Fingerprint追跡がCookieに取って代わる現実
原題: Fingerprints are the new cookies
なぜ重要か
広告業界がCookieからフィンガープリンティングへ移行することで、既存のプライバシー規制やユーザーの自衛手段の大半が無効化されるリスクが高まっている。
ブラウザのフィンガープリンティングが、第三者Cookie廃止の議論をよそに新たな追跡手段として台頭している。Googleは2020年にCookie廃止を宣言しながら2024年に撤回し、同年にはフィンガープリンティングを広告製品で公式に解禁。VPNやシークレットモード、Cookie削除では回避できない識別が技術的に可能であることを、開発者のRoy Fish氏が実演付きで解説した。
Roy Fish氏が公開したデモページは、サイトを訪問したユーザーに一意のニックネームをリアルタイムで割り当てる。Cookieを削除しても、VPNに接続しても、シークレットモードを開いても、同じデバイスである限り同じ識別子が返り続ける仕組みだ。
フィンガープリンティングの原理はシンプルだ。ブラウザがサーバーにリクエストを送った瞬間、使用ブラウザ・言語・OS・IPアドレスといった情報が自動的に渡る。さらにJavaScriptが実行されると、スクリーン解像度・フォント一覧・GPUレンダリング結果・音声処理の特性といったハードウェア固有の情報が組み合わさり、統計的にほぼ一意な識別子が生成される。
背景には明確な業界の動きがある。Googleは2019年ごろからCookieに関する批判を受け「プライバシー優先」を掲げ、2020年にはChrome上での第三者Cookie廃止を宣言。代替としてPrivacy Sandboxを開発したが、独占禁止法上の懸念が浮上し普及しなかった。結局2024年、Googleは廃止計画を撤回。同時期に、自社の広告製品でデバイスフィンガープリンティングの使用を正式に認める方針へと転換した。
ChromeとEdgeはフィンガープリンティングへの対策をほぼ実施していない。一方、FirefoxとSafari（特にiOS/macOS 26以降）は、JavaScriptが読み取れるハードウェア情報を意図的にあいまいにする「フィンガープリント保護」機能を段階的に実装している。
Fish氏が問題視するのは広告のターゲティングにとどまらない。複数サイトをまたいだ追跡データが蓄積されれば、氏名・行動履歴・AIとの会話内容などと結びつき、「友人よりも本人を深く知るプロファイル」が形成されうると指摘する。そのデータは最高値をつけた買い手に売られる構造であり、ユーザー個人ではなく「パターンの集合体」として扱われる点に本質的な問題があると述べている。