11月28日、アイルランドのデータ保護委員会（DPC）は、一般データ保護規則（GDPR）違反があったとして、Facebookの親会社であるMeta社に対し、2億7700万ドルの制裁金を科しました。
攻撃者はセキュリティの脆弱性を悪用し、長期にわたって5億3,300万人以上のユーザーデータを取得していました。
同局がMeta社に制裁金を科すのは今回で4回目です。DPCが同社に科した制裁金は、累計で10億ドル弱に達しています。
何が起きたのか？
2021年4月、ハッキングフォーラムに5億3,300万人分以上のFacebookユーザーの個人データが公開されました。
流出したデータには、米国3,200万人、英国1,100万人を含む、106カ国のユーザー情報が含まれていました。具体的には、携帯電話番号、Facebook ID、氏名、生年月日、一部のメールアドレスなどです。
悪意のある攻撃者は、2018年から2019年にかけて、連絡先インポートツールの脆弱性を悪用し、長期間にわたりユーザーデータを自動収集していました。Facebook側は、この脆弱性はすでに修正済みであり、プラットフォームへのハッキングではなく、公開APIを利用した「スクレイピング」であると主張しています。
2018年5月のGDPR施行に伴い、DPCはFacebookの検索機能や連絡先インポート機能などの調査を行いました。その結果、設計段階からのプライバシー保護（Privacy by design – GDPR第25条第1項）および初期設定でのプライバシー保護（Privacy by default – GDPR第25条第2項）において、技術的な不備が認められました。DPCによると、Facebookはスクレイピング攻撃を防ぐ製品設計を行っていなかったとされています。
制裁金に加え、DPCはMeta社に対し3カ月の猶予期間を設け、個人データの取り扱いをGDPRに適合させるための措置を講じるよう命じました。
スクレイピングとは？
ウェブスクレイピングとは、インターネット上の情報を自動で収集する技術のことです。通常、ウェブサイト上での人間の行動を模倣するボットを使用して、コンテンツを自動的に抽出します。
検索エンジンや市場調査など、正当な目的でスクレイパーボットが使われる一方で、セキュリティの脆弱性やAPIを悪用して個人データを収集する悪質なボット開発者も存在します。
スクレイピングは「新たなハッキング」
現在、ウェブトラフィックの過半数（57%）をボットが占めています。ウェブスクレイピングに悩まされているのはFacebookだけではありません。2021年4月にFacebookのデータ流出が発覚した直後、音声SNSのClubhouseでも、APIを通じて大量のユーザー情報が流出したと報じられました。
また、その直後にはLinkedInもスクレイピング攻撃を受け、5億人以上のユーザーデータが公開API経由で取得されました。
多くの場合、このような自動データ収集はSNSの利用規約に違反しており、Facebookは過去に複数の企業を提訴しています。
しかし、現状は明らかです。多くの公開APIやデータが存在する今日、悪意のある攻撃者にとって、従来のようなシステムへの「ハッキング」は不要になりつつあります。すでにアクセス可能なデータを自動で収集し、必要に応じて結合するだけで、数百万人の完全なデータセットを手に入れることができるのです。
スクレイパーボットから会社を守るには
スクレイピング攻撃から自社を守るには、ボットを検知するソフトウェアの導入が不可欠です。fraud0がお手伝いします。当社のソフトウェアはボットをリアルタイムで検知・ブロックし、Webサイトへのアクセスを防ぎます。
