続・国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している

Smoozには前回の記事で詳しく紹介しきれなかった機能があります。

それがおすすめ記事というものです。
これがオンになっていると、閲覧しているサイトの末尾に、アスツール社の提示するおすすめ記事と広告が付け加えられるものです。ページの一番下までスクロールしないと出てこないので気付いてない人もいるかと思います。

この機能を有効にして、うちのサイトを表示すると下のようになります。

▼おすすめ記事

私のコンテンツは黒線の上まで。その下からが本来のページには存在しないSmoozの付け足したコンテンツになります。Gigazineの記事や広告が並んでいるのがわかるはずです。

これについて通信内容を解析してみると、 ml.api.smoozapp.com に対しての通信が該当していることがわかります。

▼ml.api.smoozapp.com

/recommend/pagesとあるので、おすすめ記事のことだとわかりやすいですね。

▼通信内容

私のiPhoneから ml.api.smoozapp.com に対して送信されたリクエスト内容がこれです。
黒塗りの部分は長すぎたので途中を省略してあります。どうせ読めない文字列なので。

項目は5つ。
・URL
・ユーザーID
・bcと呼ばれるもの（読めない）
・btと呼ばれるもの（読めない）
・bdと呼ばれるもの（読めない）

そう、 favicon.api.smoozapp.com 以外にもユーザーの閲覧情報が送信されています。おすすめ記事はデフォルトでオンになっているので、この機能はほとんどの方がお使いになっているはずです。
なにかのページを表示するたびに、アスツール社のサーバーへそのURLが送信されます。

しかもこれサービス利用データの提供がオフになっていても、ユーザーIDと一緒に送信されています。
いったい何の提供がオフにできるのでしょうか。

アスツール社の声明に対して

アスツール社からの説明が公開されました。
Smoozにおける情報の取り扱いについて | Smooz Blog

この説明で納得できるか納得できないかはそれぞれのご判断にお任せします。
実際にこれからどう変わっていくかが問題なので、Smoozのこれからを注視していく必要があるでしょう。

この問題の根幹にあるのは、ユーザーの情報を第一に「守るべきもの」だと考えているか「利用していいもの」だと考えているかの意識の差にあります。
私たちは自分の情報を守りたいので無駄な情報を送信をしたくない。
アスツール社はユーザーの情報を利用して便利な機能を実現したい。

上で紹介したおすすめ記事機能なんかはわかりやすい例ですね。
表示しているページに対するおすすめ記事を提案するために、アスツール社はユーザーが見ているページのURL情報を利用しているわけです。
どんなページを見ているのかがユーザーの知らぬ間に送信されています。
その対価として、おすすめ記事と広告が追加されると。

どんなページを見ているかが全部送られてしまうなんて、とてもじゃないけれど割に合わないとは思いますが、アスツール社はそれが必要だと思って開発したのでしょう。
その機能を実現するために、どういう情報が送信されているかをユーザーに提示しないのも彼らの選択です。

何を与えればどのような見返りがあるのか、与えた情報はどの用途に使われ、使った後にどう処理されるのか。そこを明確にしないまま、ユーザーの情報を利用していた。それが間違いなのです。

アスツール社はこう説明しています。
「ご利用者様のプライバシーを侵害するデータの収集を目的とするアプリではございません」

私が前回の記事で書いてきたのは、アスツール社が不正なデータ収集で個人のプライバシーを侵害している、なんてことではありません。
ユーザーの情報がどのような機能を実現するために外部送信されているのか。またそれは妥当であるのかということです。

例えば地図アプリで現在地情報を見たいとき、ユーザーは現在地情報を渡す代わりに、周辺の地図を得ることができます。対価として返されるメリットが大きいものであればユーザーは納得して使うでしょう。しかし、そうしたくない人のためにはパーミッションが用意されています。情報を渡すことと対価が見合わないのであれば拒否することができる。もちろんアプリを使わないというのも必要な選択です。

Smoozではfaviconを取得するという機能と引き換えに、閲覧情報がアスツール社に送信されています。これははたしてユーザーにとって釣り合いが取れたものなのか。
ユーザーの情報を利用するのであれば、目的や理由を明確な形でユーザーに提示できるべきだと私は考えています。
しかしアスツール社はどのような目的でユーザーの情報を扱ってきたのか示してきませんでした。

今回の騒ぎが起きてから、favicon取得のために送信された閲覧情報は「サーバーのデータベース等には残しておりません」とアスツール社が説明をした。
faviconはわかった。
では、 ml.api.smoozapp.com に対して送信されるユーザーIDと閲覧情報はどうなのだろうか？
何を記録していないかではなく、何を記録しているのかを教えてくれないとこの話は終わらないだろう。

サービス利用データの提供について、私は明確なアクションを起こしています。

「オフ」

それでもユーザーIDと閲覧情報が送信され続けている。
それがデータベースに残されているかを問題にしているのではありません。
サービス利用データの提供をしないと宣言をしているのに、送信が止まらないことについてです。

「提供」を辞書で調べると「相手に役立ててもらうために差し出すこと」という意味だそうです。

Smoozではサービス利用データの提供をオフにすることが、サービス利用データを差し出さないことに結びついていません。
ユーザーIDと結びつけられた情報はサービス利用データそのものでしょう？

おわりに

自分の情報がサーバーに送られた後、どのように使われるかは私たちには一切わかりません。だから信頼できる相手かを見定める必要があります。
渡した後はすべて信頼してお任せするという白紙委任状です。

「情報は適切に処理しますし、あなたのプライバシーは守られます」という宣言をするのはとても重くて、それを相手に信頼してもらうためには十分な説明が必要になる。
場当たり的に「あの情報は保存していません」ではなく、このアプリではどの機能を実現するためにどういったユーザー情報を要求しているのか。それを提示できない限りは、ユーザーは自分の情報が不正に盗まれて続けていると感じることでしょう。

蛇足として、前回の記事で不信感を抱いた理由の1つとして、おすすめ記事機能について以下のように書きました。

・広告非表示のポリシーをもつサイトに対しても、『おすすめ記事』という名目で、他人のWebコンテンツに対して別記事へのリンクや広告も付け加えてくること。（これをアプリのUIで行うのならまだ理解できるが、他人のWebコンテンツと一体に見えるように自分の広告を挿入してくるのは改ざんでしかない。他社サイトに対して勝手に自社コンテンツを混ぜ込んでも大丈夫だと思ってるならそれは大きな間違い。）

ここにもうひとつの視点を追加しておくと、このアプリではSmoozプレミアムという年3,300円のサービスに入ることで広告を消すことができます。
これのすごいところは、アスツール社が提供する広告だけじゃなくてWebサイトの広告まで消してくれるアドブロッカーの機能を提供していることです。

無料ユーザーが使うときには、他人のサイトに自分の広告を埋め込んで、
有料ユーザーが使うときには、他人のサイトの広告まで消してしまう。

なんとも最強です。
もうちょっと自分以外の利益についても心を寄せていただきたい。

【12月20日17時追記】
新たな問題が発覚したので、記事を書きました。
続・続・国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している

今日の音楽

テレビ番組、関ジャム 完全燃SHOWでKREVAが紹介して話題となったMidiコントローラー、MIDI Fighter 64を使いこなすクリエイターShawn Wasabi。
（MIDI Fighter 64の開発も彼らしい）

様々な音源をマッシュアップし、ポップでキラキラとした楽曲は日本人にも好まれるだろう。まるで魔法だ。
聞き覚えのある音源が混ざっているかも。

Shawn Wasabi – Marble Soda

YouTubeの概要欄には使用した楽曲の一覧があるけれど、その量は圧巻です。
もうひとつの、どうぶつの森をテーマにしたボーカル曲はポップでキュート。どちらも大好きです。

Shawn Wasabi – ANIMAL CROSSING feat. Sophia Black