- インターネットを閲覧していると「詐欺まがいの悪質な広告」が増えています。
- 対策の1つとして「広告ブロッカー」がありますが、どの広告ブロッカーを選ぶかは難問です。
- 広告ブロッカーの要求するアプリ権限は大きいため、開発元が不審な動作を加えないかチェックする必要があるからです。
1. 広告ブロッカーの技術的なアプローチ
広告ブロッカーには、大きく2通りのやり方があります。
「コンテンツフィルタリング」による広告ブロックは、ウェブページの内容を解析して広告を識別しブロックします。
一方、「DNSフィルタリング」は、広告配信サーバーのドメインへのアクセスを遮断します。
大まかに言えば、ページを見ているか、ドメインを見ているか、という違いです。
いずれもインターネット通信の途中に割り込んで、ブロックの処理をします。
1-1. ブラウザ拡張機能のコンテンツフィルタリング
パソコンで「広告ブロッカー」を使う場合、ブラウザに拡張機能を追加する方法がよく知られています。
ブラウザ拡張機能として動作する広告ブロッカーは、強い権限を持っています。
「コンテンツフィルタリング」といって、表示しているページ内容を見て、広告部分を削除する仕組みだからです。
- 広告を識別して削除したりページの表示を変更したりするために、ウェブページの内容を読み取り変更する権限を持っています。
- 広告サーバーへのリクエストをブロックするために、ブラウザのネットワーク通信を監視し制御する権限もあります。
- 特定のサイトでの広告ブロックの設定を記憶するために、ブラウザの履歴やブックマークにアクセスする権限を持つこともあります。
- さらに、一部の（主に無料の）広告ブロッカーは、広告ブロックの精度を向上させる名目で、ユーザーのブラウジングデータを収集する権限を要求することもあります。
これが悪用されると、ウェブサイトの情報が漏洩したり、不正な操作が行われたりする可能性があります。
広告ブロッカーに権限を与えることは、「鍵を預けるようなもの」だと言えます。
「その気になればオンライン上の生活すべてを監視できるプログラム1」なのです。
1-2. ブラウザ内蔵のコンテンツフィルタリング
スマートフォンのブラウザアプリでは、通常 機能を拡張する仕組みが用意されていません。
これはセキュリティを重視した設計だからです。
その代わりに、もとから広告ブロック機能を内蔵させたブラウザ アプリが公開されています（たとえば、Braveなど）。
ブラウザ内蔵の広告ブロッカーと同様で、「コンテンツフィルタリング」です。
つまり、暗号化されたHTTPSサイトも含めてウェブページの内容を解析し、広告や追跡スクリプトを識別してブロックします。
アプリそのものに組み込まれているため、より強力な機能・権限を持っていると言えます。
やっていることはブラウザ拡張機能の場合とほぼ同じですね。
ちなみに、Braveには、ユーザーの同意のもとでプライバシーを尊重した広告を表示する独自の広告システムもあります。
1-3. VPNアプリのDNSフィルタリング
「DNSフィルタリング」は、システムに組み込まれるとデバイス内のどのアプリでも広告が表示されなくなります。
たとえば VPNアプリの機能として提供され、デバイスの全てのインターネット通信を管理する過程で、広告ドメインへのリクエストを遮断するのです。
「DNSフィルタリング」は、通常のDNSサーバーの代わりに、広告ドメインのリストを持つ特別なDNSサーバーを使います。
広告ブロッカーのDNSサーバーは、ドメイン名をIPアドレスに変換する過程で動作し、広告ドメインへのリクエストを無効なアドレスに付け替えるのです。
DNSフィルタリングは、ブラウザだけでなく、デバイス全体で機能します。
ただし、HTTPS通信の内容を詳細に分析できるわけではないため、効果が限定的な場合もあります。
DNSフィルタリングはドメイン単位で機能します。
そのため、たまに必要な情報までブロックされてしまうこともあります。
同じドメイン内の正常なコンテンツまでブロックされたり、広告に依存するサービスが正常に動作しなくなったりすることがあるのです。
また、DNSサーバーは、「インターネットの道案内」。
信頼性が重要です。
もし、DNSサーバーに悪意があれば、偽サイトに誘導されても気づけないからです。
2. 悪質な広告であってもサンドボックス内で動作している
広告が我慢できない人もいれば、広告ブロッカーのリスクを避けたい人もいます。
結局のところ、広告ブロッカーを使うかどうかは、個人の状況や価値観によります。
ただし、判断に迷うときには、危険性を比べてみることが大事です。
「悪質な広告ブロッカー」と「悪質な広告」のどちらが危険なのか、という問題です。
危険性の観点では、「広告の方がまだマシ」と言える理由があります。
悪質な広告であっても、その JavaScript はブラウザの制限の中で動いているからです。
ブラウザには、「サンドボックス」という制限された環境でプログラムを実行する仕組みがあります。
ウェブサイトのJavaScriptはブラウザのサンドボックス内で動作しています。
悪質な広告は、偽の警告を全画面で表示したり、警報音を鳴らしたりして脅かすことはできます。
しかし、こっそりファイルやパスワードのデータを盗み取ったりはできません（ブラウザに不具合がなければ）。
悪質な広告のJavaScriptが引き起こす被害は一定の範囲に抑えられています。
もちろん、被害に遭ってしまうケースもありますが、広告ブロッカーほどの強い権限はありません。
つまり、悪質な広告にだまされない「リテラシー」を身に付けていくことが王道なのかもしれません。
ちなみに、拡張機能の権限も「無制限」というわけではありません。
開発者が宣言した権限の範囲内でのみ動作する仕組みだからです。
ただし、一般的なウェブサイトと違って他のウェブサイトの情報にアクセスできる点が重要です。
3. 広告ブロッカーのビジネスとしての脆弱性
重要なのは、いずれの場合でも広告ブロッカーを利用する場合には大きなアクセス権限を与えることになるという点です。
そのため、信頼できる開発元のものを選ぶことがとても重要です。
（無料で配布されている拡張機能の場合は特に）
ところが、広告ブロッカーの場合、この「信頼できる開発元」という条件が特に難しいという問題があります。
3-1. どのタイミングで収益を得るの？
「開発元が信頼できるか」の判断材料の一つは、ビジネスとしての継続性があるかという点です。
その点、広告ブロッカーは不利です。
アプリの性質上 ネット広告を表示することで収益を上げられないからです。
この点がほかの無料アプリと大きく異なります。
そのため、アプリ開発を継続するための費用は、利用者から集めなければならないはずです。
アプリの販売や定額プランの提供。
そして、利用データの売買です。
プライバシーポリシーにおいて、閲覧履歴などのデータを外部に販売できるようになっていないか確認することが大事です。
この注意点は、無料のセキュリティアプリでも同様です。
3-2. 大手企業と広告ブロッカーの難しい関係
もちろん、資金力がある大きな企業であれば、１つのアプリだけで利益を出す必要はないかもしれません。
長く続いている企業なら信頼できそうです。
しかし、広告ブロッカーには既存のビジネスの仕組みと衝突する性質もあります。
というのも、大きな企業は広告を出す側であることが多いため、広告ブロッカーとは利害が対立する可能性があるからです。
例えば、Googleのような大手IT企業は広告収入を主な収益源としているため、広告ブロッカーとは相容れない立場にあります。
また、企業規模が多くなるほど、ほかの企業との関係性も考慮してビジネスを展開する必要が出てきます。
そのため、広告ブロッカーの開発や販売は「割に合わない」ビジネスになってしまうのです。
電機メーカーがテレビ局との関係で「CMカット機能」付きのビデオレコーダーの販売を控えていた2構図と似ていますね。
3-3. 無償のアプリが買収・乗っ取りに合うリスク
どうして開発元に社会的信頼とか資金力が必要なの？
技術力があれば個人でもいいじゃない？
確かに、善意の個人開発者が無償で広告ブロッカーを作っているケースもあります。
しかし、この問題をややこしくしているのは、アプリの開発者が変わってしまうことがありうるからです。
実際に過去には開発者が変わり、アップデートによって広告ブロッカーがマルウェアに置き換えられてしまった事例があります3。
個人開発の広告ブロッカーが人気を集めると、企業から買収の話が来ることがあります。
開発者にとっては一獲千金のチャンス。
長年の努力に対する買収提案は魅力的に映ってもおかしくありません。
そのため、個人から営利企業に広告ブロッカーの所有権が移ることがあります。
しかし、新しい所有者は必ずしもユーザーの利益だけを考えるとは限りません。
考えられるシナリオとしては、ユーザーデータをこっそり収集したり、特定の広告を許可したりするような変更を加える可能性があります。
最悪の場合、犯罪組織が買収して、アップデートによって悪意のあるコードを埋め込みブラウザを乗っ取ってしまうことも起こりうるのです。
不正アクセスで開発者のアカウントが乗っ取られた場合でも、悪意のあるコードが混入されるかもしれません。
しかも、買収や乗っ取りなどで開発者が変わってしまっていても、利用者側は気づきにくいのです。
もちろん、このような懸念はどんなアプリでもあります。
しかし、広告ブロッカーの場合は、広告による収益化ができないにもかかわらず、強力なアクセス権限を要求する点で、外部からの浸透リスクが高いと言えます。
つまり、アプリが「ビジネス」として循環していないと継続していくのは難しいのです。
（補足）
- Yuki27183
- レコーダーのCMカット機能中止問題について各社に聞いた – PHILE WEB（2011/02/10）
- Chrome向け広告ブロッカーが突如マルウェアへと変貌、アンインストールを呼び掛け中【やじうまWatch】 – INTERNET Watch（2020年10月19日）
