悲劇の始まり：9歳児と企業クレジットカード
この驚くべき事件は、米国在住の父親「デイブ」氏が、自身のGoogleアカウントに登録していた会社のクレジットカードを、9歳の息子がYouTubeチャンネルの広告費として誤用したことから始まりました。息子さんはMinecraftやRobloxのゲームプレイ動画を投稿する「Mighty Mike Plays」というYouTubeチャンネルを運営しており、約2万4000人のチャンネル登録者を持つ人気YouTuberです（2023年9月16日時点）。
デイブ氏は以前、息子さんのゲーム内課金（Robux）のために会社のクレジットカードをGoogleアカウントに登録していました。その後、息子さんが動画の視聴回数が少ないと不満を訴えた際、デイブ氏は約20ドル分の広告プロモーションを設定し、その手順を息子さんに口頭で説明したといいます。しかし、息子さんはこの20ドルを広告予算の上限ではなく、単なる設定の一つと解釈してしまったようです。
「クレジットカードは、毎回承認されてしまうのです。」（出典）
結果として、少年は3週間で「Mighty Mike」「Epic Roblox」「Minecraft gameplay」といったタイトルで複数の広告キャンペーンを作成し、合計11万8000ドルもの費用を発生させてしまいました。この事実は、父親が会社の会議で財務部門から広告費用の請求書を見せられて初めて発覚したとのことです。
正直、ここまで来たかという感じがしますね。自分の個人プロダクトでも、うっかり予算設定をミスして高額請求に繋がる可能性はゼロではないので、他人事ではありません。
Google広告システムの課題と既存の対策
Googleのヘルプページによると、Googleの購入に使用された支払い方法はGoogleアカウントに紐付けられた支払いプロファイルに保存され、次回の購入時にも自動的に提示される仕組みになっています。このプロファイルはGoogle広告やその他のGoogle製品全体で共有されるため、一度登録されたクレジットカード情報は、意図しない形で利用されるリスクをはらんでいます。Google Ads自体は18歳未満の利用を認めていませんが、今回は父親のアカウントが使用されていたため、システムは年齢制限を検知できなかったと考えられます。
GoogleはYouTubeのプロモーションツールをGoogle広告の簡素化版として提供しており、目標設定、ターゲットオーディエンス、予算、終了日などを設定する流れになっています。今回のケースで少年がどちらのインターフェースを使用したかは不明ですが、父親が説明した手順はYouTubeのプロモーションツールのものと一致していると見られます。
| 項目 | YouTubeプロモーションツールの特徴 | Google Adsの年齢制限 |
|---|---|---|
| 簡便性 | 広告設定が簡素化されている | なし |
| 支払い | Googleアカウントの決済プロファイル利用 | 18歳未満は利用不可 |
過去には、2014年9月4日にFTC（米連邦取引委員会）がGoogleに対し、子供によるGoogle Playでの無許可アプリ内課金について、少なくとも1900万ドルを親に返金するよう命じています。この決定は、課金前に明確な同意を得ることをGoogleに義務付けるものでした。ただし、これはGoogle Playストアの課金に関するもので、YouTube広告とは直接の関係はありません。
開発者が考えるべきリスクと対策
今回の件は、開発者としてクラウドサービスを利用する私たちにも示唆を与えます。例えばGCPの請求先アカウントにクレジットカードを登録している場合、もし誤って権限が付与されたアカウントから大規模なCompute Engineインスタンスが長時間稼働したり、BigQueryの巨大なクエリが実行され続けたりすれば、同様の巨額請求に繋がりかねません。特に、家庭内で使用しているPCで業務用のクラウド環境にアクセスする場合などは注意が必要です。
今回のケースで、デイブ氏は職を失う可能性や費用を返済する義務があるかどうかは不明だと述べています。会社側からすれば、社員が会社の資産（クレジットカード）を私的に利用し、かつ巨額の損害を与えたと見なす可能性は十分にあります。これは企業におけるコンプライアンスの観点からも非常に重要な問題です。
今後、デイブ氏の家族は、保存されている支払い情報の削除、支出上限の設定、ペアレンタルコントロールの導入を予定しているとのことです。また、YouTubeチャンネルもしばらく休止し、「真のガードレール」が導入されるまで運営を停止すると述べています。
個人のプロダクト開発においても、Claude Codeなどで迅速にコードを生成できる時代だからこそ、思わぬコストが発生しないように、常に予算管理とセキュリティには注意を払う必要がありますね。うちのスクリプトに使えそうな予感がするなと思ったサービスでも、まずは最小限の範囲で試すようにしています。
