Webサイトのセキュリティ対策として広く導入されているGoogleの「reCAPTCHA」だが、最新の研究により、ボット防御としては無効であり、ユーザーの行動追跡とデータ収集を主な目的としており、Googleに莫大な利益をもたらしている可能性が浮上した。
reCAPTCHAの誕生と進化：デジタル化への貢献からデータ収集へ
CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) は、Webサイトをボット攻撃やスパムから守るために広く使用されている認証システムである。
reCAPTCHAは、2007年にCAPTCHAを元にLuis von Ahn氏によって開発されたものだが、当初の目的は、コンピュータが読み取りにくい書籍や新聞のスキャンテキストのデジタル化を支援することだった。この革新的なアイデアは、The New York Timesの1851年からの1300万記事のアーカイブをデジタル化するプロジェクトで採用されるなど、目覚ましい成果を上げている。
2009年にGoogleに買収されたreCAPTCHAは、Googleブックスのデジタル化やGoogleストリートビューの改善に貢献した。しかし、技術の進化とともに、reCAPTCHAは新たな局面を迎える。
ボット対策としてのreCAPTCHAの限界：研究が示す驚きの事実
近年、reCAPTCHAがボット対策として効果を失いつつあるという指摘が相次いでいる。実際、複数の研究により、AIを活用したボットはreCAPTCHAを容易に突破できることが示されている。それにもかかわらず、GoogleがreCAPTCHAを提供し続けるのは、それがユーザーデータを収集し、Googleに数十億ドル規模の収益をもたらす追跡ツールへと進化したからだとYouTuberのChuppl氏は指摘する。「reCAPTCHAは、ブラウザのピクセル単位のフィンガープリント、つまりインターネット上での行動のリアルタイムマップを取得します」。
2023年にカリフォルニア大学アーバイン校の研究者Andrew Searles博士らが発表した論文「Dazed & Confused: A Large-Scale Real-World User Study of reCAPTCHAv2」では、GoogleのreCAPTCHAが実際にはユーザー追跡とデータ収集を主な目的としている可能性が指摘されている。
この研究では、3,600人以上のユーザーを対象にreCAPTCHAの動作を詳細に分析した。その結果、reCAPTCHAはユーザーのCookie、閲覧履歴、ブラウザ環境（キャンバスレンダリング、画面解像度、マウスの動き、ユーザーエージェントデータなど）を広範囲に監視していることが明らかになった。これらのデータは、広告やユーザー追跡に利用される可能性がある。
さらに、画像ベースのreCAPTCHAチャレンジは、チェックボックスチャレンジよりも解決に557%も時間がかかることが判明した。だが、ボットはほとんどのCAPTCHAにおいて人間よりも優れたパフォーマンスを示しており、AIベースのプログラムは、悪名高い「信号機グリッドテスト」を100%の精度で解くことができるのだ。
スパイウェアとしてのreCAPTCHA：データ収集の実態とユーザーの懸念\
YouTuberのChuppl氏は、reCAPTCHA v2およびv3がボット対策としてほとんど機能せず、ユーザーのインターネットデータを収集するだけのツールになっていると指摘している。Chuppl氏の調査によると、reCAPTCHAはブラウザの履歴、Cookieなどの情報を追跡し、広告主やデータ購入企業に販売している疑いがあるとのことだ。
また、Chuppl氏が作成したボットは、マウスの動きを模倣することでreCAPTCHA v3を簡単に突破できることが示された。これは、reCAPTCHA v3が単にマウスの動きを監視しているだけではないことを示唆するものだが、Chuppl氏は、reCAPTCHAがユーザーエージェントデータやその他の識別情報も記録していることを明らかにした。
VPNを利用してWebを閲覧しようとするとreCAPTCHAに頻繁に遭遇するという経験は、reCAPTCHAが匿名化されたブラウザデータをブロックする傾向があることを示唆している。これは、reCAPTCHAがボットよりもむしろプライバシーを重視するユーザーを排除している可能性を示唆しており、セキュリティ対策としての有効性に疑問を投げかける物だ。
Chuppl氏は、reCAPTCHAによって社会全体で8億1900万時間もの人的時間が浪費され、賃金換算で61億ドルもの経済的損失が発生していると推定している。一方で、Googleはユーザー追跡とデータ収集によって巨額の利益を得ており、追跡Cookieだけでも8880億ドルもの価値があるとのことだ。
Sources
コメント