Cookieの利用に同意を求める表示が当たり前になり、ブラウザ側でもサードパーティCookieの制限が進むなかで、「Cookieに頼らずに利用者を識別する技術」として名前を聞く機会が増えたのが、デバイスフィンガープリントです。オンラインで注文・会員登録・ログイン・取引を受け付ける事業者にとっては、なりすましや乗っ取り、多重登録といった不正の対策を検討する場面でも耳にする言葉になっています。
一方で、「Cookieと何が違うのか」「端末の何を、どうやって集めて識別しているのか」「自社の不正対策に本当に使えるのか」といった実体は、言葉ほど知られていません。仕組みを正しく理解しないまま導入や対策を進めると、精度の限界を見誤ったり、プライバシー・法規制上の論点を見落としたりすることにもつながります。
本記事では、デバイスフィンガープリントの定義と仕組みから、収集される情報の種類、Cookie・IPアドレスとの違い、不正検知と広告トラッキングという2つの用途、精度と限界、プライバシー・法規制の注意点までを整理します。そのうえで、自社の不正対策に取り入れる際の考え方と、デバイス識別や行動分析を検知に用いるサービスも紹介します。
目次
一括ダウンロードする
デバイスフィンガープリントとは？Cookieレスで端末を見分ける仕組み
デバイスフィンガープリントとは、ブラウザやOSの設定、ハードウェアの特性など、アクセス時に観測できる情報を組み合わせて、利用者の端末を識別（または再識別）する技術です。指紋（フィンガープリント）のように、一つひとつの情報は珍しくなくても、複数を組み合わせると端末ごとの違いが浮かび上がることから、この名前で呼ばれています。
最大の特徴は、Cookieのように端末側へ識別子を保存するのではなく、端末が発する情報を観測して組み合わせる点にあります。そのためCookieを削除しても、シークレットモードで開いても、同じ組み合わせが観測されれば同一の端末だと推定できます。日本インタラクティブ広告協会（JIAA）の用語集は、フィンガープリントを次のように説明しています。
フィンガープリントは指紋を意味する言葉だが、インターネット広告の分野ではユーザーの同一性を識別する目的で、サイトにアクセスした際に収集できる情報を組み合わせて作られる固有の情報のことであり、デバイスフィンガープリントとも呼ばれる。組み合わせる情報はIPアドレス、ブラウザー種別、OSなどから、コンピューターの構成の違いによって現れるわずかな挙動の違いまでさまざまであり、作成方法によっては高い識別性を得ることができるとされる。一方で、フィンガープリントはクッキーと違い、ユーザーはそれが使用されていることを知ることやオプトアウトすることができないため、プライバシー上の問題が生じやすい。
出典：インターネット広告基礎用語集｜一般社団法人 日本インタラクティブ広告協会（JIAA）
技術的には、World Wide Web Consortium（W3C）は、サイトが設定内容やそのほかの観測可能な特徴を通じて、訪問中の利用者・ユーザーエージェント・端末を識別・再識別できる能力を指すものと定義しています。
学術分野でも、明治大学 情報セキュリティ研究室は「Webサイト利用者の端末を識別するための情報」と説明しています。広告・技術・研究のいずれの立場からも、端末の観測可能な特徴を組み合わせて識別する技術として位置づけられています。
出典・参考資料（2件）
デバイスフィンガープリントで収集される情報の種類
端末を見分けるために集められる情報は、単体では珍しくなくても、いくつも組み合わせることで、その端末に固有の「指紋」に近づいていきます。たとえば、ありふれたブラウザや画面解像度でも、フォント構成やCanvasの描画結果まで重なると、急に珍しい組み合わせになります。
W3Cは収集手法を、HTTPリクエストの内容だけで観測する受動的（パッシブ）な方法と、ブラウザ上でJavaScript等を実行して追加の特徴を引き出す能動的（アクティブ）な方法に分けて整理しています。
ブラウザ・OSに関する情報
ユーザーエージェント（ブラウザやOSの種類・バージョン）、対応言語、タイムゾーン、インストール済みのフォント一覧、プラグインの構成などが該当します。これらの多くは、ページを表示するために送られるHTTPヘッダーやブラウザの設定から取得でき、コードを実行しなくても観測できる受動的な情報が中心です。
ハードウェア・ディスプレイに関する情報
画面の解像度や色深度、デバイスピクセル比、CPUのコア数、タッチ操作への対応可否といった、端末そのものの物理的な構成に関わる情報です。明治大学 情報セキュリティ研究室は、収集される特徴点を「ソフトウェア特徴点」「ネットワーク特徴点」「ハードウェア特徴点」の3つに分類し、ハードウェア特徴点として画面解像度・色深度、CPUコア数、デバイスピクセル比、タッチ機能などを挙げています。
Canvas・WebGL・AudioContextによる描画・処理の差
識別性を高める代表的な手法が、ブラウザの描画・処理機能を使うものです。Canvasフィンガープリントは、指定した文字や図形をブラウザに描画させ、その結果に生じる微細な差を利用します。同じ命令でも、OS・グラフィックスの構成・フォントの違いによって描画結果がわずかに変わるためです。
WebGLは3Dグラフィックスの描画結果を、AudioContextは音声処理APIの出力の微差を、それぞれ端末の識別に利用する手法です。いずれもCanvasと同じく、同じ命令でもGPUや音声処理系の構成の違いによって結果がわずかに変わる性質を用いています。
これらの項目が実在し、自分のブラウザでどう見えるかは、BrowserLeaksのような診断サイトで確認できます。同サイトには「Canvas Fingerprinting」「WebGL Report」「Font Fingerprinting」といった個別のテスト項目が用意されています。
学術機関が運営する診断サイトAmIUnique（フランス・リール大学の研究者が運営）でも、収集した属性から自分のブラウザがどの程度珍しいかを確認できます。
ネットワーク・行動に関する情報
グローバルIPアドレスやHTTPヘッダー（Accept、Accept-Languageなど）といったネットワーク由来の情報も、組み合わせの要素になります。さらに不正検知の文脈では、キーボードの打鍵やマウスの動きといった操作の癖を分析する行動的な特徴を、端末の情報と併せて用いる手法もあります。
単独では識別力が弱い情報でも、こうした複数の要素を組み合わせることで、端末や利用者の同一性を推定する精度が高まります。
Cookie・IPアドレスとの違い
デバイスフィンガープリント・Cookie・IPアドレスは、いずれも「利用者を識別する」ために使われますが、識別子をどこに持つか、削除や変更で消えるか、といった性質が異なります。次の表で3つの違いを整理します。
| 識別方法 | デバイスフィンガープリント | Cookie | IPアドレス |
|---|---|---|---|
| 識別子の持ち方 | 端末側に保存せず、観測した情報の組み合わせから推定 | ブラウザに識別子（ファイル）を保存 | 通信時に割り当てられるネットワーク上の住所 |
| 削除・変更で消えるか | Cookie削除やシークレットモードでは消えない | 削除すると消える。シークレットモードでは保持されない | 回線変更やVPNで変わる。共有されることも多い |
| 利用者が使用を知る・拒否する | 気づきにくく、オプトアウトも難しい | 同意取得や削除・拒否の操作が可能 | VPN等で変更できるが、端末の特定はできない |
| 主な用途 | 不正検知・広告トラッキング | ログイン状態の保持・広告トラッキング | アクセス元の推定・不正検知の補助 |
※上記は各識別方法の一般的な性質の整理です。実際の挙動は利用するブラウザ・設定・サービスにより異なります。
Cookieは、ブラウザに識別子を保存する仕組みのため、利用者が削除したりシークレットモードを使ったりすれば消えます。IPアドレスは、回線の変更やVPNの利用で変わり、企業や家庭では複数の利用者で共有されることも珍しくありません。
一方、デバイスフィンガープリントは端末側に何かを保存するわけではなく、観測できる情報の組み合わせから端末を推定します。そのため、CookieやIPを変えても同じ端末だと判定できる場合があります。JIAAの用語集も、Cookieと違って利用者が使用に気づきにくく、オプトアウトしにくい点を指摘しています。
ただし、フィンガープリントも万能ではありません。ブラウザのバージョンアップや設定変更で観測される情報が変われば、同じ端末でも別物と判定されることがあります。この崩れやすさは、後述の「精度と限界」で詳しく扱います。
デバイスフィンガープリントは何に使われるのか
デバイスフィンガープリントには、大きく分けて2つの用途があります。1つは不正検知・セキュリティでの活用、もう1つは広告・トラッキングでの利用です。同じ技術でも、目的によって使われ方が異なります。ここでは、事業者にとって関心の高い不正検知での使い方を中心に見ていきます。
不正検知・セキュリティでの活用
不正検知では、正しいID・パスワードでのアクセスであっても、それが本来の利用者本人によるものかを見分けるためにデバイスフィンガープリントが使われます。IDやパスワードは漏えいすると本人以外でも入力できますが、端末の特徴は攻撃者が容易に再現できないため、「いつもと違う端末からのアクセス」を手がかりに不正を疑えます。
通常と異なる兆候があるときだけ追加の本人確認を求める「リスクベース認証」と組み合わせ、見慣れない端末や挙動を検知したときだけ追加認証を求める、といった運用にも用いられます。代表的な不正のパターンごとに、端末の指紋がどう効くのかを見ていきましょう。
なりすまし・不正ログインの検知
漏えいしたIDとパスワードを使った不正ログインでは、認証情報そのものは正しいため、パスワード照合だけでは本人と区別できません。ここで、過去に本人が使っていた端末の指紋と、今アクセスしてきた端末の指紋を照合すれば、見慣れない端末からのログインを本人以外の可能性が高いアクセスとして検知できます。
乗っ取り後の別端末アクセスの検知
アカウントを乗っ取った攻撃者は、メールアドレスや電話番号、パスワードなどの登録情報を変更しようとします。こうした重要な操作の際に、いつもと違う端末やネットワークからのアクセスであることを指紋やIPの不一致から捉えれば、乗っ取り後の被害拡大を食い止める手がかりになります。
多重登録・複数アカウントの検知
1人が複数のアカウントを不正に作成する多重登録は、ポイントの不正取得や、数量限定商品・チケットの買い占めと転売などに悪用されます。メールアドレスや氏名を変えても、同じ端末から作成されていれば指紋が近くなるため、「別人を装った同一端末からの登録」を手がかりに検知できます。
ボット・自動化ツールの検知
ヘッドレスブラウザ（画面表示を伴わない自動操作用のブラウザ）や自動化ツールによる機械的なアクセスは、通常のブラウザとは異なる環境の痕跡を残すことがあります。端末の指紋に加え、打鍵やマウス操作の不自然さ、極端に速い入力といった行動の特徴を組み合わせることで、人間ではない自動化された試行を見分けやすくなります。
広告・トラッキングでの利用
もう1つの用途が、広告配信やアクセス解析における利用者の追跡です。サードパーティCookieの制限が進むなかで、削除されても残るデバイスフィンガープリントは、Cookieに代わって利用者を横断的に識別する手段として利用されてきました。
ただしこの用途は、利用者が気づかないうちに追跡されることへの懸念が強く、後述するプライバシー・法規制の論点と直接結びつきます。JIAAの用語集も、Cookieと違ってオプトアウトが難しい点を、プライバシー上の問題が生じやすい理由として挙げています。
デバイスフィンガープリントの精度と限界
デバイスフィンガープリントを不正対策に使うかを判断するうえでは、どこまで一意に識別できるのか、そしてどこで崩れるのかを、実測データをもとに正しく理解しておくことが欠かせません。
識別性の高さを示す代表的な研究が、Electronic Frontier Foundation（EFF）が公開したPeter Eckersley氏の論文「How Unique Is Your Web Browser?」です。
約47万件のブラウザを対象とした調査で、フィンガープリントは少なくとも18.1ビットのエントロピー（識別のしやすさを表す指標で、値が大きいほど区別しやすくなります）を持つと報告されています。無作為に選んだブラウザは、多く見積もっても286,777台に1台しか同じ指紋を共有しません。FlashまたはJavaに対応したブラウザに限れば、その94.2%が一意に識別できたとされています。
出典・参考資料（1件）
ただしこの調査は2010年時点のもので、当時前提とされたFlashやJavaは現在ほぼ使われていません。フィンガープリントの識別性が高いことを示した初期の代表的な研究として捉えるのが適切です。
より新しい例もあります。Mozillaは2018年の記事で、その記事を書いたノートパソコンの指紋が、EFFのPanopticlickツールが収集した170万件の指紋のなかで完全に一意だった、と紹介しています。数多くの端末のなかでも、指紋の組み合わせによって特定の1台を見分けられることを示す例といえます。
一方で、限界もあります。第一に、指紋は時間の経過で崩れます。ブラウザのバージョンアップや設定変更、端末の買い替えによって観測される情報が変われば、同じ利用者でも別端末と判定されることがあります。
第二に、フィンガープリント対策を備えたブラウザの存在です。プライバシー保護を重視するTorブラウザは、ウィンドウサイズによる識別を防ぐために画面の周囲に余白を加える「レターボクシング」という機能を備え、利用者ごとの違いをあえて見せない設計になっています。こうしたブラウザには、指紋による識別が意図的に効きにくくなっています。
第三に、誤検知のリスクです。同じ機種・同じ設定の端末が社内に多数あるような環境では、指紋が似通って別人を同一端末と誤認する可能性があります。こうした特性から、デバイスフィンガープリントは単独で本人確認の決め手にするのではなく、ほかの認証やルールと組み合わせ、リスクを評価する材料の1つとして使うのが現実的です。
デバイスフィンガープリントとプライバシー・法規制の注意点
デバイスフィンガープリントは、利用者が気づかないうちに端末を識別できる技術であるため、プライバシーや法規制の観点でも論点があります。不正検知という正当な目的で使う場合でも、同意やプライバシーポリシーへの明記が求められる場面があるため、法務・コンプライアンス部門とも連携して確認しておくことが重要です。
EUの一般データ保護規則（GDPR）は、前文（Recital）30で、端末やアプリケーションが提供するオンライン識別子について次のように述べています。
Natural persons may be associated with online identifiers provided by their devices, applications, tools and protocols, such as internet protocol addresses, cookie identifiers or other identifiers such as radio frequency identification tags. This may leave traces which, in particular when combined with unique identifiers and other information received by the servers, may be used to create profiles of the natural persons and identify them.（自然人は、IPアドレスやCookie識別子などの、端末・アプリケーション等が提供するオンライン識別子と結び付けられうる。これらは、とりわけ一意の識別子やサーバーが受け取る他の情報と組み合わされたとき、自然人のプロファイルを作成し、その人物を特定するために利用されうる痕跡を残す。）
出典：Regulation (EU) 2016/679 (GDPR) Recital 30｜EUR-Lex
さらに、デバイスフィンガープリントを名指しで扱った当局の見解もあります。EUの第29条作業部会は「デバイスフィンガープリントに関する意見書（Opinion 9/2014）」で、ePrivacy指令第5条(3)の同意要件がデバイスフィンガープリントにも適用されると結論づけています。
この意見書は、端末上の情報へアクセスまたは保存してフィンガープリントを生成・処理しようとする者は、適用除外に該当しない限り、あらかじめ利用者の有効な同意を得なければならないとしています。
日本では、2020年（令和2年）改正の個人情報の保護に関する法律で「個人関連情報」という区分が設けられました。Cookieや端末識別子は、多くの場合この個人関連情報にあたると整理されています。個人情報保護委員会は、ガイドラインに関するよくある質問（Q&A）で次のように示しています。
個別の事案ごとに判断することとなりますが、Cookie等の端末識別子について、個人情報に該当しない場合には、通常、当該端末識別子に係る情報端末の利用者に関する情報として、「個人に関する情報」に該当し、個人関連情報に該当することとなると考えられます。（中略）なお、Cookie等の端末識別子は、他の情報と容易に照合することにより特定の個人を識別することができる場合には、当該情報とあわせて全体として個人情報に該当することとなります。
出典：「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（Q8-1）｜個人情報保護委員会
個人情報保護法では、端末識別子などの個人関連情報を第三者に提供し、提供先で本人が識別される個人データとして取得されることが想定される場合、原則として本人の同意が得られていることの確認が求められます（第31条）。
自社内で完結する不正検知の利用であっても、扱う端末情報が他の情報と容易に照合して特定の個人を識別できる状態になれば個人情報として扱われ、利用目的の特定・通知などの義務がかかります。まずは自社の使い方がどの区分にあたるかを確認することが出発点になります。
加えて、オンラインでの通知と同意取得の設計については、国際規格のISO/IEC 29184がプライバシー通知と同意のプロセスに関する管理策を定めています。自社の不正対策で端末情報を扱う際は、こうした国内外のルールを踏まえ、利用目的の明示や同意の要否を確認しておくことが求められます。
出典・参考資料（2件）
一括ダウンロードする
自社の不正対策にデバイスフィンガープリントを取り入れるには
ここまで見てきたように、デバイスフィンガープリントは、Cookieやパスワードだけでは見分けにくいなりすまし・乗っ取り・多重登録・ボットへの対策に役立つ技術です。ここからは、自社の不正対策に取り入れる際の考え方と、端末識別や行動分析を検知に用いるサービスを紹介します。
自前実装か、不正検知サービスの導入か
デバイスフィンガープリントを自社で一から実装するのは、現実的とは言えません。前述のとおり、指紋は時間とともに崩れ、対策ブラウザによって効きにくくなり、誤検知のリスクもあります。精度を保つには、多数の端末情報を継続的に収集・分析して検知ロジックを更新し続ける必要があり、この負担を自社だけで担うのは専門の体制がなければ困難です。
そのため実務では、端末識別（デバイスフィンガープリント）や行動分析を検知の中核に据えた不正検知サービスを導入するのが一般的です。サービスによって、得意とする不正の種類（不正ログイン・アカウント乗っ取り、EC・決済の取引不正、ボットによる自動化攻撃など）や、対象とする業種が異なります。自社で発生している不正のパターンに照らして、どのサービスが適しているかを見極めることが重要です。
以下では、端末識別や行動分析を用いて不正を検知するサービスを紹介します。まずは各サービスの検知の対象と特徴を一覧で比較します。
| サービス名 | Sardine | Sift | O-PLUX Account Protection | FraudAlert | F5 Distributed Cloud Bot Defense |
|---|---|---|---|---|---|
| 提供会社 | 株式会社DGビジネステクノロジー （Sardine AI 正規代理店） | Sift, Inc. （日本提供: 株式会社DGビジネステクノロジー） | かっこ株式会社 | 株式会社カウリス | F5ネットワークスジャパン合同会社 |
| 検知の主対象 | アカウント乗っ取り（ATO）・なりすまし登録 決済・取引不正、マネーロンダリング対策（AML）まで統合 | EC・決済の取引不正 ATO・偽アカウント作成も対応 | 不正ログイン・なりすまし（ATO） Bot・多重登録・買い占め | 不正ログイン・なりすまし（ATO） 不正送金・入出金の検知 | ボットによる自動化攻撃 （クレデンシャルスタッフィング＝ATO・買い占め・不正アカウント作成） |
| 端末識別・行動分析の使い方 | デバイスインテリジェンス（端末情報）と行動バイオメトリクス（操作の癖）をAIで統合評価 | 持続的なデバイスフィンガープリンティングと行動パターンをAI機械学習で評価 | 独自の端末特定（デバイスフィンガープリント）とキータッチ等の操作情報をリアルタイム分析 | 端末情報を常時モニタリングして「本人らしさ」をデータベース化し、変化と不審な振る舞いを検知（収集項目の詳細は公式に非開示） | JavaScript/SDKでテレメトリを収集し、機械学習で人間・ボット・AIを判別（機能にデバイスフィンガープリンティングを含む） |
| 主な対象領域 | 会員登録・ログイン・決済・出金などタッチポイントを横断（金融・EC等） | EC・マーケットプレイス・フィンテック・ゲーミング・トラベル等 | 金融機関・EC・会員サイト （旧O-MOTION。O-PLUXブランドに統合） | 銀行・証券・カード・暗号資産交換業者などの金融機関 | Web・API・モバイルアプリ全般（ECの在庫買い占め対策等） |
| 詳細情報 | 公式資料を見る | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る |
※各サービスの機能・対応領域は2026年9月時点の公開情報にもとづく整理です。最新の仕様は各社の公式情報をご確認ください。
1. Sardine（株式会社DGビジネステクノロジー）
Sardineは、端末情報を収集・分析するデバイスインテリジェンスと、サイトやアプリ内での利用者の行動から本人性を判定する行動バイオメトリクスを組み合わせ、AI・機械学習で不正を検知するプラットフォームです。日本では株式会社DGビジネステクノロジーが提供しています。
会員登録・ログイン・会員情報変更・決済・出金といった各タッチポイントに適用でき、アカウント乗っ取り（ATO）やなりすましによる新規登録、決済・取引時の不正までを対象とします。共有IPやプロキシの利用、端末の指紋の類似性といったシグナルを統合的に評価し、複数のチャネルを横断してリスクを判定する点が特徴です。
2. Sift（Sift, Inc.）
EC・決済の取引不正を主軸に、アカウント乗っ取りや偽アカウント作成にも対応する不正検知プラットフォームがSiftです。日本では株式会社DGビジネステクノロジーが提供・サポートを担います。
アカウント保護の機能では、デバイスインテリジェンス・行動パターン・アカウントの異常な変更・ネットワークを横断した知見を組み合わせてリアルタイムに評価します。公式サイトは、持続的なデバイスフィンガープリンティングによってセッションをまたいだ可視性を確保すると説明しています。
偽アカウント作成の検知では、使い捨てメールアドレスやデバイスのなりすましといった技術的なシグナルを識別する仕組みも解説されています。
3. O-PLUX Account Protection（かっこ株式会社）
かっこ株式会社が提供してきた金融機関向けの不正ログイン検知サービス「O-MOTION」は、2026年4月にEC不正検知サービス「O-PLUX」ブランドへ統合され、現在は「O-PLUX Account Protection」の名称で提供されています。
独自の端末特定（デバイスフィンガープリント）技術と、キータッチなどの操作情報のリアルタイム分析を組み合わせ、正しいID・パスワードでのアクセスであっても、本人によるものか、なりすましやボットによるものかを判別します。
IPアドレスが変わっても同一端末からのアクセスかを判定できるほか、言語設定に基づく国外アクセスやTorブラウザ経由の疑わしいアクセスの検知にも対応します。
4. FraudAlert（株式会社カウリス）
FraudAlertは、株式会社カウリスが提供する、金融機関のアカウント保護に軸足を置いた不正検知サービスです。端末情報を常時モニタリングして「本人らしさ」をデータベース化し、端末情報の変化と不審な振る舞いを組み合わせて不正ログインやなりすましを検知する方式を採用しています。
公式は、個人情報を用いず、端末から取得するパラメーターをもとに検知すると説明しています。ログイン検知に加え、振込ルールと端末情報を組み合わせた入出金検知も提供し、口座開設からログイン、入出金までのプロセスを横断してモニタリングします。
5. F5 Distributed Cloud Bot Defense（F5ネットワークスジャパン合同会社）
Webアプリケーション・API・モバイルアプリを対象としたボット対策のソリューションが、F5 Distributed Cloud Bot Defenseです。CAPTCHAに依存せず、ブラウザからはJavaScript、モバイルアプリからは専用のSDKでテレメトリ（挙動データ）を収集し、リクエストがアプリに到達する前に、ボットによる自動化されたアクセスか人間によるものかを判別します。
機能にはデバイスフィンガープリンティングが含まれ、漏えいした認証情報を大量に投入するクレデンシャルスタッフィングによるアカウント乗っ取りや、在庫の買い占め、不正アカウント作成といった自動化攻撃を対象とします。
ここで取り上げたのは、端末識別や行動分析を軸に不正を検知するサービスです。通信・端末・不正ログイン・EC注文など、検知したい対象のタイプまで広げて不正検知システムを比較・検討したい場合は、以下の記事で18のサービスをタイプ別に整理しています。
不正アクセス検知システムおすすめ18選｜4タイプ別の選び方を徹底比較
ファイアウォールやWAF（Web Application Firewall：Webアプリケーション用の防御壁）で入口は固めたものの、漏えいしたIDとパスワードを使った大量ログインや、すり抜けたマルウェア（ウイルス）が社内で広がる動きまでは捉…
まとめ
デバイスフィンガープリントは、ブラウザやOS、ハードウェアなどの観測できる情報を組み合わせて端末を識別する技術です。Cookieのように端末側へ識別子を保存しないため、Cookieを削除しても同じ端末だと推定できる一方、ブラウザの更新や対策ブラウザによって崩れることもあり、単独で本人確認の決め手にするのではなく、リスク評価の材料の1つとして使うのが現実的です。
不正検知では、なりすまし・乗っ取り・多重登録・ボットといった、パスワードだけでは見分けにくい不正への対策に役立ちます。ただし精度の維持には継続的な収集・分析が必要で、プライバシー・法規制上の論点もあるため、自前で実装するより、端末識別や行動分析を検知に用いるサービスの導入を検討するのが現実的です。自社で発生している不正のパターンに照らして、適したサービスを見極めることが、対策の第一歩になります。
一括ダウンロードする
よくある質問（FAQ）
Q. デバイスフィンガープリントとは何ですか？
A. デバイスフィンガープリントとは、ブラウザやOSの設定、ハードウェアの特性など、アクセス時に観測できる情報を組み合わせて利用者の端末を識別する技術です。Cookieのように端末側へ識別子を保存せず、端末が発する情報を観測して組み合わせるため、Cookieを削除してもシークレットモードで開いても同じ端末だと推定できる場合があります。
一つひとつの情報は珍しくなくても、複数を組み合わせると端末ごとの違いが浮かび上がることから、指紋になぞらえてこう呼ばれます。自分のブラウザがどの程度珍しいかは、BrowserLeaksなどの診断サイトで確認できます。
Q. デバイスフィンガープリントはプライベートブラウジング（シークレットモード）で回避できますか？
A. デバイスフィンガープリントは、シークレットモードやプライベートブラウジングでは完全には回避できません。これらのモードはCookieや閲覧履歴の保存を抑える機能であり、Canvasの描画結果・WebGL・画面解像度・タイムゾーンといった、端末から観測される特徴そのものは変わらないためです。
デバイスフィンガープリントは端末側に識別子を保存せず、観測した情報の組み合わせから端末を推定するため、Cookieを消してもシークレットモードで開いても同じ端末だと判定されることがあります。
Q. デバイスフィンガープリントはVPNで防げますか？
A. デバイスフィンガープリントは、VPNを使ってもそれだけでは防げません。VPNで変えられるのはIPアドレス（アクセス元のネットワーク上の住所）であって、画面解像度・Canvas・WebGL・フォント・タイムゾーンといった端末側の特徴は変わらないためです。
IPアドレスは組み合わせを構成する要素の一つにすぎず、フィンガープリントはIP以外の多数の特徴から端末を推定するため、IPを変えても同じ端末だと判定される場合があります。
Q. デバイスフィンガープリントの利用は違法ですか？
A. デバイスフィンガープリントの利用が違法かどうかは、利用目的・地域・取得する情報・同意の取り方などによって判断が変わり、技術そのものが一律に違法というわけではありません。EUでは、第29条作業部会がePrivacy指令第5条(3)の同意要件をデバイスフィンガープリントにも適用されると結論づけており、適用除外に該当しない限り、あらかじめ利用者の有効な同意を得る必要があります。
日本では、Cookieや端末識別子は多くの場合「個人関連情報」にあたると整理され、他の情報と容易に照合して特定の個人を識別できる場合には個人情報として扱われます。自社で扱う際は、利用目的の明示や同意の要否を法務・コンプライアンス部門と確認しておくことが重要です。
出典・参考資料（2件）
Q. デバイスフィンガープリントを不正検知に使う場合、利用者の同意は必要ですか？
A. デバイスフィンガープリントを不正検知に使う場合でも、利用目的をプライバシーポリシーに明記し、必要に応じて同意を得ておくことが求められます。セキュリティ目的での利用は正当化されやすい一方、端末上の情報へアクセスして識別子を生成・処理する行為には同意要件が及ぶ場面があり、広告・トラッキング目的の利用とは分けて管理することが望まれます。
日本の個人情報保護法では、端末識別子などの個人関連情報を第三者へ提供し、提供先で本人が識別される個人データとして取得されることが想定される場合、原則として本人の同意が得られていることの確認が求められます（第31条）。
出典・参考資料（1件）
Q. サードパーティCookieが使えなくなっても、デバイスフィンガープリントは不正検知に使えますか？
A. デバイスフィンガープリントは、サードパーティCookieの制限が進んでも不正検知に利用できます。Cookieのように端末側へ識別子を保存する仕組みではなく、端末が発する情報を観測して組み合わせるため、Cookieの削除やブラウザ側の制限の影響を受けにくいからです。
むしろ、Cookieに頼らず利用者を識別できる手段として、なりすまし・乗っ取り・多重登録・ボットの検知に活用されています。ただし、ブラウザの更新や対策ブラウザによって崩れることもあるため、単独で本人確認の決め手にするのではなく、リスク評価の材料の1つとして使うのが現実的です。
Q. デバイスフィンガープリントの精度はどのくらいですか？
A. デバイスフィンガープリントの精度は、条件が整えば端末を高い確率で一意に識別できる一方、時間の経過や対策ブラウザによって崩れることもあります。
Electronic Frontier Foundation（EFF）が公開した研究では、フィンガープリントは多く見積もっても286,777台に1台しか同じ指紋を共有せず、FlashまたはJavaに対応したブラウザの94.2%が一意に識別できたと報告されています（2010年時点・Flash/Java前提の調査）。
一方で、ブラウザのバージョンアップや設定変更で観測される情報が変われば同じ端末でも別物と判定されることがあり、Torブラウザのように識別を意図的に効きにくくする設計や、同一機種・同一設定の端末が並ぶ環境での誤検知のリスクもあります。
出典・参考資料（1件）
Q. デバイスフィンガープリントは自前で実装すべきですか、不正検知サービスを導入すべきですか？
A. デバイスフィンガープリントを不正対策に使うなら、自前で実装するより、端末識別や行動分析を検知に用いる不正検知サービスを導入するのが現実的です。指紋は時間とともに崩れ、対策ブラウザで効きにくくなり、誤検知のリスクもあるため、精度を保つには多数の端末情報を継続的に収集・分析し、攻撃手法の変化に合わせて検知ロジックを更新し続ける必要があります。
まず自社でどの不正（不正ログイン・取引不正・ボットなど）が起きているかを整理し、その種類を得意とするサービスの資料を取り寄せて比較するところから始めると、検討を進めやすくなります。
不正検知ソリューションの資料をまとめてチェック
MCB FinTechカタログでは、なりすまし・不正ログイン・ボットなどの対策に使える不正検知ソリューションの最新資料を無料で一括請求できます。検知できる不正の種類や対応業種を見比べて、自社に合うサービスを選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
