概要
- 2026年5月、Googleが「Google Cloud Fraud Defense」を発表
- QRコード認証とデバイス認証を組み合わせた新しいCAPTCHA方式
- 2023年に却下されたWeb Environment Integrity(WEI)と同じ仕組みを商用化
- プライバシー重視ユーザーや非公式Android端末が排除される問題
- トラッキング・ガバナンス・セキュリティ上の懸念が再燃
Googleの2023年の試み:Web Environment Integrity(WEI)
- 2023年6月、GoogleエンジニアYoav WeissがChromiumプロジェクトに「Web Environment Integrity(WEI)」を提案
- ブラウザがデバイスハードウェアから 暗号署名付き証明 を取得し、ブラウザの改変やGoogle認証ハードウェア上での実行を証明
- ウェブサイトは 証明書を検証 し、アクセス制御や追加チャレンジを実施
- 提案理由は「ボットや自動化スクレイピング対策」
- Mozillaは「ユーザーの利益に反する」「OS・デバイスベンダーによるインターネットの囲い込み」と批判
- EFFは「ChromeによるWebのDRM化」と指摘、AndroidやGoogle認証ハードのみが容易に通過可能
- 提案は3週間で撤回、GitHubスレッドもクローズ
2026年の新サービス:Google Cloud Fraud Defense
- 2026年5月、「Google Cloud Fraud Defense」が「reCAPTCHAの進化版」として発表
- ユーザーはQRコードをスマホでスキャンし、 人間であることを証明
- 必要条件:「Google Play Services搭載の最新Android」または「最新iPhone/iPad」
- Google Play Services はGoogle認証済みAndroid端末でのみ動作
- Play Integrity APIで端末の改変有無・認証状況を判定
- Play Services非搭載端末は要件を満たせず、これは技術的な制限ではなく 意図的な仕組み
- WEIの時と異なり、 公開レビューや反論の機会なし に商用化
QRコード認証の実際と抜け穴
- チャレンジの流れ:ユーザーがQRコードをスキャン→スマホがGoogleの認証APIで端末認証→サイトに人間証明を返送
- ボット運営者はカメラで画面を撮影し自動化可能、技術的障壁は低い
- Play Integrity認証用のAndroid端末は 約30ドルで入手可能、ボットファームのコスト増加は限定的
- QRコード認証はフィッシング被害拡大の懸念 :ユーザーがQRコードを無条件でスキャンする習慣が悪用される
デバイス認証の新旧とWebへの影響
- iOSのApp Attestationは アプリの正規性保証 で、ユーザーがApp Store経由で選択した「囲い込み」環境
- Fraud Defenseは オープンWebのURLアクセスをハードウェア認証に依存させる 点が根本的に異なる
- QR認証自体はエストニアのSmart ID等で実績ありだが、 用途・範囲・同意が明確な限定的リソース
- Fraud Defenseは 同意や目的制限なしにWeb全体へ適用可能、ユーザーが自分のハードウェアIDを認証情報として使っている認識も薄い
プライバシー重視ユーザーの排除
- Google Play Integrity認証には Google Play Servicesが必須
- GrapheneOS(EFF推奨のセキュリティ強化Android)、LineageOS for microG(オープンソース志向Android)は非対応
- カスタムROMやPlay Services非搭載端末も 認証不可
- Firefox for Androidも Googleのサポートブラウザリストに非掲載
- Mozillaは2023年時点でデバイス認証に明確に反対
- 結果: プライバシー志向の主要ブラウザやOS利用者がデフォルトで排除、理由はボット対策ではなくGoogle認証外であるため
トラッキングとガバナンスの問題
- Fraud Defense認証成功ごとにGoogleへ「この認証端末がこのサイトにアクセスした」という情報が送信
- デバイス固有のハードウェアIDによる 永続的識別子 が生成され、セッション・ブラウザ・プライベートモードを横断
- ハードウェアの「正当性」を決める企業が オープンWeb上のアクセス履歴を一元管理
- これは副作用ではなく、 設計上の必然
代替案:プライバシー配慮型CAPTCHA
- Private Captcha等の Proof-of-Work型CAPTCHA は、計算コストを利用してボットを抑制
- 人間1人の負担は軽微
- ボットファームやAIエージェントは 指数関数的なコスト増
- ハードウェアID送信や認証不要、認証レイヤーでの排除も発生しない
- 構造的にプライバシーが守られる
結論・総括
- Google Cloud Fraud Defenseは reCAPTCHAのアップデートではない
- QRコードは表面上の仕組みであり、 本質はデバイス認証
- 認証成功ごとに Googleがアクセス情報を蓄積
- 2023年に標準化団体が拒否したインフラが、商用サービスとして導入されている現状
- 皮肉にも、 ボット対策としても抜け穴が多く、根本的な問題解決には至らず