Gmail登録時、QRコードをスキャンしてSMSを送信する方式に変更
(discuss.privacyguides.net)- Googleアカウントの登録方式が変更され、従来のSMS受信認証の代わりに、ユーザーの携帯電話から直接SMSを送信する方式へ移行
- スマートフォンでQRコードをスキャンすると、GoogleにSMSが自動送信され、電話番号認証が行われる仕組み
- この変更により、SMSpoolのような一時番号受信サービスを使ったアカウント作成が遮断される
- フィッシング防止の効果はある一方で、プライバシーを重視するユーザーにとっては匿名アカウント作成がより難しくなる問題が発生
- 国ごとのSIM実名登録や番号の再割り当てにより、Googleが過去の電話番号記録で身元を追跡したり、再確認を求めたりできるのかが争点として浮上
変更された登録方式
- 従来のQRコード経由の登録はもはや機能せず、スマートフォンでQRコードをスキャンすると、ユーザーの端末からGoogleへSMSが送信されて電話番号が認証される
- この方式はセキュリティ目的で導入されており、フィッシングをより困難にする効果がある
- ただし、SMSpoolのようなSMS受信専用サービスを使った認証は不可能になった
プライバシーに関する懸念
- 一般ユーザーはもともとSMS認証サービスを使わず、この変更の影響を受けるのは主にプライバシーを重視する個人
- 中古アカウントの購入は、以前の所有者との関連性が分からないため固有のリスクがある
- Googleはますます閉鎖的になっており、回避手段が必要だという反応もある
QRコード認証の地域別適用の有無
- QRコード認証がすべての国で同じように適用されるのかという疑問が提起されている
- 一部の国（例: イタリア）では、SIM購入時に身分証登録が必須であり、その番号でアカウントを作成した後に番号が再割り当てされた場合、追跡可能かどうかは不明
- Googleはユーザーが登録したすべての電話番号の記録を保管しているが、すでに所有していない番号での認証は許可していない
セキュリティ観点からの反論
- ユーザーの端末からSMSを送信する方式には電話番号スプーフィングの可能性があり、これをMFAに使うことへの懸念がある
- 結局、SMS送信サービスを提供する新たな回避サービスが登場するだろうとの見方もある
1件のコメント
Hacker Newsの意見
Gmailへの不満は多いが、Googleが置かれている状況もある程度は理解できる
事実上、インターネットインフラの大きな一部を無料で維持する役割に縛られており、ユーザーがあまりにも多いため、終了すれば世界中が大騒ぎになるだろう
維持費も高く、複雑で、時間もかかり、スパムや詐欺の送信元であり受信先でもある。データを事実上永遠に保管しなければならない負担も大きい
それでも、無料メールという発想自体が根本的によくないと思う。無料メールサービスが良質だったり手厚く支援されたりすることは期待しにくく、いまだに残っているのも善意よりは反動への恐れによる可能性が高い。単に有料メールサービスを使うほうがよく、気も楽だ
当時はISPのメールボックスで25MBや50MBもあればかなり良いほうだったのに、Googleは人を引きつけるために1〜2GBを提供していた
悪用を防ぐ措置を取る権利はあるし、無料提供の義務もないが、Googleが無料メールを無理やり背負わされたわけでもなく、競合よりはるかに大きな特典を提供したのも自分たちの選択だ
インターネットがどう動くかも支配している。HTTPSを強制することもできるし、トラッカーやetagも思いのままだ
ユーザーに関するあらゆる情報を高値で売ることができ、規約上はいつでも切り売りしてもユーザーは抗議しにくい。表向きは無料に見えるかもしれないが、多くの人がさまざまな形でGoogleにプレミアムを支払っている
以前のGoogleは革新と優れたアイデアでより良い世界を作るとして尊敬されていたが、今も世界を変えてはいても、その方向は万人のためではない
Gmailがユーザーから直接・間接に吸い上げて売るデータより高くつくなら、Gmailも存在していなかったはずだ
企業が顧客に連絡するには、大量送信のための許可リストに料金を払わなければならず、その費用はGmailを使ったことのない顧客にも転嫁される
そうしたリストに金を払わない会社がGmail利用者の顧客を多く抱えている場合、慎重に送信レート制限をかける必要があり、そのためメールが当日中に届かないこともある
メールマーケティングやキャンペーン業者もこのリストに金を払い、そのコストをさらに顧客へ回す。何百万人にも大量メールを無料で受け取らせてくれるメール提供者など、もともと存在しなかった
Gmail担当者がいるなら、GmailがなぜGoogle自身のサービスを悪用したGmailフィッシングメールを許しているのか説明してほしい。たとえば https://storage.googleapis.com/savelinge/ のようなものだ
詳しくはこちら: https://news.ycombinator.com/item?id=46665414
また、注文した品の配送追跡サービスを装い、数日にわたって荷物が紛失したかのように見せかけ、「購入金額」分の割引コードを提供すると言ってフィッシングサイトで使わせようとする
Gmailはこうしたメールをスパムとして分類できないどころか、重要メールとして分類し、最優先の通知や要約まで表示する
*.bc.googleusercontent.comは何年も事実上のスパム農場として使われていたので完全に遮断したそれでもGoogleは、Compute Engineユーザーにほんの少しでも不便をかけることすら嫌なのか、まったく気にしていないようだ
@gmail.comアドレスから来る露骨で愚かな「Costco」スパムが、いくらスパム表示しても受信トレイに入り続ける理由を説明する仮説にはなる要請が無視されるなら、この種の採用詐欺メールを、なりすまし被害を受けたブランドの法務・詐欺・フィッシング対応チームへ転送するしかない。関心がなさそうな会社なら、法律事務所名義の書簡が優先度を上げるのに役立つかもしれない
「スマートフォンでQRコードを使うと、携帯電話からGoogleへSMSが送信されて電話番号を確認する」という話について、QRコードをスキャンするだけでSMSが送られると思い込んでいるフォーラムのコメント以外に、もっと良い情報源はないのだろうか
確認したところ、ただのSMS URIだった。自動で何かを送ることはなく、ユーザーが送るテキストメッセージを開くだけだ
要するに、以前からある電話番号認証にQRコードという利便性を足しただけだ
Googleの最近の動きは、反トラスト法廷が必要としていた決定的証拠のように見える。「これをやれ、さもないと…」という感じだ
reCAPTCHA, Gmail, Google Suite, Android, Chrome, Colab, Google Play のすべてが、Googleの広告マシンと切り離され、独立して持続可能な事業であるべきだ
Gmailは他のメールプロバイダーとユーザー獲得競争をすべきで、reCAPTCHAもインフラ費用をreCAPTCHAの収益だけで全額負担すべきだ。そうすれば競争条件が平準化され、批判も和らぎ、息がしやすくなる
最近、小規模事業者のGoogle Workspaceアカウント設定を手伝ったが、登録過程で壁にぶつかった
登録段階からGoogleがここまで厄介なら、後で顧客業務がぶら下がった状態でアカウントがロックされたらどうするのかとオーナーたちに話した。Googleアカウント凍結の恐怖事例をいくつか見せたところ、最終的に別の業務用コラボレーションソリューションを選んだ
サポートの実際の回答は「確認したところ、Business StandardからBusiness Plusにアップグレードされており、ストレージが0バイトと表示されています。ご心配なく、これは極めて正常です」だった
また、「サブスクリプションがアップグレードされる際、バックエンドシステムがまず既存のBusiness Standardストレージ割り当てを切り離し、その後に新しいBusiness Plusの上限をプロビジョニングする必要があり、この移行期間中は割り当て量が一時的に0にデフォルト設定されます」とも言っていた
最後に、ユーザーストレージ制限または共有ドライブストレージ制限を有効にして5分後に無効化してほしいと言われたが、ストレージ割り当て量をより早くリセットしようとするその試みは失敗し、結局数時間かかった
毎年少しずつ悪くなっている。Gmailは規模が大きすぎるため、有料で使っていてもサポートを受けられる可能性はほとんどなく、そのリスクは受け入れるには大きすぎる
ただ、この1年ほどで従業員が使いたがらないAI関連ポップアップが煩わしいという不満を聞くようになった
それでもMicrosoftのほうが製品は悪くてもサポートはまし、というのは驚くことではない
さっき登録フローを自分で試したが、QRコードは不要だった。何年も同じだった手順のままだった
個人/子ども/ビジネスを選び、名前を入力し、メールを選び、生年月日、再設定用メールまたはスキップ、パスワード、電話番号を入力し、2段階認証コードを確認して完了、という流れだった
testregistrationflow@gmail.comというアカウントを作り、パスワードはもう忘れたので1つ燃やしたようなものだ。testregistrationflow1@gmail.comでQRコードなしでできるか試してみてもいい見出しは、多数のGmailアカウントをプログラム的に作ろうとする人に適用される特定のフローを誤って一般化したものなのは明らかだ
文書化された上限はなさそうで、人々が見つけた唯一の解決策は、別の人の電話番号で認証を手伝ってもらうことだけだ
さらに厄介なのは、既存アカウントからログアウトされたときだ。ログインしようとすると2段階認証用の電話番号を求められ、元の登録認証に使った同じ番号を入れても、その番号は使われすぎているという理由で失敗する
すると、すでに存在する正常なアカウントにもログインできなくなる。もちろん別の2段階認証方式やパスキーを追加しておくべきだったのだろうが、なぜ最初に使った番号で再認証できないのかは理解しがたい
しかも、他のGoogleサービス登録時のアカウント確認用2段階認証にはGoogle Voice番号も使えない
各アカウントが新しいアカウントを招待できる数を小さく有限に制限すれば、詐欺師を防ぐ一つの方法になりうる
「QRコードをスキャンしなければならない」という表現は、列車のドアを開けるにはQRコードをスキャンしなければならないと言いながら、実際の要件が料金請求のために携帯電話を支払い情報と結びつけることだという点を省くのと同じだ
Googleがここで確認しているのは、データマトリクスをバイト列に変換する能力ではない
こういうものは「セキュリティ」変更のように見えるが、同時にプライバシーを守るワークフローを大量に排除するのにも非常に都合がよさそうだ
次の段階は、ウォレットへのアクセスに電話番号が必要な中央銀行デジタル通貨と結びつけ、移動制限のために実名の身分証やパスポートと連動させることかもしれない
2段階認証はプライバシーを粉々に砕く楔になってしまった
ユーザーにSMSを送らせることを要求するのは、そうしたサービスを排除してボットが使えなくなるようにする優れた方法に見える
もっとも、Googleアカウントでプライバシー保全フローが何を意味するのかはよくわからない。Googleは電話番号を知らなくてもユーザーを追跡できるのだから