFacebookの関与がわかる。
Facebookは、Appleの審査が必要で、参加者が1万人に限定されるApple公認のベータテスト・システムTestFlightは意図的に避けているようだ。その代りに、説明書では、ユーザーはアプリを「r.facebook-program.com」からダウンロードし、Enterprise Developer Certificate（企業向け開発者証明書）とVPNをインストールして、ユーザーのスマートフォンにFacebookがルートアクセスすることに加えて、大量のデータ転送を許可してFacebookを「信頼する」ことになっている。Appleでは、従業員に向けた社内用アプリの配布にのみこの証明書システムを使うよう、開発者に同意を求めている。テスターを無作為に募り、月額で報酬を支払うというのは、この規約の精神に反する。
インストールしても、VPNを常に実行状態にして、Facebookにデータを送り続けなければユーザーは報酬を受け取れない。Applauseが管理するプログラムでは、ユーザーのAmazonの注文履歴のスクリーンショットの提出も求めてくる。Facebookはこのデータを使って、ユーザーのネット閲覧の習慣とアプリの利用状況を、買い物の好みや買い方にが結びつけることができる。その情報は、ターゲットを絞ったピンポイントの広告を打ったり、どんなタイプのユーザーが何を買うのかを知る役に立つ。
TechCrunchは、Facebook Researchアプリの解析と、データの送り先の特定をStrafachに依頼した。彼は、データがOnavoのIPアドレスに関連付けられた「vpn-sjc1.v.facebook-program.com」にルーティングされていることを確認した。さらに、MarkMonitorによると、このfacebook-program.comドメインはFacebookに登録されているという。このアプリは、App Storeを介さなくても自動的に更新され、PeopleJourney@fb.comへのメールアドレスがリンクされている。さらに、企業向け証明書は、2018年6月27日にFacebookによって更新されていることをStrafachが突き止めた。これは、同類のOnavo ProtectアプリをAppleが禁止すると発表した数週間後だ。
「Facebookが実際にどのデータを（彼らのサーバーにアクセスせずに）保存しているかを探るのは困難です。今わかっている唯一の情報は、アプリのコードに基づいてFacebookが何にアクセスできるかだけです。それを見ると、とても不安になります」とStrafachは言う。「彼らの返答や主張によると、非常に限られた一部のデータのみを留め、または保存しているとのことです。それは本当かも知れません。どれだけFacebookの言葉を信じるかによりますが。この状況を、できる限り大目に見るなら、Facebookは自分たちに許しているアクセス権限の大きさを、あまり深く考えていないということになります。……もしそうであれば、衝撃的なまでに無責任な話です」
Appleの規約に対する目に余る反抗
TechCrunchの質問にFacebookの広報担当者は、これは人々がどのようにスマートフォンや他社のサービスを使っているかを調査するプログラムだと答えた。広報担当者はこう話している。「他の企業と同じように、私たちも事業の改善に役立つものを特定するために、人々に調査への協力をお願いしています。この調査は、人々がモバイル機器をどのように使っているかをFacebookが知るためのものなので、私たちがどのようなタイプのデータを収集するか、そしてどのように参加していただけるかに関する情報を、できる限り多く提供しています。ここで得られた情報を他者に漏らすことはありません。また、参加者はいつでも脱退できます」
Facebookの広報担当者は、Facebook ResearchアプリはAppleの企業向け証明書プログラムに準拠していると主張している。その逆であることを示す証拠を提示しても、弁解はなかった。彼らによると、Facebookが最初のResearchアプリを公開したのは2016年とのこと。このプログラムはフォーカスグループと同じだとの論を展開し、NielsenやcomScoreも同じことをしていると彼らは主張したが、NielsenもcomScoreも、VPNのインストールやルートアクセス権を求めたりしない。Facebook Researchプログラムは、たしかにティーンエイジャーを募っているが、世界中の他の年代の人々も募っていると広報担当者は語る。OnavoとFacebook Researchとは別物だと言うが、コードがそっくりだとの指摘に対して、どちらも同じ部署が担当ているからだと認めた。
Facebookは、Appleの企業向け証明書の規約には違反していないと言うが、規約の条件には真っ向から矛盾している。規約によれば、開発者は「プロビジョニング・プロファイルは貴社従業員の間でのみ、また開発およびテストの目的により社内で使用するアプリケーションと連結されている場合のみ配布できる」ことになっている。さらに「貴社の顧客に対して使用、配布、またはその他の形で提供してはならない」となっている。ただし、従業員の直接の管理下、あるいは会社の敷地内であればその限りではない。Facebookの顧客は、企業向け証明書に裏付けされたアプリを従業員が管理していない状況で使わせているので、Facebookが違反しているのは明らかだ。
Facebookは、これほどあからさまにAppleに反抗すれば、両社の関係は傷ついてしまう。「このiOSアプリに含まれるコードは、禁止されたOnavoアプリの単なる稚拙な焼き直しであることを強く示していて、Facebookは、Appleの規約に直接違反するFacebook所有の企業向け証明書を使い、このアプリをAppleの審査を受けないまま、好きなだけ多くの人に配布しています」とStrafachは我々に話した。ONVというプレフィックスと「graph.onavo.com」というメンション、そして「onavoApp://」や「onavoProtect://」というカスタムURLを使う手法で、彼らはアプリをばら撒いている。「これはいろいろな意味で甚だしい違反です。Appleは、署名した証明書を無効にして、このアプリを使えなくするために迅速に行動してくれるよう望みます」
ティーンエイジャーがソーシャルネットワークを離れ、SnapchatやYouTubeやFacebookが買収したInstagramに流れていく今、その年代がスマートフォンで何をしているのかは、Facebookが大いに知りたいところだ。中国の動画音楽アプリTikTokの人気の秘密と、そこでシェアされている話題（ミーム）を研究したFacebookは、Lassoというクローンアプリを立ち上げ、LOLというミームをブラウズする機能を開発していたことは、TechCrunchが最初に伝えている。しかし、Facebookがメディアで散々な批判を受けている最中も、ティーンエイジャーのデータを欲しがる同社に批評家たちはイライラを募らせている。明日のFacebookの収支報告会では、重要な情報を収集できる別の方法はないのかと、アナリストたちは質問すべきだ。
昨年、Tim Cookは、もしCambridge Analyticaスキャンダルの渦中にいるMark Zuckerbergの立場に立たされたらどうするかと聞かれたとき、こう答えている。「私は、そんな状況は決して招きません。……実際、お客様を金に替えれば、またはお客様が私たちの製品だったら、莫大な利益が得られます。私たちは、それをしないために任命されています」。ZuckerbergはジャーナリストのEzra Kleinに、Cookのコメントに対する感想として「まったく口先だけだ」と話している。
Appleが警告を発しても、Onavo Protectを排除しても、Facebookはそれでも貪欲にAppleのiOSプラットフォームを使って競合他社のデータを集めまくっている。「App Storeの開発者で、これほどあからさまなAppleの規約違反を見たことがありません」と、Strafachは締めくくった。AppleがResearchプログラムを排除しても、Facebookは、このプライバシーにうるさい状況下でまた別の方法で我々の行動を調査するか、あるいは闇に消えるかするだろう。
追加取材：Zack Whittaker
[原文へ]
（翻訳：金井哲夫）
