ただし、トラッキングcookieとsupercookieの間には重大な違いが幾つかある。supercookieの方が執拗で、削除が難しく、ユーザー情報の収集も効率的だ。加えてsupercookieのサイズは最大で100Kバイトと、通常のトラッキングcookieの4Kバイトと比べてはるかに大きい。supercookieはWebブラウザから独立しているため、ユーザーがWebブラウザを切り替えてもユーザーを追跡することができる。実際、supercookieはWebブラウザからはアクセスできないフォルダに保存されているため、Webブラウザはsupercookieにアクセスすることさえできない。

　残念ながら、supercookieを回避するのは容易ではない。相当量のWebコンテンツがFlashプラグインのインストールを前提としているにもかかわらず、supercookieが作成されたり、Webサイト閲覧の履歴を追跡していることはユーザーには通知されない。また、supercookieを自社のWebサイトで利用している企業は、そのWebサイトを閲覧したユーザーの情報にいつでもアクセスできる。ユーザーには何も知らせないまま、企業がsupercookieの情報を第三者組織と共有することも可能だ。

企業のデスクトップセキュリティを脅かすsupercookie

　ユーザーの閲覧履歴が追跡されること自体は、企業のセキュリティを脅かす大きな問題とは思えないかもしれない。だがsupercookieの存在により、閲覧履歴の追跡が別次元の問題に変わった。広告主（あまり評判が良くない組織の場合もある）がFlashのLSOを利用すれば、ユーザーの識別情報をドメイン横断的に共有して、Flashに別ドメインのデータを読み取らせることもできる。これは、たとえユーザーが全てのcookieを遮断し、プライベートブラウジングを有効にしていたとしても防ぐことができない。

　supercookieは、認証されたコンテンツを含むセッションcookieなどのトラッキングcookieを読み取り、その情報を保存することもできる。つまり、たとえトラッキングcookieが削除されたとしても、その情報自体は保存されている。攻撃者がsupercookieのデータにアクセスできれば、保存されたcookieの情報をソーシャルエンジニアリング攻撃に生かすこともできるだろう。そうすれば、個人を操ってさらに多くの社外秘情報を取得することも可能だ。

デスクトップセキュリティ強化のためのsupercookie管理

　企業のエンドポイントでsupercookieをコントロールするのは容易ではない。FlashがWeb全体に行き渡っていることやユーザーの認識の欠如といった要因で、supercookieの削除は困難な作業となっている。私物のノートPCなどのモバイル端末を仕事に持ち込んだり、自宅の端末で社内システムを利用するユーザーもいる状況では、supercookieを削除するのは不可能に近い。

　さらに脅威なのは、FlashのLSOはsupercookieのほんの1種にすぎないことだ。攻撃者は米Microsoftの「Microsoft Silverlight」の機能である分離ストレージを利用してユーザーのデータを収集したり、キャッシュされたデータの認証に用いるHTTPの識別子である「ETag」を利用することもできる。

　supercookieの次世代版といえる「Evercookie」では、さらに追跡の次元が高まった。Evercookieは識別情報をドメイン横断的に蓄積する目的で、さまざまな仕組みを使ってユーザーのデータを保存する。例えば、一般的なトラッキングcookieやsupercookie、Silverlightの分離ストレージ、PNGファイルのRGBの値、ETags、HTML5の機能などを利用する。

　supercookieを排除するための単純な解決策は存在しない。しかしリスク回避の一助とするためにIT部門ができる対策は幾つかある。

• 可能であれば、Flashを全面的に、あるいは必要なとき以外は無効にさせる。ただしFlashを使用しているサイトの多さを考えると、徹底は厳しいかもしれない
• ユーザーにsupercookieと分離ストレージファイルを物理的に削除させる。一部のWebブラウザではsupercookieの自動的な削除が可能なアドインをサポートしている。例えばMozilla Firefoxがサポートしているアドインの「BetterPrivacy」では、supercookieをシステムから削除することができる。さらには「CCleaner」「Flush」など、supercookieを削除するアプリケーションが増えている
• AdobeのWebサイトにある「Global Privacy Settings panel」のページで、ユーザーにプライバシーを設定させる
• Flashを管理するためのグループポリシーを設定する。グループポリシー機能を拡張する「PolicyPak」といった製品の利用を検討するといいだろう。Flashが更新されるのを防ぎ、supercookieのストレージを遮断することができる

　当然ながら、supercookieに対抗する手段の大部分はFlashのLSOに照準を絞っている。現時点ではこれが最大級の脅威だからだ。だが業界は急速に変化しており、新しい形態のsupercookieとそれに対抗するための最先端の技術を常に探し求めることが、IT部門が会社を守るためにできる最善の防御策といえる。

　supercookieの利用を法律で取り締まろうとする動きがある。米連邦取引委員会（FTC）がsupercookieの利用について虚偽の説明をした者の追及に乗り出したことも朗報だ。だが抜け目のない攻撃者がsupercookieを利用しないという保証はない。こうした脅威について認識することは良い出発点であり、どんな形であれ、supercookieに対して可能な措置を取ることは、何の行動も起こさないよりはましだ。