CBPがオンライン広告エコシステムを利用して人々の動きを追跡

image 国土安全保障省（DHS）の内部文書が 404 Media によって入手されたところによると、税関国境警備隊（CBP）は、オンライン広告エコシステムからデータを購入し、時間経過に伴う人々の正確な移動を追跡している。このプロセスには、ビデオゲーム、出会い系サービス、フィットネストラッカーなどの一般的なアプリケーションからデータを汲み上げる行為がしばしば含まれる。

この文書は、オンライン広告データの力と潜在的なリスクを鮮明に示しており、政府機関が監視目的のためにこれをどのように活用できるかを明らかにしている。このニュースは、移民税関執行局（ICE）が近隣全体の電話の動きを監視できる同様のツールを購入した直後の出来事である。また、ICE は最近、公的調達文書において、捜査により多くの「Ad Tech」データを入手することに興味があると表明した。404 Media による ICE の購入に関する発表の後、火曜日に約 70 名の議員がグループを結成し、DHS の監督機関に対して ICE の位置データ購入に関する新たな調査を行うよう要請した。

広告データの売却に密接に関与しているアイルランド市民自由評議会（ICCL）の執行ディレクターであるジョニー・ライアン氏は、404 Media 宛ての電子メールで、「この種の情報は、あらゆる人の現在地や、彼らが何を読み、何を視聴し、何を聴いているかを追跡するための『金鉱』である」と語った。

CBP、ICE、またはロケーションデータ企業にお勤めの方はいらっしゃいますか？ぜひお話を伺いたいです。勤務用のデバイスではなく、ご自身の端末から、Signal で joseph.404 までメッセージを送るか、joseph@404media.co までメールをお送りください。

404 Media が入手した文書は、CBP が購入したロケーションデータが広告業界由来であることを初めて認めたものです。具体的には、CBP はそのデータの一部がリアルタイム入札（RTB）を通じて調達されたものであると述べています。アプリ内で広告が表示されるたびに、特定の人口統計層に自社の広告を配信したい企業同士がほぼ瞬時に入札を行うプロセスが発生します。このプロセスの副作用として、監視会社や彼らのために活動する悪質な広告会社がこの入札プロセスを観察し、携帯電話に関する情報、その位置情報さえもを抜き取る可能性があります。これらすべては、通常の電話ユーザーにはほとんど目に見えない形で起こりますが、絶えず行われています。

このような監視は、ビデオゲーム、ニュースアプリ、天気追跡アプリ、デートアプリなど、一見無害に見えるあらゆる種類のアプリケーションを通じて行われる可能性があります。404 Media は以前、RTB（リアルタイム・ビディング）に基づく監視が『Candy Crush』や『Subway Surfers』のようなゲーム、『Tinder』や『Grindr』といったデートアプリ、ソーシャルネットワークの『Tumblr』、そして人気フィットネスアプリの『MyFitnessPal』と関連していることを明らかにしました。多くの場合、アプリケーション開発者自身も、データ収集が作成者が自ら組み込んだコードに基づくものではないため、政府による監視の経路として機能していることに気づいていない可能性があります。その結果、捜査令状なしで数百万台の携帯電話を追跡できる可能性のあるツールが生み出されています。

「RTB 由来の位置データは、広告が配信されたときに記録されます」とドキュメントには記載されています。この文書はプライバシー閾値分析（PTA）であり、これは新しい技術を導入または検討する際に国土安全保障省（DHS）が完了を義務付けられている一種の記録です。404 Media は情報公開法（FOIA）に基づく請求を通じてこれを入手しました。

imageドキュメントの一部。画像：404 Media。このドキュメントは、オンライン広告業界がいかにしてこのような監視体制を生み出したかを明らかにしています。従来、マーケターはクッキーを使用して消費者の活動を追跡していました。しかし、2010 年代にスマートフォンやアプリが普及し、その効果が低下したことで、Apple と Google は各デバイスに割り当てられる広告 ID（AdID）を創設しました。これらは固有の識別子であり、個人の電話番号や氏名を含んでいませんが、オンライン広告業界がデバイスを追跡するための手段を提供します。ドキュメントによると、「これにより、アプリ開発者は、デバイスに関連付けられた個人を特定できる情報（PII）に接続したり使用したりすることなく、日付/時刻および位置情報を伴うデバイスの消費者活動を依然として追跡・報告することが可能になります」。

本質的に、AdID は個人のデバイスと位置データの間にあるデジタルの接着剤として機能し、マーケター、あるいは監視請負業者や国土安全保障省（DHS）が、一連の移動を特定のデバイスに紐付けることを可能にします。そこから調査官はジオフェンスを描画して、一定期間内の特定エリアにあるすべての携帯電話を確認できます。多くのスマートフォン位置データツールでは、当局者がこれらのデバイスがさらにどこへ行ったかを確認でき、所有者の居住地や勤務先、あるいは他の機密性の高い場所を明らかにする可能性があります。

「これはウェブサイトやアプリの裏側で動作し、すべての人を危険にさらします。リアルタイム入札（RTB）は世界最大のデータ漏洩です」とライアン氏は付け加えました。

CBP はコメント依頼に応じましたが、CBP が現在もこのようなデータを依然として使用しているかどうかを問う内容であり、最終的にはコメントを行いませんでした。

image文書の抜粋。画像：404 Media。この内部文書は、CBP が 2019 年から 2021 年にかけて実施した「パイロット」プログラムに関するもので、「CBP の標的化、審査、分析、および違法ネットワークの発見プロセスを支援するもの」とされています。文書には、「評価は、越境犯罪活動および/または特定されたテロリスト・犯罪者の前科に関連する広告 ID に焦点を当てる」と記載されています。

CBP はこの動きをパイロットプログラムと説明していましたが、後の国土安全保障省監察官室（OIG）の調査により、CBP と ICE の両方が非運用目的に限定しなかったことが判明しました。OIG は、CBP、ICE、および秘密警察がスマートフォン位置データを違法に使用したことを発見し、さらに CBP の高官が捜査目的もなく同僚を追跡するためにこのデータを使用したことも突き止めました。その後、CBP と ICE は位置データへのアクセスを繰り返し購入しました。

2020 年、ウォール・ストリート・ジャーナルは初めて、CBP（米国税関国境警備隊）と ICE（移民税関捜査局）が Venntel というベンダーから商用の位置データを購入したことを報じた。この報道によると、ICE はそのデータを使用して後に逮捕される移民を特定するのを助け、CBP はメキシコ国境にある砂漠地帯など、不自然な場所での携帯電話の活動を探るためにそのデータを利用していた。その後、FTC（米国連邦取引委員会）は Venntel が適切な同意なしに収集された位置データを違法に販売したことを発見した。

1 月、404 Media は、ICE が最近購入した同様のシステムである Webloc の仕組みを説明する資料について報じた。このシステムは、特定の都市の近隣地区やブロックで携帯電話を監視し、その後 ICE がこれらのデバイスの動きを追跡して、それらがたどり着く可能性の高い自宅や他の場所まで遡ることを可能にするものだ。その資料には、ツールを販売している Penlink 社がどのように位置データを取得しているかは明記されていなかった。しかし、広義の監視企業は、通常 RTB（リアルタイム・ビディング）を通じて、あるいは一般的なアプリケーションに埋め込まれたソフトウェア開発キット（SDKs）と呼ばれる小さなコードの束を通じて、このデータを入手している。

「監視企業や下品なデータブローカーとの関係を断ち切らない限り、ビッグテック企業は事実上、ICE の法を無視した暴力とテロのキャンペーンに協力することになる。その結果、ウェブサイトやアプリ上のあらゆるインターネット広告が、ICE が次の作戦で使用する位置データを収集している可能性がある」と、ロン・ワイデン上院議員は 404 Media に対して声明の中で語った。

「議会が私の法案を可決し、政府によるデータ購入の禁止と、テクノロジー企業が監視型広告を利用することを禁じることで、これを止めることができるでしょう。それまでの間、一般市民が自分自身を守る最善の方法は、広告ブロッカーをインストールし、スマートフォンの広告 ID を無効化し、ブラウザでグローバルプライバシーコントロールを有効にすることです。これは現在 12 の州で義務付けられています」と声明には追加されています。

火曜日、ワイデン議員、アドリアーノ・エスパーリャット下院議員、および他の 70 人の立法者たちは、国土安全保障省（DHS）の監察官室（OIG）に対し、DHS の位置データ購入を再度調査するよう求める書簡を送りました。

「公的な報告によると、ICE は DHS がまだ以前のレビューからのすべての勧告を採用していないにもかかわらず、位置データの購入を再開したと示されています」と、ワイデン議員事務所が 404 Media に共有した書簡には記されています。「2023 年の報告では、DHS 全体として商用位置データのコンポーネント使用を規律する方針がないことが指摘されました。DHS は 2022 年に商用データ作業部会を作成しましたが、2023 年 4 月時点で、DHS の商用データ作業部会は依然として方針を発行していませんでした。あなたの事務所は最近、この勧告が未解決のまま残っていると確認しました。」

書簡によると、ICE はワイデン議員の Webloc 購入に関する調査への協力を「妨害」しているとしています。404 Media が最初にこれを暴露した後、ワイデン議員事務所は購入に関するブリーフィングを要請し、そのブリーフィングは 2 月 10 日に予定されていました。「そのブリーフィングのちょうど前日、ICE は説明もなく、再スケジュールの提案もなしにそれをキャンセルしました」と書簡には記されています。

1 月、ICE は情報提供の要請を発表しました。これは、能力のある企業が名乗り出るよう呼びかける Essentially なもので、広告技術へのさらなるアクセスを求めていました。発表によると、「ICE は業界の商用ビッグデータおよび広告技術（Ad Tech）プロバイダーが調査活動にどのように直接支援できるかをよりよく理解するために情報を収集している」とあります。「政府は、規制上の制約やプライバシーに関する期待を考慮し、連邦調査・運用機関が利用可能な、調査活動支援に適合する現在の広告技術（Ad Tech）および位置情報データサービスの現状を理解しようとしている」とも付け加えられています。