EU金融機関がCookieトラッカーを通じて顧客データを漏洩させている：Jscramblerが報告

EU金融機関がCookieトラッカーを通じて顧客データを漏洩させている：Jscramblerが報告

Dark Reading – July 22, 2026

ヨーロッパや米国の金融機関は、Webページ上のトラッキングピクセルを通じて意図せず顧客のデータを広告プラットフォームへ転送してしまっているという。コンプライアンス・セキュリティ・プライバシー上のリスクとなり得るこの問題について、Jscramblerが報告した。

Jscramblerが7月22日に公開したブログ記事によると、金融機関がCookieトラッキングテクノロジーを通じて顧客データをサードパーティの広告プラットフォームやアナリティクスプラットフォーム、パーソナライズプラットフォームなどへ漏洩させる「パターン」が存在し、これらの機関は漏洩に気づいてすらいない可能性があるという。多くの場合、データはユーザーが同意を選択する前にブラウザを離れているほか、ユーザーがトラッキングテクノロジーを拒否した後も引き続きデータが送信され続けるケースもあるとJscramblerは述べている。こうしたデータの行き先には、GoogleやMeta、TikTok、LinkedIn、AdSafety、Salesforce、Adobe、Yextなどのサードパーティプラットフォームが含まれるとされる。

Jscramblerが例として挙げたスペインのある銀行のケースでは、住宅ローンの申し込みページからTikTokへ顧客データが転送されていた。この銀行の住宅ローンページを訪れたユーザーは、住宅ローンの申し込み手続き中にCookieの「承諾」「設定」「拒否」という通常の選択肢を提示される。ユーザーがこれを承諾したところ、住宅ローンページに埋め込まれたiframeからTikTokのピクセルエンドポイントへのリクエストを通じて、ユーザーのハッシュ化されたメールアドレスと電話番号がTikTokに送信されたという。しかしTikTokは、当該銀行のCookieポリシーやプライバシーポリシーにベンダーとして記載されていない。このため、顧客はこれらのポリシーを読んだとしても、Cookieの承諾によってハッシュ化された詳細情報がTikTokに送信されることを知る術がない。

Jscramblerが紹介したまた別の事例は、ポルトガルの銀行に関するもの。この銀行は個人データにハッシュ処理を一切施しておらず、口座開設フローの過程で、トラッキングピクセルがEvergage（現Salesforce Interaction Studio）にリクエストを送信したが、そのリクエストURLにはユーザーのメールアドレスが含まれていたとされる。その後、同じフローの次のステップで、「顧客の氏名、年齢、ポルトガルの納税者番号（NIF）、およびSalesforce Marketing Cloudのコンタクトキー」を含む追加の個人データがEvergageへ送信されたという。

さらに、あるポルトガルの消費者向けクレジット提供業者のページが、融資額、期間、保険の選択の有無など、重要な金融情報がエンコードされた状態で含まれた、融資申込フォームの完全なURLをGoogle Analyticsに送信していたケースなども紹介されている。このように、トラッカーによって広告主に極めて機微性の高いデータが送信される事例がいくつかあるという。

この問題の責任の所在について、TikTokやMetaは過去に、これらのトラッカーの設定は広告主が行うものであり、主な責任はウェブサイト運営者、つまり銀行自身にあると指摘していた。しかしJscramblerはこの見解に異議を唱えており、大量のデータがこれらのテック大手企業に転送されることを可能にするデータ制御機能の多くが、デフォルトで有効になっていると主張。銀行がWebページに埋め込んでいるのはあくまで標準的なトラッキングピクセルであり、銀行が自ら意図的に、住宅ローンページから顧客のハッシュ化されたメールアドレスや電話番号をサードパーティへ送信するような設定にしているわけではないと述べた。不適切なデータ収集については、すべての当事者に共通する責任であるものと思われる。

さらに、これは単なる倫理上の問題というわけではなく、GDPRやDORA（デジタルオペレーショナルレジリエンス法）、ePrivacy指令、改正決済サービス指令（PSD2：Payment Service Directive 2）といったヨーロッパの法律や規則に抵触する恐れがあるなどコンプライアンス上の問題であるとも言える。

Jscramblerは、金融機関に対し、以下のような推奨策を提示している。

• トラッキングスクリプトの実行時の挙動を監視する：各スクリプトが何にアクセスし、どのような情報を収集し、そのデータをどのように送信しているかを把握する。その際、ホームページだけでなく、口座開設、住宅ローン、融資、シミュレーションの各フローに特に注目する。
• 実行時の制御を実施する：機微性の高いフィールドへのサードパーティによるアクセスを予防的に制限し、リクエストURLに含まれるデータを含め、不正なデータ流出を阻止する。
• 同意の選択を実際に尊重する：選択が行われるまではタグが読み込まれないようにし、拒否された場合に単に拒否信号が記録されるだけでなく、実際にデータがブラウザから送信されないことを確認する。また、その選択が境界で失われることなく、iframeやサブドメインにも反映されることを確認する。
• 正当な理由がない場合は、高度なマッチング機能および自動収集機能を無効にする：ハッシュ化された連絡先データや生の連絡先データを送信する自動イベントキャプチャ機能や高度なマッチング機能は、その共有が文書化され、開示され、かつ合法である場合を除き、無効にする。
• ファーストパーティのスクリプトについても同様に厳格に扱う：フィンガープリントやポートプロービングのロジックは、たとえ不正防止を目的として構築されたものであっても、その一覧を作成し、開示し、同意を適切に考慮する必要がある。