JVN（Japan Vulnerability Notes）は2026年10月14日、楽天モバイル株式会社が提供した複数のスマートフォンにおいて、Android Verified Boot（AVB）機能にAOSP（Android Open Source Project）の既知のテスト用秘密鍵が使用されている問題を公表した。対象はRakuten Mini、Rakuten Hand、Rakuten Hand 5G、Rakuten BIG sの4機種で、いずれも全バージョンが影響を受ける。
脆弱性の詳細
対象端末では、起動時にシステムイメージなどの改ざんを検証するAndroid Verified Boot（AVB）に、製品固有の鍵ではなくAOSPのテスト用鍵が使用されている。テスト用鍵は既知の鍵であるため、攻撃者が対応する秘密鍵を用いて細工したシステムイメージを作成できる可能性がある。
攻撃者が端末へ物理的にアクセスした場合、細工されたシステムイメージをインストールされる可能性がある。これにより、改変されたソフトウェアが正規のものとして検証され、Android Verified Bootによる起動時の保護を回避されるおそれがある。
JVN識別番号：JVN#47427200
CVE番号およびCVSSスコア：参照したJVNDB情報では、CVE番号は確認できない。CVSS v3.1の基本値は6.6（Medium）とされている。
影響を受ける製品・バージョン
- Rakuten Mini：すべてのバージョン
- Rakuten Hand：すべてのバージョン
- Rakuten Hand 5G：すべてのバージョン
- Rakuten BIG s：すべてのバージョン
対象端末はいずれもサポートが終了しており、修正プログラムの提供状況などの詳細は現時点で不明である。
推奨される対策
- 対象端末について、楽天モバイルが案内する対応を確認する。
- 対象端末はサポート終了済みであるため、継続利用を避け、より新しい端末への機種変更を検討する。
- 対象端末を業務で利用している場合は、端末の型番、利用者、業務データへのアクセス状況を確認し、必要に応じて利用を停止する。
- 機種変更までの間は、端末を第三者に物理的に操作されないよう管理し、画面ロック、暗号化、リモートワイプなどの基本的な端末管理策を有効にする。
日本の中小企業が今すぐ取るべき行動
- 最優先：社内で利用中のRakuten Mini、Rakuten Hand、Rakuten Hand 5G、Rakuten BIG s（個人所有端末の業務利用を含む）を棚卸しする。
- 次に：対象端末がサポート終了済みであることを踏まえ、機種変更の対象として扱い、業務システムや認証情報へのアクセスを見直す。
- 運用面：機種変更まで対象端末への物理的アクセスを制限し、画面ロック、暗号化、リモートワイプ、紛失時の利用停止手順を再点検する。
- 調達面：今後の端末選定では、Android Verified Bootなどの起動時検証が適切に構成され、セキュリティ更新とサポートが継続される機種を優先する。
CSRIからの現場アドバイス
今回の問題は、ネットワーク経由の侵入だけでなく、端末への物理的アクセスを前提とする起動時保護の不備です。モバイル端末の棚卸しやサポート期限の確認が不十分だと、業務利用中の古い端末が見落とされる可能性があります。
例えるなら、端末の起動時に使う玄関の鍵が、製品専用の鍵ではなく、第三者にも知られている試作品の鍵になっているようなものです。そのため、細工されたシステムイメージが正規のものとして扱われ、起動時の改ざん検知を回避される可能性があります。
まず、業務で使う楽天モバイル端末の機種名、利用者、アクセス可能な業務データ、サポート状況を一覧化してください。対象の4機種が見つかった場合は、端末への物理的アクセスを制限し、機種変更を優先して進めるとともに、認証情報や業務データへのアクセスを必要に応じて停止・見直ししてください。
参照: 楽天モバイルの複数のスマートフォンのAndroid Verified Boot機能において既知のテスト用鍵がそのまま使用されている問題
参考：公式情報・アドバイザリ
- JVN#47427200: JVN
上記は本記事に関連する公式セキュリティ情報です。詳細は各機関の公式サイトをご確認ください。