gik|iewicz

Google ogłosiło system Fraud Defense – następcę reCAPTCHA, który zastępuje zagadki z autobusami kodami QR. Firma chce, aby użytkownicy skanowali kody telefonem, udowadniając w ten sposób, że są ludźmi. Zmiana dotyczy procesu rejestracji nowych kont Gmail i ma na celu ograniczenie botów.

TL;DR: Google zastępuje tradycyjną reCAPTCHA systemem Fraud Defense podczas tworzenia kont Gmail. Użytkownik musi teraz zeskanować kod QR telefonem i wysłać SMS-a. Nowy mechanizm łączy tożsamość urządzenia z kontem, co utrudnia automatyzację. System budzi kontrowersje, szczególnie wśród osób korzystających z Androida bez usług Google Play.

Dlaczego Google wymaga kodu QR przy rejestracji Gmail?

Google wprowadziło nowy system weryfikacji Fraud Defense jako następcę reCAPTCHA. Tradycyjne zagadki z wybieraniem obrazków autobusów czy sygnalizacji świetlnej przestały być skuteczne przeciwko botom. Nowy mechanizm wymaga zeskanowania kodu QR telefonem, co fizycznie łączy tożsamość urządzenia mobilnego z tworzonego kontem. Według Google’a chodzi o łączenie tożsamości autentycznego urządzenia z akcją w przeglądarce, co znacznie podnosi bezpieczeństwo procesu rejestracji. System eliminuje możliwość automatyzacji tego kroku przez skrypty. W praktyce wygląda to inaczej. Bot nie posiada telefonu, zatem nie może ukończyć tego kroku.

Jak wygląda proces weryfikacji krok po kroku?

Rejestracja nowego konta Gmail wymaga przejścia przez dwa etapy weryfikacji. Pierwszym krokiem jest wyświetlenie kodu QR na ekranie komputera, który użytkownik musi zeskanować aplikacją kamery w telefonie. Drugim krokiem jest wysłanie wiadomości SMS z telefonu na wskazany numer, co potwierdza posiadanie aktywnego numeru. Proces ten łączy urządzenie mobilne z kontem Google. Oto lista wymagań nowego systemu:

• Aktywny smartfon z dostępem do internetem i aparatem fotograficznym
• Numer telefonu zdolny do wysyłania płatnych wiadomości SMS
• Zainstalowane usługi Google Play na urządzeniu z systemem Android
• Przeglądarka internetowa obsługująca wyświetlanie kodów QR

Powyższe wymagania wykluczają automatyzację. Skrypt nie potrafi sfotografować kodu ani wysłać fizycznego SMS-a z dedykowanego smartfona.

Co nowego system oznacza dla użytkowników Androida bez usług Google?

Użytkownicy smartfonów z odblokowanym Androidem, niestandardowym ROM-em albo systemem nastawionym na prywatność mogą nie przejść weryfikacji captcha. Nowa reCAPTCHA wymaga obecności usług Google Play na urządzeniu. Oznacza to, że osoby korzystające z systemów takich jak GrapheneOS czy LineageOS bez GApps zostaną oznaczone jako podejrzane. Z kolei system skutecznie zablokuje im dostęp do rejestracji kont Gmail. W rezultacie miliony stron internetowych korzystających z reCAPTCHA również mogą odmówić tym użytkownikom dostępu. Internauci, którym zależy na prywatności, skrytykowali najnowsze aktualizacje systemu reCAPTCHA firmy Google. Argumentują, że skutecznie zablokowały one korzystanie z sieci bez usług firmy z Mountain View.

Jak Fraud Defense zastępuje tradycyjną reCAPTCHA?

Fraud Defense to nowy model weryfikacji, który ma znacznie utrudnić funkcjonowanie botom i oszustom. Tradycyjna reCAPTCHA opierała się na rozpoznawaniu obrazków lub analizie zachowania użytkownika w przeglądarce. Nowy system idzie o krok dalej, wymagając fizycznej interakcji ze smartfonem. Zestawienie obu podejść wygląda następująco:

Tabela pokazuje wyraźnie różnice między systemami. Fraud Defense przenosi ciężar weryfikacji z przeglądarki na urządzenie mobilne.

Dlaczego nowy system budzi kontrowersje związane z prywatnością?

Nowy mechanizm łączy tożsamość urządzenia z kontem użytkownika, co dla wielu osób oznacza naruszenie prywatności. Google wymaga włączenia usług Google Play, co pozwala na gromadzenie dodatkowych danych o urządzeniu. Ponadto wymóg wysłania SMS-a wiąże się z koniecznością podania numeru telefonu, który jest jednym z najczulszych danych osobowych. Krytycy argumentują, że Google uniemożliwia użytkownikom alternatywnych narzędzi dostęp do milionów stron w sieci. Wobec tego osoby dbające o anonimowość tracą możliwość założenia konta Gmail bez ujawniania swojego numeru telefonu i korzystania ze smartfona z aktywnymi usługami Google. Więcej o podobnych mechanizmach ochrony piszemy w artykule Cyberbezpieczeństwo wygląda teraz jak proof of work.

Jakie są techniczne ograniczenia nowej weryfikacji?

System Fraud Defense wprowadza szereg technicznych barier dla osób pragnących zachować anonimowość. Po pierwsze, wymaga aktywnego modułu Google Play Services na urządzeniach z systemem Android. Po drugie, skanowanie kodu QR musi nastąpić w czasie rzeczywistym, co wyklucza używanie starych zrzutów ekranu. Po trzecie, wysłanie SMS-a generuje koszty u operatora sieci komórkowej, co eliminuje tworzenie masowych kont. Użytkownicy wolnego Androida bez usług Google mogą nie przejść weryfikacji captcha. Dotyczy to również osób korzystających z telefonów z dwoma systemami operacyjnymi. System oznacza takie urządzenia jako podejrzane, co prowadzi do zablokowania próby rejestracji nowego konta pocztowego. W efekcie rejestracja staje się niedostępna dla konkretnych grup użytkowników.

Jak nowe wymagania wpływają na dostępność usług Google?

Wprowadzenie Fraud Defense jako następcy reCAPTCHA zmienia zasady dostępu do ekosystemu Google. Osoby korzystające z niestandardowych systemów operacyjnych tracą możliwość założenia konta Gmail. Co więcej, miliony stron internetowych korzystających z reCAPTCHA do ochrony formularzy mogą również odrzucać ruch z urządzeń bez usług Google Play. Zmiana dotyczy nie tylko samej poczty Gmail, ale całego ekosystemu usług powiązanych z kontem Google. Obejmuje to YouTube, Google Drive, Google Docs i platformę Androida. Podobne problemy z dostępnością opisujemy w kontekście Najnowsze wiadomości – Apple Developer, gdzie zmiany regulaminów również wpływały na ograniczenie dostępu dla konkretnych grup deweloperów. Użytkownik ma teraz prosty wybór – dostosować się do wymagań Google lub zrezygnować z usług firmy.

Jakie są koszty nowej weryfikacji dla użytkowników?

Wysyłka SMS-a w procesie Fraud Defense generuje realne koszty u operatorów sieci komórkowych. Google nie zwraca tych opłat. Zatem każda próba założenia konta Gmail wiąże się z wydatkiem rzędu kilkudziesięciu groszy do kilku złotych, zależnie od taryfy operatora. Dla osób zakładających jedno konto jest to kwota pomijalna. Jednakże masowe tworzenie profili staje się po prostu nieopłacalne. System skutecznie zniechęca do automatyzacji, przerzucając koszty na twórców kont.

Koszt jednego SMS-a to około 0,10-0,50 zł w standardowych taryfach polskich operatorów. Oznacza to, że stworzenie 100 kont kosztuje od 10 do 50 zł samej wysyłki. Ponadto boty musiałyby dysponować fizycznymi kartami SIM, co dodatkowo podnosi koszty operacyjne. Z kolei użytkownicy korzystający z pakietów bez darmowych SMS-ów płacą za każdy kod z osobna.

Jakie są alternatywy dla Gmaila po wprowadzeniu QR?

Google de facto wymusza korzystanie ze smartfona z aktywnymi usługami Play, co odcina część użytkowników od ekosystemu. Wobec tego osoby poszukujące prywatności muszą szukać alternatywnych rozwiązań pocztowych. Na rynku istnieje kilka opcji, które nie wymagają skanowania kodów ani podawania numeru telefonu. Wybór zależy od konkretnych potrzeb użytkownika i poziomu wymaganej anonimowości.

• ProtonMail – szyfrowana poczta z siedzibą w Szwajcarii, oferuje darmowe konta bez wymogu numeru telefonu
• Tuta (dawniej Tutanota) – niemiecka alternatywa z pełnym szyfrowaniem end-to-end
• Mailfence – belgijska poczta z naciskiem na prywatność i cyfrowe podpisy
• Disroot – usługa oparta na wolnym oprogramowaniu, wymagająca jedynie nazwy użytkownika i hasła
• Yandex Mail – rosyjska platforma pozwalająca na rejestrację wyłącznie za pomocą alternatywnego adresu e-mail

Większość z wymienionych usług pozwala na założenie konta w kilka minut. Nie wymagają one instalacji żadnych dodatkowych aplikacji ani usług w systemie operacyjnym. Podobne ograniczenia ekosystemów opisujemy w artykule MacRumors: Wiadomości i plotki o Apple, gdzie polityka firmy z Cupertino również wymusza dostosowanie się do jej rygorystycznych zasad.

Jakie dane zbiera Google podczas skanowania kodu QR?

Proces weryfikacji Fraud Defense wymusza przekazanie Google’owi szeregu danych identyfikujących urządzenie. Otóż sam fakt zeskanowania kodu QR ujawnia adres IP telefonu, model urządzenia, wersję systemu operacyjnego oraz obecność usług Google Play. Co więcej, wysłanie SMS-a wiąże z kontem konkretny numer telefonu, który jest unikalnym identyfikatorem. Łączenie tych informacji tworzy szczegółowy profil użytkownika już na etapie rejestracji.

Google oficjalnie twierdzi, że dane te służą wyłącznie celom bezpieczeństwa. Jednakże polityka prywatności firmy z Mountain View pozwala na wykorzystywanie ich do personalizacji reklam i analityki. Zatem każda nowa rejestracja wzbogaca bazę danych Google o kolejny kompletny profil urządzenia. Mimo to wielu użytkowników godzi się na ten układ w zamian za dostęp do darmowej poczty o pojemności 15 GB.

Jak Fraud Defense wpływa na automatyzację i boty?

System Fraud Defense podnosi koszt stworzenia jednego konta Gmail z poziomu zero do co najmniej kilku złotych. Boty nie potrafią samodzielnie skanować kodów QR ani wysyłać fizycznych wiadomości SMS. Dlatego twórcy złośliwego oprogramowania muszą korzystać z farm urządzeń mobilnych albo płatnych API do obsługi wiadomości. Zmiana ta drastycznie ogranicza opłacalność masowego tworzenia kont używanych do spamu i operacji phishingowych.

Fizyczny wymóg posiadania smartfona z aktywną kartą SIM eliminuje możliwość rejestracji z poziomu czystych skryptów. Oszuści muszą teraz kupować sprzęt, opłacać abonamenty i manualnie obsługiwać każdy kod QR. W rezultacie koszt jednego konta wzrasta z ułamka grosza do kilku złotych. Choć nie eliminuje to botów całkowicie, to znacząco zmniejsza ich aktywność.

Często zadawane pytania

Czy mogę założyć konto Gmail bez smartfona?

Nie, nowy system Fraud Defense bezwzględnie wymaga zeskanowania kodu QR telefonem z aparatem oraz wysłania wiadomości SMS. Bez aktywnego smartfona ukończenie procesu rejestracji jest technicznie niemożliwe.

Czy usługi Google Play są obowiązkowe na Androidzie?

Tak, urządzenia z systemem Android bez zainstalowanych usług Google Play są oznaczane przez system jako podejrzane. W praktyce oznacza to zablokowanie możliwości przejścia weryfikacji captcha podczas zakładania konta.

Ile kosztuje założenie konta Gmail z nowym systemem?

Sama poczta jest darmowa, ale wysłanie wymaganej wiadomości SMS kosztuje od kilkunastu groszy do kilkudziesięciu groszy, zależnie od taryfy operatora komórkowego.

Czy kody QR zastąpią całkowicie zagadki obrazkowe?

Według informacji z serwisu BOOP.PL Google wprowadza nową generację weryfikacji jako następcę reCAPTCHA. Kody QR i wiadomości SMS ostatecznie zastąpią tradycyjne zagadki z autobusami i sygnalizacją świetlną.

Podsumowanie

Zmiany w procesie rejestracji Gmail wyznaczają nowy standard weryfikacji tożsamości w sieci. Fraud Defense skutecznie podnosi koszty operacyjne botów, przenosząc ciężar weryfikacji ze strony internetowej na fizyczne urządzenie mobilne. Rozwiązanie to ma swoją cenę – miliony użytkowników wolnego Androida tracą dostęp do ekosystemu Google. Zatem polityka firmy z Mountain View wymusza wybór między wygodą a prywatnością. Co więcej, każdy nowy użytkownik musi ujawnić swój numer telefonu i dane urządzenia już na etapie zakładania konta.

Jeśli interesuje Cię, jak technologia zmienia zasady dostępu do usług, przeczytaj nasz artykuł Cyberbezpieczeństwo wygląda teraz jak proof of work. Subskrybuj bloga, aby nie przegapić kolejnych analiz rozwiązań technologicznych.