フィッシング攻撃、不正な支払い要求、マルウェアへのリンクなど、悪意あるコンテンツを配信する手段として悪用される通知の悪用は、無視できないセキュリティ問題となっている。特に、リアルタイムでユーザーと直接やり取りするよう設計されたプッシュ通知を介した脅威となれば、なおさらだ。Googleはこの悪用問題に対して手をこまねいてきたわけではなく、新たなブログ投稿では、同社が長年にわたりこの問題に取り組み、その結果として2026年第1四半期には1日あたり70億件を超えるChromeプッシュ通知をブロックするに至った経緯が詳しく述べられている。この成功の鍵となったのが「スイスチーズ」セキュリティモデルの導入だ。これによりGoogleのセキュリティチームは「悪用を発生源で食い止め、欺瞞的なコンテンツがユーザーに届く前に阻止しつつ、利便性とセキュリティの健全なバランスを維持する」ことが可能になったという。では、スイスチーズモデルとは何であり、どのようにしてこの種の通知悪用を防いでいるのだろうか。
Googleはスイスチーズモデルを通知悪用対策にどう活用しているのか
Googleはユーザーのセキュリティを本気で重視している企業であり、そのエコシステムをすべての人にとってより安全な場にするために舞台裏で行われている作業は、しばしば見過ごされがちだ。これには、コストのかかりかねないメールの誤送信を防ぐためのGmailへの警告追加、AndroidのAI音声詐欺アラート、より頻繁なChromeのセキュリティ更新など、細かな改良も含まれる。
そして、8月11日付のGoogleセキュリティブログへの投稿で、Chromeセキュリティチームのハンナ・ブオノモ氏、セーフブラウジングのジョナサン・リー氏、Firebase Cloud Messagingのニディ・ダワワラ氏は、危険な可能性のあるChromeプッシュ通知の問題に対処するために、ユーザーの操作、悪用ネットワークの検出、サーバー側でのスロットリング（流量制限）などを組み合わせて活用していることを明らかにした。Googleが採用しているこの多層防御アプローチは、通称「スイスチーズモデル」として知られている。
これは、考えてみれば——というより、スイスチーズのスライスを何枚も並べた様子を思い浮かべればわかりやすい。それぞれの穴はランダムな位置にあり、大きさもさまざまなため、スライスを重ねるごとに穴がぴったり一列に並ぶ可能性は下がり、通り抜けられるリスクが低減されていく。Googleによれば、このアプローチにより2026年第1四半期にはAndroid上のChromeプッシュ通知を1日あたり70億件以上削減し、通知のライフサイクル全体をカバーする「重層的な保護」のおかげで数十億人のユーザーの安全性が高まったという。「もし悪用が1つの層をすり抜けても、次の層で捉えられるようにすることが我々の目標だ」とGoogleは述べている。この多層的な保護には以下が含まれる。
- ユーザーが最近アクセスしていないサイトや、不審な通知に関する警告を繰り返し受けているサイトに対する、通知権限の自動取り消し。
- 大量の通知悪用に対処するための、Push APIのメッセージ送信レート制限。これにより、破壊的なトラフィックの影響を制限しつつ、正規のサイトが状況に対応して利用パターンを調整するための安全弁を提供する。
- ユーザーの主体性を優先する通知権限モデルへの変更。これにより、悪意あるアクターが通知権限を取得・維持することを困難にする。
「これらの多様な取り組みを単一の統合された戦略にまとめ上げることで、我々はより強靭なChrome体験を築き上げた」とGoogleは投稿で述べている。朗報なのは、これがユーザーのコントロールを維持しながら実現されている点だ。自動的に取り消されたすべての許可は、Androidのセーフティハブで確認できる。もちろん、Chromeでのウェブ通知は、デスクトップではchrome://settings/content/を開くか、Androidでは「設定」→「通知」から引き続き自分で管理できる。
