Google

reCAPTCHAが脱Google端末を締め出し

情報の灯台

2026年5月10日 19:2300

reCAPTCHAの新仕様はGoogle Play開発者サービス25.41.30以上を要求する。GrapheneOSなど脱Google端末は、人間であることすら証明できなくなる。

「ロボットではありません」を超えた要求

GoogleのreCAPTCHAが、Androidユーザーに対してGoogle Play開発者サービス（Google Play Services）のバージョン25.41.30以上を要求し始めている。古い画像パズルの代わりに登場するのはQRコード。それをスキャンするには、Google Play開発者サービスがバックグラウンドで動き、Googleのサーバーと通信していることが前提になる。

GrapheneOSや、その他Googleを取り除いたカスタムROMを使っている人は、この時点で詰む。検証は自動的に失敗する。

reCAPTCHAは世界中の何百万というウェブサイトの入口に立っている。その入口を通るために、自分のスマートフォンで何が動いているかをGoogleに見せろと言われる構造ができあがった。「人間であること」の証明が、Googleの監視への同意と同義になった。

QRコード認証の中身

Googleはこの新しい仕組みを「Google Cloud Fraud Defense」として2026年4月22日のCloud Next '26で発表した。エージェント化したAIや従来型のボットを見分けるためのトラスト・プラットフォーム、というのが公式の触れ込みだ。

仕組みはこうだ。reCAPTCHAが「これは怪しい」と判断した瞬間、画像パズルではなくQRコードが表示される。利用者はそれをスマートフォンでスキャンする。スキャンの裏側では、端末上のGoogle Play開発者サービスがGoogleのサーバーに「この端末は本物の人が持っている」と報告している。

Googleの公式サポートページには淡々とした記述が並ぶ。Androidで検証を通すにはGoogle Play開発者サービスが25.41.30以上であること。古いバージョンの利用者には「最新版にアップグレードしてください」というリンクが置かれている。

ここで前提とされていない端末がある。Google Play開発者サービスが、そもそも入っていない端末だ。

iOSとの非対称が物語るもの

同じサポートページには、iPhoneユーザー向けの記述もある。iOS 16.4以降を使っているなら、追加で何もインストールする必要はない。「Click to Verify」ボタンが画面に出るだけだ。iOS 15.0から16.4の利用者だけが、reCAPTCHA専用アプリの導入を求められる。

Androidでは「Googleのアプリを動かせ」、iOSでは「何も入れなくていい」。同じ「人間であることの証明」のはずが、OSによって要求が違う。

この非対称が、今回の話の本質を露わにする。もし純粋にセキュリティの問題なら、iOSにも同じ要求が来るはずだ。実際には来ていない。Apple端末は素のままで通り抜け、Android端末はGoogleのソフトの有無で振り分けられる。

セキュリティではなく、エコシステムの境界線の引き直し。脱Google端末の利用者を、検証の通らない側に追いやる設計になっている。

QRコード認証段階での検証可否（OS・端末構成別）

端末構成	OS	追加で必要なもの	QR検証
iPhone（新しめ）	iOS 16.4以降	なし	○ 追加なしで通る
iPhone（古め）	iOS 15.0〜16.4	reCAPTCHAアプリ	○ アプリ追加で通る
Android（標準）	Android	Play開発者サービス 25.41.30以上	○ 自動更新で通る
Android（旧版）	Android	Play開発者サービスのアップグレード	○ 更新後に通る
脱Google端末	GrapheneOS等	Play開発者サービス（導入できない）	× 自動的に失敗

※ Google公式サポートページ「Troubleshoot reCAPTCHA Mobile Verification」記載の要件に基づく。「QR検証」はreCAPTCHAが不審な挙動と判定してQRコードによる人間確認を要求した段階を指す。

2025年10月から、目立たない形で

Reclaim The Netの記事によれば、この変更は4月22日の発表で突然降ってきたわけではない。Internet Archiveに残っている2025年10月時点のサポートページのスナップショットには、すでにGoogle Play開発者サービスのバージョン要件が記載されていた（当時は25.39.30）。

つまりGoogleは、少なくとも7か月前からこの依存関係を仕込んでいた。誰も気づかなかっただけだ。

最初に火を点けたのはRedditのdegoogleコミュニティに投稿した一人のユーザーだった。そこからPiunikaWebとAndroid Authorityが取り上げ、ようやく英語圏のテックメディアの議論に上がってきた、というのが時系列だ。

Play開発者サービス依存が公になるまでの経緯

2025年 10月時点

サポートページに要件が出現

Internet Archiveのスナップショットに、Play開発者サービス25.39.30以上を要求する記載が確認できる。一般の認知はまだない。

2026年 4月22日

Cloud Next '26で公式発表

GoogleがCloud Fraud Defenseを発表。エージェントAI時代のトラストプラットフォームとして打ち出されたが、Android側の依存関係には触れず。

2026年 5月初旬

Redditのdegoogleで指摘

サポートページの記述に気づいたユーザーがdegoogleコミュニティで共有。PiunikaWebとAndroid Authorityが続けて報じる。

現在運用中

要件は25.41.30以上に

公式ページの数値はバージョンアップに伴い更新。脱Google端末ではQR認証段階で自動的に弾かれる状態が続いている。

※ Google公式サポートページのInternet Archiveスナップショット、Google Cloud Blog（Cloud Next '26発表）、PiunikaWeb・Android Authority報道を時系列に整理。

Cloud Nextの華やかなステージで「エージェント時代のトラストプラットフォーム」と呼ばれていた仕組みの実装は、半年以上前から目立たない形で進んでいた。発表のタイミングと実装のタイミングは、必ずしも一致しない。

なぜ脱Google端末を選んだ人たちなのか

GrapheneOSや、Google Play開発者サービスを抜いたカスタムROMを使っている人たちは、別に変わり者を気取っているわけではない。Googleが端末から何をどこへ送っているかを読んだうえで、同意しないと決めた人たちだ。

Google Play開発者サービスは、地図、認証、位置情報、プッシュ通知など、無数の経路でGoogleのサーバーと通信する。それを止めたい、あるいは少なくとも自分の手元で制御したい、というのが脱Googleコミュニティのモチベーションだ。日本でも一部のジャーナリストやセキュリティ研究者が、同じ理由でGrapheneOS入りのPixelを使っている。

Googleの新しい仕組みは、この選択を「不審な挙動」として処理する。プロプライエタリなソフトウェアがないこと自体が、デフォルトで疑わしいとみなされる。

reCAPTCHAは数百万のサイトに埋め込まれている。航空券の予約、銀行のログイン、政府の窓口、求人応募。生活のインフラの入口だ。そこに「Googleのソフトを動かしていない端末は通すな」というルールが組み込まれると、影響を受けるのはサイト運営者ではなく、訪問しようとした個人になる。

ウェブの「通行証」を一企業が握るということ

ここで気にしておきたいのは、reCAPTCHAそのものがGoogleの所有物だ、という基本的な事実だ。普段は意識しないが、世界中のサイトが「人間かどうかの判定」をGoogleに外注している状態が、もう20年近く続いている。

その判定ロジックに、今回「Googleの別のソフトを動かしているかどうか」が組み込まれた。連鎖はわかりやすい。Googleがウェブの通行証を発行する。通行証を取るにはGoogleの端末側ソフトがいる。端末側ソフトはGoogleにテレメトリを送る。ウェブ利用がデータ送信を含む、という構造になる。

GrapheneOSのコミュニティでは、すでに似たような問題が議論されてきた。オランダの政府ID認証アプリDigiDがQRコードスキャンにGoogle Mobile Vision（Google Play開発者サービスの一部）を使っていて、脱Google端末では動かない、という話だ。回避策はある。Google Play開発者サービス3点セットを別プロファイルにインストールして、必要なときだけ起動する。動きはするが、手間が増える。reCAPTCHAでも同じ手が通用するかもしれないが、いずれにせよ余計な操作が日常に挟まることになる。

問題は煩わしさだけではない。この設計が広く採用されると、ウェブを開発する側にも踏み絵が回ってくる。reCAPTCHAを採用するということは、脱Google Android端末からのアクセスを「歓迎しない」とサイトのドアに書くのと同じ意味になる。それは小さな利用者層だ。だが、サイトのデータ取扱いに最も注意を払い、最もうるさく、最も妥協しない層でもある。