閲覧履歴は自分が以前のページを探すのに便利ですが、 端末やアカウントに入り込んだ人にも手がかりを与えます。 訪問先と時刻から、使っているサービスや職場の内部サイトが 推測できることがあります。ただし、どのサイトも閲覧履歴を 丸ごと読めるわけではありません。どうアクセスしたかが重要です。
履歴の情報は下調べや、もっともらしい偽メールの材料になります。 もっとも、URL 一つで訪問者の意図まで分かることはまれです。 この記事では保存場所、正当な利用者や攻撃者による取得経路、 漏えいを減らす方法を説明します。端末内の履歴と、 サイト、通信網、遠隔ブラウザの事業者が保有する記録も区別します。
閲覧履歴から分かること
閲覧履歴は単なるリンクの一覧ではありません。ブラウザによっては、 ページのアドレスや題名、訪問時刻や回数、移動経路の一部も記録します。 URL から社内の管理画面、共有文書、調べた話題が分かることがあります。 それだけでは閲覧時間、端末を使った人、開いた理由は分かりません。
職場の履歴なら、取引先の窓口や管理用の道具、非公開の試験サイトを 示す場合があります。個人の端末なら、金融サービス、旅行、健康に 関する関心を推測されるかもしれません。ただし、いずれも推測です。 共有端末、誤って押したリンク、他人のために開いたページなら 意味は変わります。
この情報を得た人は、より信じやすい偽メールの内容を考えられます。 MITRE ATT&CK は、侵害後に行われるブラウザ情報の収集を記録しており、 悪意あるソフトウェアが履歴を集めた例も挙げています。 これは攻撃経路の証拠であって、多くの詐欺メールに履歴が 使われているという証拠ではありません。
第三者が履歴を取得する経路
普通のウェブサイトは、端末内の閲覧履歴を丸ごと照会できません。 取得経路には、端末やブラウザのプロファイル、同期したアカウント、 権限を持つ拡張機能、サービスや通信網が別に保有する記録があります。 記録の範囲はそれぞれ異なり、一つを消してもほかの記録まで 必ず消えるとは限りません。
認められたアクセスには、本人が自分の プロファイルを見る場合、組織が定めた規則に従って管理端末を 調べる場合、事業者の記録が法的手続きで求められる場合などが あります。事業者が何を保持し、当局が何を取得できるかは、 サービスと法域によります。通信事業者の接続記録は、 ブラウザの履歴ファイル全体とは別物です。
不正なアクセスは、端末やアカウントの侵害、 悪意ある拡張機能によって起こり得ます。Chrome と Firefox では、 拡張機能が履歴用 API を使うには履歴への権限を求める必要があります。 別の権限で対象サイト上の操作が分かる場合もありますが、 それだけで保存済みの履歴全体を読めるわけではありません。 各拡張機能が何を読めるか確認してください。
同期が有効なら、ログイン中のアカウントやほかの端末からも 履歴を見られる場合があります。Chrome の案内には、 同期された履歴の表示と削除方法が書かれています。 アカウントに別途保存された検索履歴には、別の操作が必要なことも あります。端末内の記録を消すだけで全ての記録がなくなると 考えず、設定を確認しましょう。
三つの想定例
履歴が漏れた場合の悪用方法を考えるための想定例です。実際の顧客や事件、測定結果を紹介するものではありません。
企業の計画に関する手がかり
製品担当者の職場の端末がロックされておらず、アクセスできる人が 履歴データベースをコピーしたとします。訪問先から試験用サイト、 取引先の窓口、業務で使う道具が推測されるかもしれません。 さらに調べるための手がかりにはなりますが、 ログイン後の内容や秘密の交渉結果までは分かりません。
端末へのアクセスを守り、機密性の高い作業には適切なプロファイルを 使うことが大切です。遠隔ブラウザ内での訪問は、通常のローカル履歴に 残さずに済みます。ただし遠隔サービスや訪問先には、 それぞれの記録が残る場合があります。
健康に関する訪問を利用した偽メール
家族で使う端末に入り込んだスパイウェアから、 医療機関のサイトへの訪問が分かったとします。 攻撃者はその医療機関の請求担当を装ったメールを作れます。 訪問情報によって内容はもっともらしくなりますが、 誰がサイトを見たか、受信者が応じるかまでは分かりません。
可能なら私用と仕事用のアカウントを分け、端末を守り、 依頼は以前から知っている連絡先で確認しましょう。 別のブラウザセッションは端末内の情報の結び付きを 減らせますが、巧妙な偽の依頼を無害にはできません。
訪問記録の保管先が漏れた場合
サイトの利用状況を調べるために訪問記録を集めるサービスは、 人々の行動に関する別の記録を作ります。アクセス制御に不備があれば、 氏名を除いたデータでも機微な関心が表に出るかもしれません。 個人を特定できるかは、記録の詳しさと、 照合できる別の情報によります。
必要な情報だけを集め、アクセス権と保存期間を限定し、 適用される個人情報保護上の義務を確認します。 活動記録を保存する事業者の責任を、 ブラウザの隔離で置き換えることはできません。
履歴ファイルの中身
Chromium と Firefox は、端末内のプロファイル用データベースに閲覧情報を記録します。構造は異なり、削除後の復元可能性はブラウザや記憶装置、設定、経過時間によって変わります。
| テーブル | 主なカラム | セキュリティ上の意味 |
|---|---|---|
| urls | url, title, visit_count, typed_count | 記録されたアドレスと回数を示します。typed_count だけで入力した人は分かりません。 |
| visits | visit_time, from_visit, transition | 訪問時刻と一部の移動関係を示しますが、全てのクリックを追えるとは限りません。 |
| downloads | target_path, tab_url | 保存先と関連するタブが分かる場合があります。ファイル本体ではなく付随情報です。 |
| keyword_search_terms | keyword_id, lower_term | 対応する検索サービスで入力した語が含まれる場合があります。全ての検索を記録するわけではありません。 |
Chromium のコードには 訪問データの項目が記されています。Firefox の別ファイル places.sqlite はMozilla の資料で確認できます。 消した情報が必ず復元できるとは限りません。端末の暗号化は、 他人が開けない端末の保護に役立ちますが、自分のアカウントで 動くプログラムから読める情報までは守れません。
履歴に関心を持つ相手
活動記録を集めたり求めたりする理由は相手によって異なります。 アクセスできる範囲も保有する記録も同じではありません。 まず端末内の履歴、同期された写し、サイトや通信網の 別の記録を誰が見られるか整理しましょう。
広告主やデータ仲介事業者は、 自社のサイト、計測用の仕組み、アプリ、拡張機能を通じて 活動を集めることがあります。集めた情報は利用者の分析に 使えますが、端末内に保存された履歴全体の写しとは限りません。
侵入者が端末やプロファイルに入れば、 社内の道具、アカウントのサイト、ほかの手がかりを探せます。 MITRE は侵害後の情報収集として記録しています。 得た手がかりを偽メールに使うことは可能ですが、 履歴に載るサイトへ必ず入れるわけではありません。
職場で端末にアクセスできる人は、 組織の規則に従って管理端末や共有端末の閲覧記録を見る場合があります。 訪問先から業務の道具や取引先が分かるかもしれませんが、 製品の発売日や交渉内容までは確定できません。
捜査機関などが、押収した端末や 事業者から記録を得る手続きもあります。 取得できる範囲と記録の意味は、個別の法的・技術的な 検討が必要です。
履歴を守る方法
ウェブへの訪問記録を全て消すことはできません。 それでも、自分で管理できる写しを減らし、 アクセスを守る方法はあります。次の三点を検討してください。
残す情報を選ぶ。履歴の同期設定を確認し、 用途ごとにプロファイルを分け、不要になった端末内の履歴を 消しましょう。Chrome で同期された履歴を消すと、 同期先の端末にも反映されます。別に保存された検索活動には 追加の操作が必要な場合があります。
必要な閲覧を分ける。遠隔ブラウザ内で 訪れたページは、通常のローカル履歴に残さずに済みます。 ただし Browser.lol に入るためのページは別です。 同社はセッションの付随情報を保持する場合があり、 保存済みプロファイルにはブラウザの状態が残ります。 訪問先、ダウンロード、ログイン先にも記録が残り得ます。
アクセスを守る。端末の暗号化と画面ロックを使い、 拡張機能の権限を見直し、閲覧情報を同期するアカウントを守ります。 組織では管理端末やバックアップが保持する履歴も調べられます。 暗号化は紛失した端末に役立ちますが、既にアクセスできる プログラムやアカウントへの対策にはなりません。
自分の履歴を確認する
ブラウザとアカウントに残る情報を短時間でも確認できます。必要な時間は、使うプロファイルや端末の数によって変わります。
- 1
ブラウザの履歴画面を見る
Chrome では chrome://history、Firefox では履歴メニューを開きます。 同じプロファイルの利用者に見せたくないサイトがないか確認します。 どちらも履歴を一押しで書き出す画面ではありません。 - 2
同期とアカウントの活動を確認する
履歴の同期設定と、そのアカウントを使う端末を調べます。 アカウント側にあるデータの写しが必要なら、Google の書き出し方法など、 事業者の手順に従ってください。 - 3
機密性の高いアドレスを探す
内部サイト、共有リンク、URL に含まれる情報を確認します。 多くの人が使えるプロファイルに残すべきか検討しましょう。 訪問記録だけで読んだ内容までは証明できません。 - 4
拡張機能とプロファイルへのアクセスを見直す
不要な拡張機能を削除し、履歴や広い範囲のサイトへの 権限を求めるものを確認します。端末を解除したり、 同じプロファイルを使ったりできる人も調べます。 - 5
不要な写しを削除する
ブラウザの機能で不要な履歴を消し、作成した書き出し ファイルも削除します。特に SSD や 同期されたバックアップでは、ファイル削除コマンドで 復元不可能になるとは保証できません。 - 6
今後の訪問に別の環境を選ぶ
分ける必要がある場合は、適切なローカルプロファイルや 遠隔ブラウザを使います。機密情報を入力する前に、 事業者の保存方針とプロファイル設定を確認してください。
技術的に詳しく調べるなら、Chromium の History ファイルや Firefox の places.sqlite を適切な道具で確認できます。 ブラウザを閉じてから作った写しで作業するのが安全です。 構造と記録の完全性は版によって異なります。 Browser.lol には遠隔セッションの履歴を書き出す機能は ありません。保存済みプロファイルとアカウントの記録は、 実際に提供される機能で確認してください。
閲覧履歴を大切な情報として扱う
履歴は便利なページを探す助けになりますが、端末やアカウントを 侵害した人にも手がかりを与えます。不要な写しを減らし、 用途を分け、アクセスを守れば危険を下げられます。 遠隔セッションは記録が残る場所を変えるもので、 訪問の痕跡を全て消すものではありません。
ブラウザ、同期アカウント、拡張機能が何を保管しているか 確認しましょう。次に、別のプロファイルや遠隔セッションで 行う訪問を決め、各サービスの記録の扱いを確かめます。 痕跡が全く残らないと期待するより、確かな対策です。
