Google アカウントのパスワード入力失敗時に表示される情報の差異

Google アカウントでログインしようとしたときに、間違ったパスワードを入力してしまいました。このとき、こんな警告が出ます。

これは問題ない。あたりまえですね。しかし、下の場合はどうでしょうか？

実は、ひとつ目の画像は、適当なパスワードを入力した場合に表示されるメッセージです。ふたつ目の画像は、以前使っていたパスワードを入力した場合です。

この表示の違いは、パスワードを忘れた正規のユーザにとってはありがたいものです。しかし、不正にログインしようとしている人たちに有利な情報を与えていないでしょうか？パスワードの変更がかなり前だった場合には、そのアカウントは頻繁にパスワードを変更していないことになります。つまり、長期的に多くのパスワードを与え続けやすいということです。頻繁にパスワードが変わるなら、不正にログインする側もあきらめるかも知れません。しかし、パスワードが長期的に変更されないアカウントに対しては、より積極的に不正なログインに臨むかも知れません。

また、以前使っていたパスワードとマッチしたら表示を変更するということは、不正にログインを試みようとした人に対して、有効なパスワードの情報を与えることになります。つまり、Googleは、ひとつのアカウントにつき、複数のパスワードを保持しているといえます。

本当にこのままで良いのか疑問です。利便性の向上と安全性の確保はトレードオフの関係にあると思いますが、パスワードに関してここまでの利便性が必要なのか疑問があります。また、2段階認証に取り組んでいるサービスにしては、そもそものパスワードの扱いに問題があるのではないかなとも。