韓国の成均館大学に所属する研究者らは、WebサイトのCookie（クッキー）同意バナーにおけるダークパターンの実態を調査した論文をプレプリント（査読前の論文）として公開した（arXiv）。自動検出システム「UMBRA」を開発し、世界1万4000サイトを対象に、ユーザーを同意へ誘導する手口の広がりを分析した。
事案の詳細
研究者らが発表した論文「When the Abyss Looks Back: Unveiling Evolving Dark Patterns in Cookie Consent Banners」は、WebサイトのCookie同意バナーに潜むダークパターンを調査した研究報告だ。多くのWebサイトがCookie同意バナーを導入する一方、ダークパターンを使ってユーザーを同意へ誘導するサイトが存在すると指摘している。
研究チームは、Cookieに関するダークパターンを自動検出するシステム「UMBRA」を開発した。従来のツールが主に画面の見た目など静的なインタフェース特性を分析していたのに対し、UMBRAは多言語のテキスト解析、視覚的な判定、DOMの操作追跡、Cookieの状態監視を組み合わせ、ユーザー操作後に現れる複雑な同意フローも分析する。
研究では、従来から研究されてきた10種類のパターンに、新たに定義した9種類を加えた計19種類を検出対象とした。調査対象は、世界の人気サイト1万サイト、欧州連合（EU）のサイト2000サイト、米国のサイト2000サイトの計1万4000サイト。このうちCookie同意バナーを検出できたのは1960サイト（世界の人気サイト1038、EU838、米国84）で、以下の割合はこれを地域別に集計したものだ。項目によって分母が異なるほか、米国はサイト数が少ない点に注意が必要だ。
影響と背景
調査では、同意は1クリックで済む一方、拒否には設定画面で項目をオフにして保存するなど複数回の操作を求め、面倒さによって同意へ誘導する手口（DP19）が、調査対象の区分に応じて57～63％確認された。同意を撤回する手段が見つからないもの（DP14）は40～54％、撤回手段があっても手順が複雑、または撤回を容易に行える案内がないもの（DP15）は38～57％だった。
また、Cookieを拒否してサイトを閲覧するために料金の支払いを求める手口（DP13）が3～8％確認された。ユーザーが同意も拒否もしていない段階で第三者Cookieなどが設定される手口（DP16）は、EUで44％、米国で83％、世界の人気サイトで68％だった。拒否を選んだ後もCookieが設定され続ける見せかけの拒否（DP18）は23～25％で確認された。
研究ではセキュリティ面の問題も指摘している。収集したCookieの80％は、クロスサイトスクリプティング（XSS）で読み取られうる設定（HttpOnly属性なし）だった。また、同意の撤回がしにくいサイトでは、Cookieの数が平均で25％多かったという。
対策・今後の展望
- 同意・拒否・撤回の導線を点検する：同意が1クリックで完了するなら、拒否も同程度の手数で選べる設計になっているか、撤回手段が見つけやすいか、撤回を容易に行えるかを確認する。
- バナー表示前後のCookie設定を監視する：同意も拒否もしていない段階でCookieが設定されていないか、拒否後も追跡用のCookieや識別子が残っていないかを確認する。
- Cookieのセキュリティ設定を見直す：Cookieに付与するセキュリティ属性が適切かを点検し、クロスサイトスクリプティング（XSS）などによってCookieに保存された情報が不正に読み取られるリスクを抑える。
CSRIからのアドバイス
Cookie同意バナーを巡る問題は、見た目の分かりやすさだけでなく、拒否や撤回に必要な操作回数、表示文言、実際に保存されるCookieの状態にも関係する。画面上の選択肢と、実際のCookie設定が一致しているかを確認することが重要だ。
例えるなら、玄関で「入っていいですか」と聞かれて「いいえ」と答えたのに、裏口から勝手に入られてしまうようなものだ。ボタン表示が整っていても、ページを開いた時点や拒否後にCookieが設定されると、意図しない追跡や識別情報の保存につながる。
まず自社サイトで、同意前にCookieが設定されていないかを確認する。次に、拒否が1クリックで完了するか、撤回手段が見つけやすいか、撤回を容易に行えるかを点検する。最後に、Cookieに付与するセキュリティ属性が適切かを見直す。
参照: なぜCookie同意バナーの「拒否」ボタンは見つからないのか 1万4000サイト調査で見えた“同意させる”手口／論文「When the Abyss Looks Back」（arXiv:2603.21515）