Google Walletとは何か、機能、動作原理

Google Walletとは？

Google Walletは、支払いカード、交通系ICカード、搭乗券、学生証、車のキー、ロイヤルティカードのデジタル版を保存して使用するためのモバイルアプリおよびプラットフォームです。2011年にGoogle Walletとして開始されたこのサービスは、何度かブランド名の変更を経て、2022年にGoogleが再びWalletの名称を復活させ、Google PayとオリジナルのWalletの機能を統合しました。

このプラットフォームは、AndroidおよびWear OSデバイス、さらにWebインターフェースを通じて利用できます。2024年には、GoogleはGoogleアプリを通じてiOSのサポートを拡大しました。Walletの理念は、物理的な財布をデジタル版に置き換えることです。ユーザーはアプリにカードや書類を読み込み、電話をNFC端末にかざして使用します。

ユーザー向けの主な機能

ユーザーは最大20枚の支払いカードと、無制限の数の交通系カードおよびイベントチケットを追加できます。各カードに対して、デバイスにリンクされた個別のトークンが作成されます。支払い時、端末は実際のカード番号ではなく、一度限りのデジタルコードを受け取ります。電話を紛失した場合、Find My Deviceサービスを通じてすべてのトークンがリモートで無効化されます。

支払いに加えて、WalletはBMW、Hyundai、Volvoなどの車種のデジタルカードキーをサポートしています。ユーザーは電話をドアハンドルにかざすだけで車のロック解除とエンジン始動ができます。2025年には、Googleは米国の一部の州でデジタル身分証明書のサポートを発表しました。

地理的範囲と普及

2026年初頭の時点で、Google Walletは世界90か国で利用可能です。非接触型決済のサポートは80か国、交通チケットは35か国、デジタル身分証明書は4か国で機能しています。最大の市場は、米国、インド、日本、英国、ドイツ、ブラジルです。このサービスは2022年以降、ロシアでは利用できません。

Google Walletの仕組み：トークン化とNFC

技術的には、Google Walletは2つの主要なメカニズムを使用しています。支払いデータのトークン化と、端末にトークンを送信するためのNFCプロトコルです。トークン化により、銀行カードの実際のPAN（Primary Account Number）がデバイスから出ることは決してありません。代わりに、支払いシステムがDevice Account Numberを発行します。これは特定の電話にリンクされた仮想番号です。

ユーザーが電話を端末にかざすと、NFCコントローラ（通常はQualcommまたはMediaTekのチップセットに内蔵）が支払い端末との間に安全なチャネルを作成します。このチャネルを通じて、トークン、時刻、および1回限りの取引番号に基づいて生成された動的コードである暗号文が送信されます。販売者は暗号文のみを表示し、カードデータは表示しません。

Trusted Execution Environmentの役割

TEE（Trusted Execution Environment）は、プロセッサ内部の分離された領域であり、メインのAndroid OSと並行して動作します。OS自体が侵害されても、TEE内部のデータは保護されたままです。Google Walletはトークンを排他的にTEEに保存します。トランザクション署名操作はこの分離された環境内で実行され、Walletアプリもサードパーティのプロセスも直接アクセスできません。

追加の保護として、Hardware Attestationが使用されます。これは、電話のチップがGoogleサーバーに対して、デバイスがルート化されておらず、ブートローダーがロック解除されておらず、TEEが変更されていないことを証明するメカニズムです。チェックに失敗すると、支払い機能がブロックされます。

カード追加のプロセス

Google Walletに新しい支払いカードを追加するには、いくつかの確認手順が必要です。カード番号を手動で入力するか、カメラでスキャンした後、アプリはデータをGoogleの支払いゲートウェイに送信します。発行銀行は、Visa Token Service（VTS）またはMastercard Digital Enablement Service（MDES）を通じてトークン化リクエストを受け取ります。銀行はCVVと3DSコードを確認し、その後Device Account Numberを発行します。この番号は電話のTEEに書き込まれます。プロセス全体には30〜60秒かかります。

Google Walletの主な機能

Google Walletは単なる支払いアプリの役割を超え、デジタルドキュメントのエコシステムへと進化しました。以下は、ウォレットに保存できるアイテムの主なカテゴリです。

• 支払いカード — Visa、Mastercard、American Express、Mir（2022年まで）、UnionPay、RuPayのクレジットカードおよびデビットカード。カメラまたは手動入力で追加できます。
• 交通系カード — 35か国での地下鉄、バス、電車のパス。一部の都市（ロンドン、ニューヨーク、東京）ではチャージが自動的に行われます。
• 搭乗券とチケット — Lufthansa、KLM、Air France、United、Deltaの航空会社がWalletに直接パスを送信します。映画館やコンサート会場はチケットのバーコードを提供します。
• ロイヤルティプログラム — 店舗、カフェ、航空会社のカード。アプリは蓄積されたポイントと利用可能なクーポンを表示します。

各アイテムには、Passes APIに独自のObjectタイプがあります：LoyaltyObject、OfferObject、GiftCardObject、TransitObject、EventTicketObject、FlightObject。各オブジェクトには、名前、ロゴ、バーコード、有効期限、追加情報のフィールドが含まれています。

Wear OSとの統合

Wear OSの時計では、Google Walletは自律的に動作します。時計には独自のNFCアンテナがあり、電話に接続しなくても支払いを行うことができます。これを行うには、Bluetooth接続を介してカードが時計のTEEにコピーされます。電源ボタンを2回押すだけでWalletが開き、時計を端末にかざすことができます。交通チケットとロイヤルティカードもサポートされています。

デジタルカーキー

デジタルキー機能は、UWB（Ultra-Wideband）プロトコルを使用して車までの距離を正確に測定します。UWBチップを搭載した電話（Pixel 9 ProやSamsung Galaxy S25など）は、ポケットから取り出さずにドアを開けることができます。近づくだけで大丈夫です。キーは、Google Messagesを介して他のWalletユーザーと制限時間付きで共有できます。

開発者向けGoogle Wallet Passes API

Passes APIは、開発者がユーザーのGoogle Walletにデジタルパスを作成、更新、配信できるようにするGoogleのREST APIです。APIはJSONリクエスト形式とOAuth 2.0による認証をサポートしています。開発者はプログラムでオブジェクトを作成し、リンクまたはプッシュ通知を介して特定のユーザーのデバイスに送信できます。

{
  "id": "33880000000000001",
  "classId": "IT_SECTR_LOYALTY_CLASS",
  "state": "ACTIVE",
  "barcode": {
    "type": "QR_CODE",
    "value": "ITSECTR2026"
  },
  "loyaltyPoints": { "balance": { "int": 350 } }
}

この例では、QRコードと350ポイントの残高を持つロイヤルティカードが作成されています。オブジェクトには、IT_SECTR_LOYALTY_CLASSクラスへの参照が含まれており、色、ロゴ、テキストなどの視覚的パラメータが定義されています。クラスは1回作成され、オブジェクトはユーザーごとに作成されます。このアプローチにより、APIリクエストが節約され、すべてのカードのデザインを一括更新できます。

APIの主要メソッド

APIは、クラスとオブジェクトの作成、更新、一覧取得、削除のメソッドを提供します。リクエストはベースURL https://walletobjects.googleapis.com/walletobjects/v1に対して行われます。認証は、Editorロールを持つGoogle Cloudサービスアカウントを通じて行われます。アクセストークンは、スコープhttps://www.googleapis.com/auth/wallet_object.issuerでOAuth 2.0を介してリクエストされます。

コンテンツ要件

ウォレットに送信された各オブジェクトはGoogleのモデレーションを受け、ブランドガイドラインへの準拠、スパムの不在、バーコードの正確性がチェックされます。ロゴは最低解像度300x300 pxである必要があり、テキストは電話画面の表示領域に収まる必要があります。平均審査時間は1〜2営業日です。

Google Walletのセキュリティとプライバシー

Google Walletのセキュリティは、3つのレベルに基づいています。ハードウェア保護（TEE、Hardware Attestation）、ネットワーク保護（TLS 1.3、トークン化）、ユーザー制御（生体認証、Find My Device、リモートワイプ）です。各レベルは、デバイスへの物理的なアクセスから支払いネットワークでのデータ傍受まで、特定の攻撃ベクトルをカバーします。

Google Security Blog（2025）のレポートによると、2022年以降、TEEに保存された支払いデータが侵害された事例は1件も記録されていません。すべてのセキュリティインシデントはフィッシング攻撃に関連しており、ユーザー自身が偽のウェブサイトにカードデータを入力したものです。フィッシングに対抗するため、Googleはアプリ内にコンテキスト警告を導入しました。

リモートトークン管理

電話を紛失または盗難された場合、所有者はFind My Deviceのウェブサイトにアクセスし、「データを消去」オプションを選択できます。その後、TEE内のすべてのトークンが無効化され、支払い端末はこのデバイスからのトランザクションを拒否します。さらに、Googleは特定のチップのHardware Attestation証明書を失効させるため、出荷時設定にリセットしても、このデバイスで支払い機能が復元されることはありません。

プライバシーとユーザーデータ

GoogleはWallet内に取引履歴を保存しません。各取引は発行銀行によって処理され、Googleは単なるトランスポート層として機能します。デバイスの位置情報は販売者に送信されず、端末はトークンと暗号文のみを受け取ります。例外は交通チケットで、運賃計算のために入場/退場駅が記録されます。

Google WalletとGoogle Payの違い

2022年のブランド変更後、多くのユーザーはGoogle WalletとGoogle Payの違いについて混乱したままです。簡単に言うと、Walletはアプリ（UI + ストレージ）であり、Google Payはテクノロジーレイヤー（API + トークン化 + NFC支払いゲートウェイ）です。Google Payはブランドとしてインドとシンガポールで存続し、UPIプロトコルによるP2P支払いシステムとして機能しています。

実際には、インド国外のユーザーにとっては、すべてが1つのことに集約されます。Google Walletを開き、電話を端末にかざすだけで、支払いはGoogle Pay技術を通じて行われますが、ユーザーにはWalletのインターフェースだけが表示されます。開発者にとって、支払い統合はGoogle Pay API（Google Wallet SDKの一部）を通じて行われ、パス管理は別のPasses APIを通じて行われます。