Googleは、スマートフォンを紛失した場合やパスワードを忘れた場合に、アカウントへのアクセスを回復するための新しい方法として、「自撮り動画」による本人確認オプションの提供を開始しました。
設定時に自分の顔の短い動画を録画しておけば、後でアカウントの復旧手続きの際に別の動画を提出し、本人であることを証明して、アカウントへのアクセス権を取り戻すことができます。
一見すると、これはアカウントのロックアウトに対するユーザーフレンドリーな解決策のように思えます。しかし実際には、新たなセキュリティやプライバシー上の問題を引き起こします。またdeepfakes に関する懸念も生じさせdeepfakes 侵害された場合に標的となる可能性のある機密性の高い生体認証データの新たな保管場所を作り出すことにもなります。
手順は次のとおりです。Googleアカウントにログインし、「セキュリティとログイン」に移動して、「自撮り動画」を選択し、画面の指示に従って、自分の顔と簡単な動作を撮影した短い動画を録画します。Googleはこの登録用動画を保存し、後日、ログイン時やアカウントの復旧時に送信された新しい動画と照合して、本人確認を行います。
これは一見良いアイデアのように思えるかもしれませんが、長期的な安全性とプライバシーを、短期的な利便性と引き換えにしてしまう典型的な例です。
Googleはプライバシー保護についてもいくつかの保証を提示しています。報道で引用されたGoogleの声明によると、動画は保存時に暗号化され、「安全に」保管されており、セキュリティ設定から削除することも可能です。また、Googleの本人確認システムの改善に動画が利用されることを拒否することもでき、Googleは第三者と共有されることはないとしています。この機能は「代替手段」として宣伝されており、事実上、ユーザーの顔をデジタルライフの「予備の鍵」として機能させるものです。
複数の異議
セキュリティ
人の顔は一つとして同じものはありませんが、顔認識システムは写真を直接比較するわけではありません。米国国立標準技術研究所（NIST）による評価によると、最先端の顔認識アルゴリズムは、管理された高品質な環境下では 99％を超える精度を発揮することがあります。これは非常に印象的な数字ですが、それでも誤検知や検知漏れがゼロではないことを意味しており、照明やカメラの画質、撮影角度が悪化すると性能は低下します。
顔認識では、実際の写真が保存されるわけではありません。保存されるのは、顔の特徴を数学的に表現したもの（エンベディング）です。ログインや本人確認の際、システムは新しいエンベディングを算出し、保存されているものと照合します。類似度スコアが設定された閾値を上回った場合、認証が承認されます。Googleが使用するシステムはすべて、加齢、体重の変化、照明、カメラのアングル、眼鏡の着用、ひげの有無など、外見に生じる通常の変化に対応できる必要があります。
それだけでも、顔（または自撮り動画）を単独の、かつ高い権限を持つ認証情報として、特にアカウントの復旧に利用することは、本質的にリスクの高いアプローチである。
現代deepfakes 、顔認証システムを欺くことができるかどうかを研究者たちが積極的に研究するほど、その精巧さdeepfakes 2025年に発表されたAIと身元認証セキュリティに関するある論文によると、制御されたテストにおいて、高度なdeepfake 一部の商用顔認証システムに対して78％を超える成功率を達成したことが明らかになりました。これは必ずしもGoogleの実装状況を反映しているわけではありませんが、この分野がいかに急速に進化しているかを示しています。
Privacy
個人的には、Googleに自分の顔を知られたくありません。おそらくすでに私の写真は山ほど持っているでしょうが。
脆弱性やデータ漏洩という潜在的なリスクに加え、Googleはすでに大量の行動データを収集しています。そして今、同社は基本的なアカウント管理の一環として、ユーザーの顔や頭部の動きを高精細な動画で記録し、アップロードするようユーザーに促しています。たとえGoogleの現在のプライバシー対策（保存時の暗号化、削除管理、第三者への共有なし）が妥当であるとしても、こうしたデータが存在すること自体が、長期的なプライバシーリスクとなります。
Privacy の利用目的も、時間の経過とともに変化します。今日「共有されない」とされている情報が、明日には「不正検知のために利用される」や「本人確認システムの改善のために利用される」といった用途に転用されたり、法的要請に応じて開示されたりする可能性があります。
一部の情報源が引用しているGoogleのドキュメントには、「ユーザーは、認証方法の改善など、その他の目的でのデータ利用をオプトアウトすることも可能です」と記載されています。これは、オプトアウトしない限り、ユーザーのデータがGoogleの生体認証システムの改善に利用される可能性があることを示唆しています。つまり、これは単なる一回限りのセキュリティチェックではないのです。ユーザーの顔データは、Googleが将来使用する生体認証システムの学習や改良に活用される可能性があります。
その代わりにユーザーがすべきこと
お使いのGoogleアカウントで「自撮り動画によるログイン」機能が利用可能な場合（私のアカウントではまだ利用できませんが）、私のアドバイスは簡単です。この機能を有効にしないでください。すでに試したことがある場合は、アカウントのセキュリティ設定から自撮り動画を削除してください。
自分の手でコントロールできる、より安全な選択肢：
- Googleアカウントには、パスワードマネージャーを使用し、長くてユニークなパスワードを設定してください。
- SMSコードの代わりに、ハードウェアセキュリティキーやパスキーを使用して、2段階認証を有効にしてください。
- バックアップコードは、印刷しておくか、オフラインで安全な場所に保管しておいてください。
- 復旧用のメールアドレスや電話番号を定期的に確認し、自分が管理できなくなったものは削除してください。
これらの対策は「顔でログイン」ほど派手ではありませんが、長年にわたり実証されており、いつでも無効化が可能で、deepfake や生体認証データの収集者にとってはるかに魅力的ではありません。
誰にも見られていないかのように、自由に閲覧してください。
Malwarebytes Privacy VPN 接続をVPN 、ユーザーの行動を一切記録しません。だから、次に読む記事が自分事のように感じられることはありません。無料でお試しください →
