クロスデバイストラッキング：ログインなしでセッションを紐付ける

あるユーザーが朝はノートパソコンで、午後はスマートフォンであなたのサイトを訪れると、ほとんどの分析プラットフォームはこれを完全に別々の2人の訪問者として認識します。当社のデバイス識別アルゴリズムは、シグナルの重なりを分析しデバイスグラフを構築することで、ログインを必要とせずに、これらのセッションを確率的に紐付けることができます。

クロスデバイスの課題

従来のフィンガープリンティングは、ブラウザインスタンスごとに固有のIDを生成します。ノートパソコンのChromeは1つのIDを生成し、iPhoneのSafariは別のIDを生成します。同じデバイス上でも、異なるブラウザは異なるフィンガープリントを生成します。なぜなら、user agentが異なり、機能サポートが異なり、レンダリング特性が異なるからです。

しかしユーザーはブラウザ単位で考えているわけではありません。セッション単位で考えています。昼休みにスマートフォンで買い物を始め、帰宅後にノートパソコンで完了させます。タブレットで商品を調べ、デスクトップで購入します。不正検知やパーソナライゼーションにとって、これらのセッションが同一人物のものだと理解することは極めて重要です。

確率的シグナルマッチング

当社のクロスデバイスリンクは、3種類のノードを持つ人物グラフを軸に構築されています。訪問者（1つのブラウザプロファイル）、デバイス（複数のブラウザプロファイルの背後にある実機）、そしてお客様自身のアプリケーションが当社に渡す署名済みのメールアドレスまたは電話番号から導出されたハッシュ化識別子です。2つのセッションを1人の人物として結び付けるのは、これらのノード間のエッジです。

このリストから意図的に外しているものがあります。IPアドレスとASNです。共有ネットワークは魅力的に見えるシグナルですが、誤ったシグナルです。オフィス、大学キャンパス、キャリアグレードNATは、無関係な数千人を1つのアドレスの背後にまとめてしまうため、IPに基づくエッジは、取り消すのに最も高くつく種類の誤ったリンクをまさに生み出します。当社が実際に用いる決定論的なエッジ、すなわち同一のデバイス、同一のハッシュ化識別子、同一の正規訪問者ルートは、共有ネットワークでは偽って作り出せないものです。

その上に、範囲を限定した確率的な要素が乗ります。訪問者の確定した行動的ペアは、訪問者ごとに少数を上限とし、かつ信頼度の下限を上回る場合にのみ、接続候補として検討され得ます。これは決定論的なエッジがすでに固定しているクラスタを広げるものであり、それ単独でクラスタを生み出すことはありません。

デバイスグラフの構築

セッション間で確定した、または高確率のリンクはそれぞれ、デバイスグラフにエッジを作成します。グラフはブラウザインスタンスをデバイスノードに、デバイスノードを人物ノードに接続します。時間が経ち、より多くのセッションが蓄積されるにつれて、グラフの精度は次第に高まります。

グラフの構築には保守的なアプローチを採用しています。決定論的なエッジ、すなわち2つのブラウザプロファイルの背後で同一と解決されたデバイス、あるいは2つのアカウントに対して提供された同一のハッシュ化識別子は、そのままリンクを作成します。それより弱いものはリンクではなく候補として扱われ、信頼度の下限を超える必要があり、1人の訪問者が無制限のクラスタを引きずることのないよう上限が設けられています。隔離中の訪問者やブリッジは、疑わしいという理由で統合されることはなく、完全にスキップされます。

不正検知への応用

クロスデバイスリンクは、不正検知において特に強力です。複数のブラウザプロファイルにまたがってアカウントを運用する不正者は、それらのプロファイルが背後で同一のデバイスに解決されたとき、あるいは同一の署名済み識別子が2つのアカウントの背後に現れたときに特定できます。カード保有者のデバイスグラフに一度も関連付けられたことのないデバイスで盗まれたクレジットカードが使用されると、即座にアラートが発動します。

当社は、単一の運用者が数十台の仮想マシンを使って偽アカウントを作成する不正グループを目撃してきました。各仮想マシンはそれぞれ異なるブラウザフィンガープリントを提示しますが、いずれも同じ物理ハードウェア上でホストされており、それらを1台のマシンへとまとめ直すのがデバイス解決です。この共有されたデバイスノードこそ、グラフが築かれる土台となるエッジです。共有アドレスに頼ることなく、検知された単一のアカウントからグループ全体を可視化します。

プライバシーを保護する設計

クロスデバイスリンクは正当なプライバシー上の懸念を生じさせます。当社のアプローチは、いくつかの設計上の判断によってこれらを緩和します。第一に、この機能層はデフォルトで無効です。デプロイに伴って自動的に付いてくるものではなく、ワークスペースごとに意図的に有効化されるものであり、それまでは人物グラフは一切構築されません。第二に、リンク付けはサーバーサイドで行われ、ブラウザに公開されることは一切ありません。そのため、リンクのグラフをクライアントから読み取ることはできず、動作モードもページが送信できる情報によってではなく当社側で設定されます。第三に、識別子のエッジは、お客様自身のアプリケーションが署名済みのメールアドレスまたは電話番号を提供することを選んだ場合にのみ存在します。当社が訪問者からそれを導き出すことはありません。第四に、お客様のプライバシーインターフェースを通じて、紐付けられたデバイスに関する透明性をユーザーに提供できます。

精度メトリクス

このトレードオフは意図的なものであり、再現率よりも適合率を優先します。誤ったリンクを作るよりも、リンクを見逃す方を選びます。この優先順位は、見出しになる数値ではなく設計そのものに表れています。リンクを作成するのは決定論的なエッジであり、弱いシグナルはすでに固定されたクラスタを広げるだけで、隔離中のブリッジはスキップされ、すべてのクラスタに上限が設けられています。リンクを見逃した場合に失うのは、いずれ他の手段で捕捉できたはずの不正パターンです。一方、誤ったリンクは実在する2人の顧客を1人の人物として統合してしまい、その誤りはその後のあらゆる判断へと伝播します。

頼りにする前に、ご自身のトラフィックで測定してください。クロスデバイスの再現率は、そもそもどれだけのユーザーが認証を行うかに左右されます。識別子のエッジは利用可能なもののなかで最も強力ですが、それが存在するのはお客様のアプリケーションがそれを提供する場合だけです。