reCAPTCHAは、ウェブサイトでよく見る「私はロボットではありません」系の本人確認です。
以前は、信号機や横断歩道の画像を選ばせるタイプが有名でしたよね。
これは簡単に言うと、アクセスしているのが人間か自動プログラムかを見分ける仕組みです。
スパム送信や不正ログインを減らすために使われます。
ただ、今回の話でややこしいのは、GoogleのreCAPTCHAが単なる「ボット対策」ではなく、Googleのアプリ基盤を動かしているかどうかまで見ている点です。
ここ、かなり重要です。
元記事によると、Googleの次世代reCAPTCHAはAndroid上でGoogle Play Servicesに結びつけられました。
Play Servicesとは、AndroidでGoogle系の機能を動かすための中核的な仕組みです。地味ですが、実はかなり多くのアプリがこれに依存しています。
Googleは、reCAPTCHAで怪しいと判断したときに、従来の画像パズルではなくQRコードのスキャンを求めるようにしています。
ところが、このQRコードの読み取りや確認には、Play Servicesがバックグラウンドで動いていて、Googleのサーバーと通信していることが前提になるそうです。
つまり、Google製ソフトを入れていないAndroid端末では、確認に失敗するわけです。
ここで出てくる「de-Googled Android」は、Googleのアプリやサービスを極力入れずに使うAndroid端末のことです。
代表例として挙げられているのがGrapheneOSです。
こうした環境を使う人は、Googleのデータ収集や通信を減らしたい、あるいは端末の自由度を高めたいと考えています。
要するに、「Googleに頼らずにAndroidを使いたい人たち」です。
で、その人たちに対して「人間かどうか確認したければ、Googleの仕組みを入れてください」と言う。
これはなかなか強烈です。
個人的には、ボット対策の皮をかぶった“囲い込み”に見えると思いました。
Googleはこの仕組みを、Google Cloud Fraud Defenseとして紹介しています。
これは、AIエージェントや従来のボットのような不正なアクセスに対応するための「信頼のためのプラットフォーム」として売り出しているようです。
でも元記事が指摘しているのは、そこに隠れている前提です。
つまり、「あなたが人間だと証明するには、Googleの独自ソフトを通してください」という構造になっていること。
これはかなり皮肉です。
本来、CAPTCHAは「ウェブ側がユーザーを確認する」ためのものなのに、いつの間にかGoogleの土俵に乗らないと通れない門になっているわけです。
この記事によると、この依存関係は突然出てきたものではありません。
Internet Archiveのスナップショットでは、2025年10月の時点ですでにPlay Servicesの要件が掲載されていたそうです。
さらに、要求されるバージョン番号も当初から少し進んでおり、少なくとも7か月ほど前から静かに仕込まれていたとされています。
ただ、広く注目されたのは、degoogle subredditのユーザーが気づき、PiunikaWebやAndroid Authorityが報じてからです。
こういう話って、最初に気づくのが一般ユーザーなのが面白いところですよね。巨大企業の仕様変更って、往々にして“静かに”進むので。
記事で特に象徴的なのは、iOSとの比較です。
iPhoneでは、iOS 16.4以降であれば、同じ確認を追加アプリなしで通過できるとされています。
つまり、GoogleはiPhoneユーザーに「Googleのアプリを入れろ」とは言っていない。
なのにAndroidユーザー、とくにGoogleを抜いた環境の人だけが弾かれる。
ここはかなり大事なポイントです。
もし本当に純粋なセキュリティ目的なら、端末の思想やメーカーによってここまで差が出るのは不自然です。
だから元記事は、これはセキュリティというより、エコシステムの支配ではないかと見ています。私も、そう読むのが自然だと思います。
reCAPTCHAは、今や何百万ものウェブサイトの入口にあります。
つまりGoogleがこの仕組みに何を組み込むかで、ウェブ全体の“通行証”の条件が変わってしまうんです。
もし「Googleのソフトを動かしていること」が実質的な条件になるなら、こうなります。
これ、地味に見えてかなり怖いです。
というのも、ウェブの入口にある仕組みは、みんなが思っている以上に“標準”っぽい顔をして、世界を決めてしまうからです。
元記事は、reCAPTCHAを採用するWeb開発者にも注意を促しています。
この仕組みを入れると、de-Googled Androidユーザーに「うちのサイトは歓迎しません」と言っているのと同じになりうる、というわけです。
正直、これは開発者にとっても考えものです。
「とりあえずreCAPTCHAを入れれば安全っぽい」というのはよくある判断ですが、その裏で誰を締め出しているのかまでは、あまり意識されません。
しかも、de-Googled Androidを使う人は少数派ではありますが、プライバシーやデータの扱いに敏感な人たちです。
そういう人たちを弾くのは、ちょっともったいないというか、筋が悪いと思います。
個人的には、これは「便利な安全対策」がどこまで行くと「支配」に見えてしまうのか、を考えさせる話だと思いました。
reCAPTCHA自体は、不正アクセスを減らすための実用的な仕組みです。
でも、その実装がGoogle依存を強める方向に進むと、**“人間であることの証明”が“Google製品を使っていることの証明”に近づいてしまう**。
この変化は、派手なニュースには見えないかもしれません。
でも、インターネットの空気をじわじわ変えるタイプの話としては、かなり重要だと思います。
今回のポイントを一言でいうと、GoogleのreCAPTCHAが、Androidの「Googleを外した端末」に冷たくなったという話です。
しかもそれが単なる不具合ではなく、設計そのものとして組み込まれている可能性が高い。
だからこそ、これは「ボット対策」の話であると同時に、どの会社のルールでウェブに入るのかという、かなり根っこに近い問題でもあります。
今後、こうした仕組みが増えると、ウェブはますます「見た目はオープン、中身は囲い込み」になっていくかもしれません。
便利さの裏で何を差し出しているのか、ちょっと立ち止まって考えたくなるニュースでした。
