すべての端末を紛失し、電話番号も使えなくなったとき、ユーザーはどのようにして自分のデジタル資産を取り戻せるだろうか。Googleがその問いに対するひとつの答えを出した。
Googleは2026年7月23日（米国時間）、自社のGoogleアカウントの新しい復旧手段として「セルフィー動画（selfie video）」を追加したと発表した。この機能はパスキーやスマートフォンなど、通常のサインイン手段が利用できない場合のバックアップを担う。アカウントの乗っ取りを防ぎつつ、正規のユーザーが確実にアクセスを取り戻せるように設計されている。
ユーザーはあらかじめ、自身のスマートフォンやPCのカメラを使って、左右に首を振るなどの短い動作を含む動画を登録しておく。万が一アカウントから締め出された場合には、再度同じように動画を撮影する。システムが登録済みの動画と新たな動画をAIで比較し、本人であることを確認できればアカウントへのアクセスが回復する仕組みだ。設定は指定のURL（g.co/signin-selfie）から行うことができる。
ディープフェイクを見破る「首振りの死角」
この機能の核心は、静止画像の照合ではなく「動き」を伴う動画を要求する点にある。ただ顔の形を比べるのではなく、立体的な空間での動作を要求することで、攻撃のハードルを上げているのだ。
近年、AIによるディープフェイク技術は急速に高度化しており、正面からの顔画像であれば容易に偽造できるようになってきた。一枚の写真さえあれば、本人の声で喋り、瞬きをするような動画すら数秒で生成できる時代だ。しかし、顔の向きを大きく変える、特に真横を向くようなプロファイル（横顔）のリアルタイム生成は、現行のディープフェイク技術にとって依然として計算上の難所だ。顔の立体構造や陰影の変化を時間軸に沿って破綻なく描写し続けるのは、極めて高度な処理能力を必要とする。
Googleはあえて「左右に首を振る」という動作を要求することで、リアルタイムの顔置換技術に負荷をかけ、カメラの前にいるのが生身の人間か生成された映像かを判別する「ライブネス（生存）テスト」として利用している。AppleのFace IDが赤外線ドットで顔の3Dマップを物理的にスキャンするのに対し、Googleのアプローチは汎用の2DカメラとAIの推論に依存している。特殊な深度センサーを必要としないため、安価なAndroid端末や古いノートPCのウェブカメラなど、ハードウェアの制約を超えて多くのデバイスで広く利用できるという強みがある。
ただし、システム単体で本人確認を完全に完結させるわけではない。Googleは、不審なサインインの兆候を検知した場合は他の認証手段を併用するなど、総合的なリスク評価の中にこの動画照合を位置づけて安全性を高めている。オープンソースのAIモデルが進化し、横顔の生成精度も向上していく未来を考えれば、このライブネステストの手法がいつまで有効性を保てるかは今後の技術的な焦点になるだろう。
パスキー普及がもたらした「デバイス依存」のジレンマ
Googleがこのタイミングでセルフィー動画を導入した背景には、パスキー（Passkey）の急速な普及がある。従来のパスワードは、フィッシング詐欺やデータベースからの流出といった漏洩リスクが常に付きまとっていたが、公開鍵暗号方式を用いたパスキーはこれを根本から断ち切る強力な手段だ。
Googleのシステム上では、2024年時点ですでに10億回以上の認証に利用されてきた実績がある。パスワードレス化への移行は順調に進んでいるように見える。だが、セキュリティが大きく向上した代償として「認証鍵のデバイス依存」という新たな課題が浮上した。パスキーは原則としてデバイス内のセキュアな領域に保存される。これを保存したスマートフォンやPCを紛失し、さらにリカバリー用の電話番号やバックアップメールアドレスにもアクセスできなくなった場合、ユーザーはアカウント内の写真やドキュメント、仕事のメールといった全資産を永遠に失うリスクを抱え込むことになる。パスキーの普及をさらに押し進めるGoogleにとって、この「スマホ紛失＝全喪失」というシナリオは決して無視できない最大の障壁だった。
パスワードのように「脳内の記憶」に頼る手段を廃止する以上、ユーザーが絶対に紛失しない「生体情報」をバックアップの最終防波堤に据えるのは理にかなった戦略だ。顔という唯一無二の身体的特徴をクラウド側に登録しておくことで、手元のデバイスが全滅した絶望的な状態からでも、ユーザーは復旧の糸口をつかむことができる。
究極の個人情報に対するプライバシーの担保
顔の動画という究極の個人情報をクラウドに預けることに抵抗を感じるユーザーは少なくない。近年、テクノロジー企業による生体データの収集に対しては各国の規制当局も厳しい目を向けている。Googleはこの懸念に対して、撮影されたセルフィー動画は暗号化された状態で厳重に保存され、ユーザーが設定画面からいつでも任意に削除できると説明し、理解を求めている。
また、デフォルトの設定では、この動画はアカウントのサインイン目的にのみ使われる。AIの顔認識システムの精度向上や、年齢推定といった他の研究開発目的でデータを利用するには、ユーザー自身の明示的なオプトイン（同意）が必要になる仕様だ。データの暗号化と利用目的の厳格な制限により、利便性を確保しつつデータ収集への疑念を払拭しようとする姿勢がうかがえる。ユーザーのデータに対するコントロール権を明確にすることで、生体情報のクラウド保存に対する心理的抵抗を和らげる狙いがある。
パスワードの終わりは、私たちが自身の身体そのものを鍵として企業に預ける時代の始まりでもある。生体情報を使った復旧システムが、巧妙化するソーシャルエンジニアリングやAI生成の偽装攻撃に対してどこまで持ち堪えられるか。この「最後の鍵」の堅牢性が、利便性と安全性のバランスを探るパスワードレス社会の本当の真価を問うことになる。
