Mozilla が発表した最近の調査結果によると、ユーザーの注目を集めていた月経記録アプリ「Stardust」がデータプライバシーのリスクにさらされていることがわかりました。このアプリは、ユーザーに明示的に通知することなく、機密の健康情報をサードパーティのデータ分析会社である RudderStack と共有しました。
スターダストは公式サイトで「あなたのデータは非公開です。期間」と公言したと報じられている。 (あなたのデータはプライベートです。期間中です。) ユーザーの信頼を構築します。しかし、Mozilla の研究者らは、アプリのネットワーク トラフィックを徹底的に分析した結果、Stardust がユーザーの生年月日、避妊方法、リプロダクティブ ヘルスの目標、特定の身体症状などの機密性の高い情報を収集しただけでなく、それをデータ分析会社 RudderStack に送信していたことを発見しました。スターダストはデータ送信時にユーザーの実名の代わりに一意の識別子を使用しますが、米国連邦取引委員会（FTC）は、このアプローチでは真の匿名化は達成できず、簡単に特定の個人に遡ってしまう可能性があると繰り返し警告してきました。
Mozilla のセキュリティ研究者 Shoshana Wodinsky 氏は、6 つの人気のある生理追跡アプリの比較テストで、機密の健康データを第三者と共有していることが判明したのは Stardust だけであると指摘しました。調査によると、この種のデータ共有動作はアプリのバックグラウンド アクティビティに隠されていることが多く、ユーザーがアプリを使用する際にはまったく検出できないことがわかっています。アプリケーションがストレージ、分析、支払いなどの目的でサードパーティのサービスと対話することは珍しいことではありませんが、そのような動作は、潜在的なデータ漏洩のリスクや、法執行機関がサードパーティのチャネルを通じてユーザーの健康データを要求する可能性がある法的影響など、無視できないセキュリティ リスクを引き起こします。
スターダストの広報担当者は、疑問に直面して、同社はRudderStackが自社の目的で関連データを販売したり使用したりすることを契約上禁止していると答えた。しかし、法律専門家らは、スターダストとラダースタックは米国国内企業として、法執行機関がサーバーに保存されているユーザーデータを合法的に取得することを依然として拒否できないと考えている。
スターダストがプライバシー危機に陥るのはこれが初めてではない。 2022年には、米国が憲法で保障した中絶の権利を撤廃した後、スターダストのダウンロード数が急増した。当時同社は、アプリケーションには「エンドツーエンドの暗号化」が施されており、社内であってもユーザーデータにアクセスできないと主張していた。しかし、テクノロジーメディアTechCrunchは後に、この発言が真実ではないことをテクニカル分析を通じて確認した。
この比較テストで、Mozilla 研究チームは、「Euki」と呼ばれる別のアプリケーションを特に推奨し、このアプリケーションがコア機能の動作時に第三者とデータを共有せず、すべてのユーザーの健康情報がローカル デバイスに保持され、外部に送信されないため、それを「非常にクリーンな」選択肢であると評価しました。この記事の執筆時点では、スターダストの創設者レイチェル・モラニス氏は、この研究結果と同社がデータ検索要求を受け取ったかどうかについて、まだ返答を行っていない。