アバストアンチウイルスがユーザーデータを収集し、Google や Microsoft に販売

調査によると、Mac および Windows バージョンのアバストアンチウイルスはユーザーデータの収集に使用されており、一部の機密情報は Google、Microsoft、Intuit などのサードパーティに販売されています。

アバストは、無料および有料の両方の形式で、さまざまなウイルス対策およびセキュリティツールを提供しています。このツールは人気があり、月間 4 億 3,500 万人を超えるアクティブユーザーが Mac、PC、モバイルデバイスでデータを危害から守るためにこのツールを使用しています。

アバストのソフトウェアは、そのサービスの一環として、同社が一部の種類のユーザーデータを収集し、子会社のジャンプショットを通じて販売することを許可するオプションを提供しています。アン調査による副そしてPCマグ漏洩したユーザーデータ、契約書、その他の文書の使用により、これらの販売の範囲と、同社が販売しているデータの範囲の両方が明らかになりました。

調査のために取得したデータによると、アバストが収集した情報は、Google 検索、位置情報の検索、Google マップからの GPS 座標、LinkedIn ページ、YouTube のビデオリストなど多岐にわたることが明らかになりました。さらに厄介なことに、匿名化されたポルノサイトの訪問記録には、ユーザーがサイトを訪問した日時だけでなく、場合によっては検索語句や視聴したビデオも含まれています。

データを匿名化する努力にもかかわらず、一部の専門家は、非常に特殊な閲覧データが身元を特定するために使用される可能性があると主張しました。

広い網

収集されるデータの量はアバストの消費者にはあまり知られていない可能性があり、調査では複数のユーザーが閲覧データの販売を知らなかったと報告しています。

子会社は1億台のデバイスのデータを保有していると主張しており、調査ではジャンプショットがアバストから収集したデータを多数の異なるパッケージに再パッケージ化していると主張している。これには、いわゆる「オールクリックフィード」オプションも含まれており、クライアントはユーザーの行動や Web サイト間の移動を追跡できるようにするために数百万ドルを支払いました。

顧客のリストには、Google、Yelp、Microsoft、Pepsi などの多くの大手企業が含まれています。

データの収集は最近まで、不審で悪意のある Web サイトについてユーザーに警告を与えるアバストのブラウザプラグインを介して行われていました。セキュリティ研究者で AdBlock Plus の作成者である Wladimir Palant 氏による 10 月のレポート明らかにしたこのプラグインは 10 月にデータ収集に使用されたため、Mozilla、Opera、Google はアバストの拡張機能へのアクセスを削除することになりました。

アバストは調査に対し声明で、拡張機能によって収集された閲覧データのジャンプショットへの提供を停止したと述べた。

調査ではさらに、情報源と漏洩文書から、アバストがブラウザのプラグインではなくウイルス対策ソフトウェア自体を介して収集を行っていることが判明しました。先週、内部文書により、アバストが無料のウイルス対策ツールのユーザーに対し、データ収集を再度オプトインするよう求め始めたことが明らかになりました。

「オプトインすると、そのデバイスはジャンプショットパネルの一部となり、ブラウザベースのすべてのインターネットアクティビティがジャンプショットに報告されます」と内部ハンドブックのテキスト行には記載されています。文書によれば、収集されたデータは、ユーザーがどの URL にアクセスしたか、いつ、どのような順序でアクセスしたかに関する質問に答えることができるという。

有利なデータ

データはアバストにとって大きな収入となります。 Jumpshot クライアントとの契約のコピーでは、あるマーケティング会社が 2019 年にデータアクセスに 200 万ドル以上を支払い、世界 14 か国の 20 のドメインに「インサイトフィード」を提供していました。

そのデータには、閲覧行動に基づいて推測されるユーザーの性別、年齢、個人を特定できる情報が削除された「URL 文字列全体」、その他の詳細が含まれていました。クライアントによる個人の特定を防ぐためにデバイス ID は「ハッシュ」されていますが、アバストツールを完全に再インストールしない限りユーザーのデバイス ID は変わらないため、時間の経過とともに 1 人のユーザーに関する大量のデータが蓄積される可能性があります。、将来的には身元が特定される可能性があります。

アバストは調査に対し、「当社のアプローチにより、ジャンプショットが当社の人気の無料ウイルス対策ソフトウェアを使用しているユーザーから名前、電子メールアドレス、連絡先の詳細を含む個人識別情報を取得しないことを保証します」と報告しました。同社は声明の中で、ユーザーにはデータ共有をオプトアウトする機能があり、2019年7月時点で「当社のAVのすべての新規ダウンロードに対して明示的なオプトイン選択の実装」を開始しており、既存のすべてのコンテンツは無料であると繰り返し述べた。ユーザーは 2020 年 2 月までに選択するよう求められます。

また、アバストは世界中のユーザーベース全体にわたってカリフォルニア州消費者プライバシー法とヨーロッパの GDPR を遵守していると主張しました。「当社にはユーザーのデバイスとデータをマルウェアから保護してきた長い実績があり、ユーザーのプライバシーと必要なデータ利用のバランスをとる責任を理解し、真剣に受け止めている」と声明で強調した。