セキュリティ更新が届く期間で選ぶスマートフォン

スマートフォンを選ぶとき、比べる材料はカメラの画素数、画面の大きさ、バッテリーの容量、そして価格に寄りがちです。ところが同じ端末を3年、4年と使い続けたときに安全性の差として表れるのは、そのどれでもありません。差が出るのは、購入した端末にセキュリティ更新が何年届くか、そして届いた更新をどのくらい確実に適用できるかという点です。

スマートフォンのOSには毎月のように脆弱性が公表されます。Googleは毎月Android Security Bulletinを公開し、Appleはセキュリティリリースを継続して出しています。修正そのものは無料で作られていますが、それが手元の端末まで届くかどうかは、端末メーカーがいつまで配信を続けるかで決まります。配信が止まった端末では、公表済みの脆弱性が公表済みのまま残ります。総務省も、サポート期間が切れたソフトウェアは脆弱性が発見された場合も修正されないというセキュリティ上の懸念があると案内しています。

この記事は、長く安全に使えるスマートフォンを選びたい一般の利用者に向けて、更新の提供期間を軸にした選び方を整理します。あわせて、画面ロックと暗号化の関係、生体認証の見方、紛失したときの備え、アプリの入手経路といった、購入後の設定で決まる部分も扱います。記述は執筆時点で確認できた公式情報にもとづいています。なお本記事はアフィリエイトリンクを含みます。紹介する製品の効果や適合性を保証するものではなく、購入判断はご自身の利用環境に照らしてお願いします。詳細は広告およびアフィリエイトについてをご覧ください。

端末の安全性を左右するのは更新が届く期間#

パソコンと違い、スマートフォンのOSは端末メーカーが自社向けに手を入れたうえで配信します。Googleが脆弱性を修正しても、OSやファームウェアの更新として届く分は、メーカーの手を経てからでないと利用者の端末に届きません。Google Playシステムアップデートで配信される一部のコンポーネントは例外にあたりますが、対象は限られます。メーカーが配信を打ち切った時点で、その端末はOSの新しい修正を受け取らなくなります。本体が壊れていなくても、通信ができていても、届かないものは届きません。

この構造があるため、スマートフォンの安全性は「買った時点でどれだけ堅牢か」ではなく「買ってから何年、修正を受け取り続けられるか」で大きく変わります。同じ価格帯の端末でも、公表されている提供期間が3年のものと7年のものでは、4年目以降の状況がまったく違います。しかも提供期間を利用者の側から延ばすことはできません。本体を選ぶ時点で決まる条件です。

総務省は、サポート期間が切れたソフトウェアには脆弱性が発見された場合も修正されないというセキュリティ上の懸念があるとしたうえで、サポート終了時期を事前に把握して計画的に更新することと、修正プログラムが提供されている間は速やかに更新することを勧めています。パソコンのOSを念頭に置いた説明ですが、考え方はそのままスマートフォンに当てはまります。

総務省の国民のためのサイバーセキュリティサイトは、サポート期間が切れたソフトウェアについて脆弱性が発見された場合も修正されないといったセキュリティ上の懸念があると説明し、サポート終了時期を事前に知って計画的に更新すること、修正プログラムが提供されている間は速やかに更新することを勧めています。

更新を適用する習慣そのものの重要性は、別の記事でも扱っています。

あわせて読みたい

ソフトウェア更新が脆弱性を塞ぐ仕組みと放置したときのリスク

Androidのセキュリティ更新がどこを経由して届くか#

Androidの更新がどう流れているかを知っておくと、メーカーの公表内容を読むときの見方が定まります。

GoogleはAndroid Security Bulletinを毎月公開しています。2026年8月の公報は2026年8月3日に公開され、セキュリティパッチレベル2026-08-05以降がその月に扱われた問題をすべて解決すると記載されています。この公報には2つのパッチレベルがあり、Googleはその理由を、すべてのAndroidデバイスに共通する一部の脆弱性をより早く修正できる柔軟性をパートナーに与えるためと説明しています。あわせて、Androidパートナーには公報の公開の少なくとも1か月前にすべての問題を通知していること、公開後48時間以内に対応するソースコードのパッチをAOSPリポジトリへ公開することが記されています。

つまり、メーカーの側には修正を用意するための時間がGoogleから与えられています。それでも配信までの日数や、そもそも配信するかどうかは機種ごとに違います。ここが端末選びで効いてくる部分です。

2026年8月のAndroid Security Bulletinは、公開日を2026年8月3日とし、セキュリティパッチレベル2026-08-05以降がこの公報のすべての問題に対応すると記載しています。Androidパートナーには公報の公開の少なくとも1か月前にすべての問題を通知すること、公開後48時間以内にAOSPリポジトリへソースコードパッチを公開すること、2つのパッチレベルを設けているのはすべてのAndroidデバイスに共通する一部の脆弱性をより早く修正する柔軟性をパートナーに与えるためであることも説明しています。

もうひとつの経路がGoogle Playシステムアップデートです。Googleのヘルプは、設定アプリのデバイス情報からAndroidバージョン、Androidセキュリティアップデート、Google Playシステムアップデート、ビルド番号を確認できると案内しています。Android 10以降の一部のデバイスでは、Google Playシステムアップデートの日付文字列がセキュリティパッチレベルと対応すると2026年8月の公報にも記されています。OS全体の更新が止まった後もこちらだけが動く場合がありますが、これはOS更新の代わりになるものではありません。

更新の提供元についても同じヘルプが書き分けています。Pixelの利用者にはGoogleが提供し、それ以外のAndroidデバイスについてはメーカーや携帯通信会社に問い合わせるよう案内されています。日本ではキャリア版と一般販売版で配信時期が分かれることもあるため、購入する経路まで含めて確認しておくと食い違いが減ります。

Googleのヘルプ「Android のバージョンを確認して更新する」は、設定アプリのデバイス情報からAndroidバージョン、Androidセキュリティアップデート、Google Playシステムアップデート、ビルド番号を確認できると説明し、更新の提供についてPixel利用者にはGoogleが提供すること、それ以外のAndroidデバイスについてはメーカーや携帯通信会社に問い合わせることを案内しています。

メーカーが公表している提供期間を読み比べる#

提供期間は各社が自社の言葉で公表しており、年数の数え方も表現も揃っていません。執筆時点で確認できた公表内容を並べます。

Googleは、Pixel 8以降について米国のGoogleストアでのデバイス販売開始日から7年間のOSアップデートとセキュリティアップデートを提供すると案内しています。対象はPixel 8、8 Pro、8a、9、9 Pro、9 Pro XL、9 Pro Fold、9a、10、10 Pro、10 Pro XL、10 Pro Fold、10aです。Pixel 6と7の各シリーズおよびPixel Foldは同じ起算で5年間、Pixel 5a以前はAndroidバージョンアップデートとセキュリティアップデートの提供が終了したと記載されています。起算日が利用者の購入日ではなく販売開始日である点は読み落としやすいところです。発売から2年経った機種を買えば、残りは5年ではなく3年です。

GoogleのPixelヘルプは、Pixel 8以降の機種について米国のGoogleストアでのデバイス販売開始日から7年間のOSアップデートとセキュリティアップデートが提供されること、Pixel 6シリーズとPixel 7シリーズおよびPixel Foldは同じ起算で5年間であること、Pixel 5a以前はAndroidバージョンアップデートとセキュリティアップデートの提供が終了したことを案内しています。

サムスンはSamsung Mobile Securityのサイトで、月次と四半期と半期のファームウェアセキュリティ更新を対象機種へ提供していること、2024年1月時点でGalaxyのセキュリティ更新サポートを最大7年分延長していることを記載しています。原文の表現はby up to 7 yearsで、それが総期間としての年数なのか従来からの延長幅なのか、また対象となる機種の範囲は、このページには書かれていません。更新にはGoogleが公開したAndroid OS関連の修正と、サムスン固有の問題の修正が含まれると説明されています。同ページの注記には、Android OSのアップグレードとセキュリティ更新の提供可否と時期が市場、通信事業者、機種によって異なる場合があると書かれています。日本で買う端末が公表どおりの頻度で受け取れるとは限らない、という但し書きです。なお同ページに掲載されている機種一覧は月次と四半期の2区分で、半期の更新は冒頭で触れられているだけで対象機種の一覧がありません。機種ごとの起算日や提供終了日も示されていないため、候補の機種が7年の対象かどうかは、この一覧だけでは判断できません。

Samsung Mobile SecurityのSecurity Updates Scopeは、対象機種に対して月次と四半期と半期のファームウェアセキュリティ更新を提供していること、2024年1月時点でGalaxyのセキュリティ更新サポートを最大7年分(原文はby up to 7 years)延長したこと、更新にGoogleが公開したAndroid OS関連の修正とサムスン固有の問題の修正が含まれることを記載しています。掲載されている機種一覧は月次と四半期の各対象機種(ほかにウェアラブルの四半期一覧とPCの一覧)で、半期更新は冒頭に言及があるものの対象機種の一覧はありません。機種ごとの提供終了日も示されていません。注記では、Android OSのアップグレードとセキュリティ更新の提供可否と時期が市場や通信事業者や機種によって異なる場合があるとしています。

シャープは製品ページに数値を掲げています。AQUOS sense9とAQUOS R10のいずれも、OSバージョンアップは最大3回、セキュリティアップデートは5年です。注釈には、発売されたタイミングから起算した回数と期間であること、購入時期によって適用回数や更新期間が変わること、セキュリティアップデートは販売開始時点の予定であり変更となる可能性があることが明記されています。なお同社のOSバージョンアップ情報ページには機種ごとの提供実績が載っていますが、年数の公表は執筆時点では確認できませんでした。年数を確認するなら各製品ページを見ることになります。

シャープのAQUOS sense9の製品ページは、OSバージョンアップを最大3回、セキュリティアップデートを5年と記載し、注釈で発売されたタイミングから起算した回数と期間であること、購入時期によって適用回数と更新期間が変わること、セキュリティアップデートは販売開始時点の予定であり変更となる可能性があることを説明しています。

ソニーはAndroid Enterprise Recommendedの対応機種ページで、機種ごとにセキュリティ更新プログラムのサポート終了日と更新頻度を掲載しています。執筆時点の掲載は、Xperia 10 VIIが2031年8月、Xperia 10 VIが2028年6月、Xperia 10 Vが2026年6月、Xperia 10 IVが2025年6月、Xperia Ace IIIが2025年5月で、いずれも更新頻度は90日ごとです。年数ではなく終了予定の年月が書かれているため、買う側は残りの期間をそのまま数えられます。ただしこのページに載っているのはAndroid Enterprise Recommendedの対応機種で、Xperia全機種の一覧ではありません。他の機種の提供期間をまとめた一般向けページは執筆時点では確認できませんでした。

ソニーのAndroid Enterprise Recommendedのページは、Xperia 10 VIIのセキュリティ更新プログラムのサポート終了日を2031年8月、Xperia 10 VIを2028年6月、Xperia 10 Vを2026年6月、Xperia 10 IVを2025年6月、Xperia Ace IIIを2025年5月と記載し、いずれも更新頻度を90日ごととしています。あわせて、Android Enterprise Recommendedでは2年以上のセキュリティアップデートを受けられると説明しています。

読み比べると、公表の形式が3種類に分かれます。年数を示す形(PixelとAQUOS、そして上限としての年数を示すGalaxy)、終了予定の年月を示す形(Xperiaの対応機種)、そして公表を確認できない形です。買う側にとって数えやすいのは終了予定の年月です。年数で示されている場合は、発売日を調べて自分で引き算する必要があります。

判断の物差しがもうひとつあります。GoogleのAndroid Enterprise Recommendedの要件は、ナレッジワーカー向けデバイスと堅牢なデバイスの16.0の条件として、デバイスメーカーがセキュリティ更新の情報を自社のウェブサイトで公開してGoogleのセキュリティ情報からリンクすること、公開する内容にSMRサポート終了日(そのデバイスがセキュリティ更新を受け取ることを保証される最後の月と年)と修正の内容を含めること、30日ごとや90日ごとといった更新の頻度を公表することを求めています。要件は認証プログラムの版ごとに定められており、法人向けの調達を想定したものですが、終了日と頻度を年月で公表しているかどうかは、Googleが認証プログラムで求めている水準に沿っているかの手がかりになります。

Android Enterprise Recommendedの要件は、ナレッジワーカー向けデバイスと堅牢なデバイスの16.0について、デバイスメーカーがセキュリティ更新の情報を自社のウェブサイトで公開してGoogleのセキュリティ情報からリンクすること、公開内容にSMRサポート終了日(デバイスがセキュリティ更新を受け取ることを保証される最後の月と年)と修正の内容を含めること、30日ごとや90日ごとといった更新頻度を公表することを求めています。日本語版のページは12.0までの内容が掲載されているため、最新の要件は英語版で確認できます。

iPhoneの提供期間の確認方法#

Appleは、iPhoneのセキュリティ更新を何年提供するという年数を、執筆時点の一般向けサポートページには載せていません。そこで公開されているのは、新しいOSに対応するモデルの一覧です。

Appleのサポートページ「iOS 26に対応しているiPhoneのモデル」には、iPhone 11、11 Pro、11 Pro Max、iPhone SE(第2世代)、iPhone 12 miniから12 Pro Maxまで、iPhone 13 miniから13 Pro Maxまで、iPhone SE(第3世代)、iPhone 14シリーズ、iPhone 15シリーズ、iPhone 16シリーズとiPhone 16e、iPhone 17シリーズとiPhone 17e、iPhone Airが挙げられています。iPhone 11は2019年秋の発売で、iOS 26の対応機種に含まれています。

Appleのサポートページ「iOS 26に対応しているiPhoneのモデル」は、対応機種としてiPhone 11、11 Pro、11 Pro Max、iPhone SE(第2世代)、iPhone 12シリーズ、iPhone 13シリーズ、iPhone SE(第3世代)、iPhone 14シリーズ、iPhone 15シリーズ、iPhone 16シリーズとiPhone 16e、iPhone 17シリーズとiPhone 17e、iPhone Airを列挙しています。

ここで分けて見ておきたいのが、新しいOSへのアップグレードに対応するかどうかと、旧バージョン向けのセキュリティ更新を受け取れるかどうかです。Appleの「Appleのセキュリティリリース」の一覧には、iOS 26の公開後も旧バージョン向けの更新が並んでいます。2026年5月11日には、iPhone XSとiPhone XS MaxとiPhone XR向けのiOS 18.7.9、iPhone 8とiPhone 8 PlusとiPhone X向けのiOS 16.7.16、iPhone 6sとiPhone 7とiPhone SE(第1世代)向けのiOS 15.8.8が公開されています。最新のiOSの対応機種一覧に載っていないことは、セキュリティ更新が終わったことと同義ではありません。ただしこれらの更新に提供期間の公表はなく、いつまで続くかを事前に知る手段はありません。

Appleの「Appleのセキュリティリリース」の一覧には、2026年5月11日公開のiOS 18.7.9(iPhone XS、iPhone XS Max、iPhone XR)、iOS 16.7.16(iPhone 8、iPhone 8 Plus、iPhone X)、iOS 15.8.8(iPhone 6s、iPhone 7、iPhone SE(第1世代))など、最新のiOSに対応しない機種向けの更新も掲載されています。

年数そのものが公表されている場所もあります。英国のPSTI(Product Security and Telecommunications Infrastructure)規制に対応してAppleが提出した適合宣言では、機種ごとに提供期間が示されています。iPhone 15 Pro Max(モデルA3106)の文書には、初回供給日を2023年9月22日、定められた提供期間を初回供給日から最低5年と記載されています。Appleの規制情報サイトで機種ごとのPDFとして公開されているため、年数を確認したい場合はここを見ることになります。

Appleの規制情報サイトで公開されている英国PSTIの適合宣言(iPhone 15 Pro Max、モデルA3106)は、製造者をApple Inc、初回供給日を2023年9月22日、定められた提供期間を初回供給日から最低5年と記載しています。

iPhoneを検討する場合、購入しようとしているモデルが最新のOSの対応機種一覧に載っているかどうかが、確認しやすい手がかりになります。一覧に載っていない機種を候補から外すのは、更新の残りを事前に読めない状態を避けるための保守的な選び方であって、その機種が更新を受け取れないという意味ではありません。ただし対応機種一覧はOSが新しくなるたびに更新されるため、これは「今後も何年続くか」の保証ではありません。PSTIの適合宣言が示すのも最低の期間であって、それ以上を約束するものではありません。過去の実績から将来の年数を断定することも避けるべきです。買う時点で確実に分かるのは、そのモデルが最新OSの対象に入っているかどうかと、規制文書に書かれた最低期間までです。

買う前に残りの更新期間を数える#

年数の公表と発売日から、自分が受け取れる残りの期間を求める手順を整理します。

購入後に確認する方法も知っておきます。Androidは設定アプリのデバイス情報からAndroidバージョン、Androidセキュリティアップデート、Google Playシステムアップデートを確認できます。ここに表示されるセキュリティアップデートの日付は、メーカーが公表している更新頻度と突き合わせて読みます。四半期ごとや半期ごとが公表されている機種であれば数か月動かないことは想定の範囲ですが、公表された周期を過ぎても日付が変わらない場合は、配信が滞っているか終了している可能性があります。IPAも、日常の対策としてOSと各種ソフトウェアに修正プログラムを適用して最新のバージョンに更新することを挙げています。

画面ロックと暗号化の関係#

端末を落としたり置き忘れたりしたときに中身を読まれないようにする仕組みが暗号化です。ここで押さえておきたいのは、暗号化の効き方が画面ロックの設定と結びついている点です。結びつき方はiPhoneとAndroidで違います。

Appleのプラットフォームセキュリティガイドは、iPad、iPhone、Apple Vision Proでデータ保護というファイル暗号化方式を使っていると説明し、鍵の管理がSecure Enclaveの専用シリコンと高速な暗号化を支える専用のAESエンジンに基づいていること、この構造によって侵害を受けるリスクがあるカーネルオペレーティングシステムやCPUに存続期間の長い暗号鍵が公開されないことを記載しています。そして別のページで、ユーザがデバイスパスコードまたはパスワードを設定することでデータ保護が自動的に有効になること、パスコードやパスワードの設定が一部の暗号鍵にエントロピーを付加することを説明しています。パスコードを設定していない端末では、この自動的な有効化も鍵へのエントロピーの付加も起こりません。

Appleプラットフォームのセキュリティの「暗号化とデータ保護の概要」は、iPad、iPhone、Apple Vision Proがデータ保護というファイル暗号化方式を採用していること、鍵管理がSecure Enclaveの専用シリコンと専用のAESエンジンに基づいており、侵害を受けるリスクがあるカーネルオペレーティングシステムやCPUに存続期間の長い暗号鍵が公開されない構造であることを説明しています。

同じページ群には、総当たりへの備えも書かれています。パスコードの入力を繰り返し誤ると待ち時間が課され、その待ち時間はSecure Enclaveによって適用されるため、待ち時間が適用されているデバイスを再起動しても待ち時間は残ると記載されています。あわせて、「データを消去」オプションをオンにした場合には、誤ったパスコードが10回連続で入力されるとストレージからすべてのコンテンツと設定が削除されることが示されています。消去は既定の動作ではなく、設定でオンにして初めて働く点は読み違えやすいところです。桁数の短いパスコードでも待ち時間による抑止は働きますが、推測されやすい並びを避ける意味は変わりません。

Appleプラットフォームのセキュリティの「パスコードとパスワード」は、iPad、iPhone、Apple Vision Proでユーザがデバイスパスコードまたはパスワードを設定することでデータ保護が自動的に有効になること、パスコードまたはパスワードの設定が一部の暗号鍵にエントロピーを付加すること、パスコードの入力を誤ると課される待ち時間がSecure Enclaveによって適用され再起動しても残ること、「データを消去」オプションをオンにした場合に誤ったパスコードが10回連続で入力されるとストレージからすべてのコンテンツと設定が削除されることを説明しています。

Androidは仕組みが異なります。AOSPのドキュメントは、Android 7.0以降がファイルベース暗号化に対応し、異なるファイルを異なる鍵で暗号化できること、Android 10以降を搭載する新規デバイスではフルディスク暗号化が許可されないことを記載しています。あわせてAndroid 9以降では、ファイルベース暗号化では保護されないディレクトリ構造やファイルサイズや権限といった情報を、起動時に存在する単一の鍵で保護するメタデータ暗号化がハードウェア対応時にサポートされると説明されています。

Android Open Source Projectの暗号化のドキュメントは、Android 7.0以降がファイルベース暗号化をサポートし異なるファイルを異なる鍵で暗号化できること、Android 10以降を搭載する新規デバイスではフルディスク暗号化が許可されないこと、Android 9以降ではハードウェアが対応する場合にメタデータ暗号化がサポートされることを記載しています。

画面ロックとの関係はAppleの説明とは書き方が違います。AOSPのファイルベース暗号化のドキュメントは、内部ストレージの認証情報暗号化(CE)領域の鍵について、利用者の画面ロック解除の知識要素(PIN、パターン、パスワード)か安全なパスコードリセットトークンか再起動後の再開に使う両方の鍵のいずれかを知らなければ解錠できない保護を受けると説明し、こうした保護は利用者が画面ロック解除の知識要素を持たない場合にも適用されると記載しています。暗号化そのものは画面ロックの有無によらず働くという書き方です。ただし画面ロックを設定していなければ、鍵を守る秘密が利用者だけのものになりません。端末を手にした人が中身に届くかどうかという実際の防御力は、画面ロックの設定で変わります。

Android Open Source Projectのファイルベース暗号化のドキュメントは、認証情報暗号化(CE)ストレージが既定の保存場所であり利用者がデバイスのロックを解除したあとにのみ利用できること、内部ストレージのCE鍵が利用者の画面ロック解除の知識要素(PIN、パターン、パスワード)か安全なパスコードリセットトークンか再起動後の再開に用いるクライアント側とサーバ側の両方の鍵のいずれかを知らなければ解錠できない保護を受けること、これらの保護が利用者に画面ロック解除の知識要素がない場合にも適用されることを記載しています。

IPAは日常の情報セキュリティ対策として、スマートフォンやタブレット等を紛失した際に不正に使用されないよう画面ロック機能を必ず有効にすること、紛失時に速やかに画面ロックされるようロックまでの時間を短めに設定することを勧めています。持ち出す機器には適切な暗号化を施すことも挙げられています。

IPAの「日常における情報セキュリティ対策」は、パソコンやスマートフォン等のOSと各種ソフトウェアに修正プログラムを適用して最新のバージョンに更新すること、紛失時に不正利用されないよう画面ロック機能を必ず有効にし画面ロックまでの時間を短めに設定すること、公式マーケットや信頼できる場所からアプリをダウンロードしアプリの権限を必ず確認すること、持ち出す機器には適切な暗号化を施すことを挙げています。

生体認証は精度と分類で見る#

顔認証や指紋認証は、ロック解除の手間を減らしながらパスコードを入力する機会を減らせます。ただし、その中身は機種によって差があります。

Appleは数値を公表しています。プラットフォームセキュリティガイドは、無作為に選ばれた他人がユーザのiPad、iPhone、Apple Vision Proのロックを解除できる確率について、Optic IDまたはFace IDの場合は100万分の1未満、Touch IDの場合は5万分の1未満としています。ただし同じページには条件も書かれています。複数の指紋や複数の顔を登録した場合は確率が上がり、5つの指紋で最大1万分の1、2つの顔で最大50万分の1になること、Face IDの誤認率は双子や利用者によく似た兄弟姉妹、そして顔の特徴がまだ十分に定まっていない場合がある13歳未満の子供で高くなることが示されています。あわせて、認証に5回失敗したときはパスコードまたはパスワードを入力しなければデバイスやアカウントにアクセスできなくなると記載されています。

Appleプラットフォームのセキュリティの「Optic ID、Face ID、Touch ID、パスコード、パスワード」は、無作為に選ばれた他人がユーザのiPad、iPhone、Apple Vision Proのロックを解除できる確率をOptic IDまたはFace IDで100万分の1未満、Touch IDで5万分の1未満とし、複数の指紋または顔を登録した場合は確率が上がり5つの指紋で最大1万分の1、2つの顔で最大50万分の1になること、Face IDの誤認率が双子やユーザによく似た兄弟姉妹、13歳未満の子供の場合に高くなること、認証に5回失敗したときはパスコードまたはパスワードの入力が必要になることを記載しています。

Androidは実装がメーカーごとに異なるため、Googleは強度による分類を定めています。AOSPのドキュメントは、Android互換性定義文書で生体認証をClass 3(旧Strong)、Class 2(旧Weak)、Class 1(旧Convenience)に分類していると説明し、ロック画面との統合は3つのクラスすべてで可能であるのに対し、BiometricPromptとの統合はClass 3とClass 2に限られること、Keystoreとの時間ベースおよび操作ベースの連携はClass 3のみであることを示しています。Keystoreの鍵を生体認証に結び付けて使うアプリは、Class 3の実装でなければその連携を利用できません。同じドキュメントは、生体認証の統合が方式ではなく生体認証のセキュリティによって決まるとも述べています。顔認証だから弱い、指紋認証だから強いという分け方ではないため、重要な用途で使うつもりなら、カタログの「顔認証対応」という表記ではなく、Class 3(BIOMETRIC_STRONG)に相当するかどうかをメーカーの公表で確認します。

Android Open Source Projectの生体認証のドキュメントは、Android互換性定義文書が生体認証をClass 3(旧Strong)、Class 2(旧Weak)、Class 1(旧Convenience)に分類していること、ロック画面との統合は3つのクラスすべてで可能である一方、android.hardware.biometrics APIとの統合はStrongとWeakの認証方式にのみ許可されること、Keystoreとの時間ベースおよび操作ベースの連携がClass 3に限られること、生体認証の統合が方式ではなく生体認証のセキュリティに依存することを説明しています。

パスワードそのものを端末側の鍵で置き換える方向の技術については、別の記事で整理しています。

あわせて読みたい

パスキーとは。パスワードのない世界へ、仕組みと使い方・移行を解説

紛失と盗難に備える機能#

端末を失くしたときに何ができるかは、失くす前の設定で決まります。両方のプラットフォームとも、事前に有効化しておく項目があります。

Androidでは、Googleのヘルプが事前設定を挙げています。設定アプリで位置情報の使用をオンにすること、セキュリティ設定でFind Hubのデバイスの場所の特定を許可をオンにすること、Googleアカウントにログインしていること、Google Playのデバイス一覧でメニューに表示するがオンになっていることです。そのうえで、メインのAndroidデバイスをリモートでロックしたりデータを消去したりするには2段階認証プロセスを有効にしておく必要があると明記されています。紛失してから2段階認証を設定することはできないため、この一点は購入直後にやっておく価値があります。

Googleのヘルプ「Android デバイスを紛失した場合に見つけられるようにしておく」は、位置情報の使用をオンにすること、Find Hubのデバイスの場所の特定を許可をオンにすること、Googleアカウントにログインしていること、Google Playのデバイス一覧でメニューに表示するがオンであることを事前設定として挙げ、メインのAndroidデバイスをリモートでロックまたは消去するには2段階認証プロセスを有効にしておく必要があると記載しています。

Androidにはさらに盗難保護の一群があります。Googleのヘルプによると、盗難検出ロックはAIとデバイスのモーションセンサーとWi-FiとBluetoothを使ってデバイスが突然持ち去られた場合などを検出し、検出時に画面を自動的にロックします。オフラインデバイスロックは、デバイスがインターネットから切断されたときに短時間で画面をロックします。リモートロックは、画面ロックがあること、有効なSIMカードがあること、確認済みの電話番号が設定されていること、Find Hubがオンであること、デバイスがインターネットに接続されていることを条件に、android.com/lockから電話番号で画面をロックできます。オフラインデバイスロックとリモートロックはいずれも24時間に2回という上限が示されています。同ページには、一部の手順がAndroid 15以上でのみ動作すること、機能をオンにする一部の手順がAndroid 10以上でのみ動作すること、Android Goデバイスとタブレットとウェアラブルではサポートされないことも記載されています。

同じページで案内されているIDチェックは、信頼できる場所以外にいるときに、画面ロックの変更、生体認証データの変更、出荷時の設定へのリセット、Find Hubのオフ、盗難保護機能のオフ、Googleアカウントの追加や削除、開発者向けオプションへのアクセスといった操作で生体認証を必須にし、PINやパターンやパスワードを使えなくする仕組みです。画面ロックの番号を盗み見てから端末を奪う手口に対する備えとして働きます。

Googleのヘルプ「個人データを盗難から保護する」は、盗難検出ロックがAIとモーションセンサーとWi-FiとBluetoothでデバイスが突然持ち去られたことを検出して画面をロックすること、オフラインデバイスロックがインターネット切断時に短時間で画面をロックすること、リモートロックには画面ロックと有効なSIMカードと確認済みの電話番号とFind Hubのオンとインターネット接続が必要であること、オフラインデバイスロックとリモートロックが24時間に2回であること、IDチェックが信頼できる場所以外での画面ロックの変更や出荷時リセットや開発者向けオプションへのアクセスなどに生体認証を必須にすることを説明しています。

Apple側は機能が役割ごとに分かれています。位置の確認と紛失としてマークする操作とリモート消去の前提になるのが「探す」です。Appleは、盗まれる前に「探す」が有効になっていなかったデバイスはiCloud.com/findや「探す」アプリに表示されず、紛失としてマークすることもリモートで消去することもできないと案内しています。同じページには、iCloud.com/findへのサインインに確認コードは不要であり、信頼できるデバイスが盗まれた場合でもサインインして紛失としてマークできることも書かれています。

Appleのサポートページ「iPhoneやiPadが盗まれた場合」は、盗まれる前に「探す」が有効になっていなかったデバイスはiCloud.com/findや「探す」アプリに表示されず紛失としてマークすることもリモートで消去することもできないこと、iCloud.com/findへのサインインに確認コードは必要ないこと、デバイスを「探す」から削除するとアクティベーションロックが解除されるため削除しないことを案内しています。

消去された後に他人が使えないようにするのがアクティベーションロックです。プラットフォームセキュリティガイドは、監視対象外のデバイスではユーザがApple Accountにサインインして「探す」をオンにするとアクティベーションロックが自動的に有効になること、この機能はデバイスが消去された場合でも有効のままになることを記載しています。盗まれた端末を初期化しても他人が使えないため、転売の動機を下げる働きがあります。中古端末を買う側から見ると、出品されている端末のアクティベーションロックが解除済みかどうかは購入前に必ず確認すべき点になります。

Appleプラットフォームのセキュリティの「アクティベーションロックのセキュリティ」は、監視対象外のデバイスではユーザがApple Accountにサインインして「探す」をオンにするとアクティベーションロックが自動的に有効になること、この機能がデバイスを消去した場合でも有効のままになることを説明しています。

画面ロックの番号を盗み見られた場合への備えとしてAndroidのIDチェックに並ぶのが、iPhoneの「盗難デバイスの保護」です。Appleの説明では、iOS 17.3以降で利用でき、自宅や職場などのよく知っている場所から離れている間は、キーチェーンに保存されたパスワードやパスキーの利用、すべてのコンテンツと設定の消去といった操作にFace IDまたはTouch IDによる生体認証が必須になり、パスコードなどの代替手段は用意されません。Apple Accountのパスワードの変更やパスコードの変更といった操作には1時間の待機時間が課されます。有効にするにはApple Accountの2ファクタ認証、デバイスのパスコード、Face IDまたはTouch ID、利用頻度の高い場所、そして「探す」の設定が必要で、紛失したり盗まれたりする前に有効にしておく必要があります。

Appleのサポートページ「iPhoneの『盗難デバイスの保護』について」は、この機能がiOS 17.3以降で利用でき紛失や盗難の前に有効にしておく必要があること、よく知っている場所から離れている間は保存済みのパスワードやパスキーの利用やすべてのコンテンツと設定の消去などにFace IDまたはTouch IDが必須となりパスコードなどの代替手段がないこと、Apple Accountのパスワードの変更やパスコードの変更などに1時間の待機時間が課されること、有効化にはApple Accountの2ファクタ認証とデバイスのパスコードとFace IDまたはTouch IDと利用頻度の高い場所と「探す」が必要であることを説明しています。

電話番号そのものを乗っ取られる手口への備えは、別の記事で扱っています。

あわせて読みたい

SIMスワップで電話番号が奪われる仕組みとSMS認証を見直す対策

アプリの入手経路と配信元の確認#

端末側の更新を続けていても、入れるアプリの出どころが緩ければ結果は変わります。IPAの情報セキュリティ10大脅威2026では、個人向けの脅威として不正アプリによるスマートフォン利用者への被害が挙げられています。同じ一覧にはフィッシングによる個人情報等の詐取、スマホ決済の不正利用、インターネットバンキングの不正利用も並んでいます。これらはスマートフォンでも遭遇する脅威ですが、経路はスマートフォンに限られません。アプリの入手経路と直接つながるのは、このうち不正アプリによる被害です。

IPAが2026年1月29日に公表した「情報セキュリティ10大脅威 2026」の個人向けの脅威は五十音順で記載されており、不正アプリによるスマートフォン利用者への被害、フィッシングによる個人情報等の詐取、スマホ決済の不正利用、インターネットバンキングの不正利用、サポート詐欺(偽警告)による金銭被害などが挙げられています。

Androidには、入手経路によらず動く仕組みとしてGoogle Playプロテクトがあります。Googleのヘルプは、アプリやデバイスが有害な動作を引き起こさないかをチェックする機能であり、デフォルトでオンになっていること、アプリのインストール時にチェックしデバイスを定期的にスキャンすること、有害なアプリを検出した場合は通知の送信やアプリの無効化や削除を行うことを説明しています。2026年8月のAndroid Security BulletinにもGoogle Playプロテクトの記載があり、Google Mobile Servicesを搭載したデバイスでは既定で有効であること、Google Play以外からアプリをインストールする利用者にとってとりわけ重要であることが記されています。

Googleのヘルプ「Google Play プロテクトを使用してアプリの安全性とデータ プライバシーを確保する」は、Google Playプロテクトがアプリやデバイスが有害な動作を引き起こさないかをチェックする機能であり、デフォルトでオンになっていること、アプリのインストール時にチェックしデバイスを定期的にスキャンすること、有害なアプリを検出した場合に通知の送信やアプリの無効化や削除を行うことを説明しています。

IPAは、公式マーケットや信頼できる場所からアプリをダウンロードすることと、アプリの権限を必ず確認することを勧めています。同機構の「スマホを安全に使うための6項目」でも、無料のアプリを見つけたときの注意や、謎のアクセス許可への向き合い方、最新版への更新が項目として立てられています。連絡先や位置情報やSMSへの権限を求めるアプリが、その機能に本当に必要なのかを入れる前に見る習慣が、端末の世代を問わず効きます。

IPAの「スマホを安全に使うための6項目」は、スマホを落とした場合の備え、無料のアプリを見つけたときの注意、アクセス許可の確認、最新版への更新、子供の利用、SNSにひそむ危険という6つの項目を挙げています。

SMSを起点にした偽サイトへの誘導は、アプリの入手経路とあわせて確認しておきたい手口です。

あわせて読みたい

電話番号宛てに届く偽SMSで偽サイトへ誘導するスミッシング

中古端末と型落ち端末で見落としやすい点#

価格を抑える選択肢として中古端末や型落ち端末があります。更新の観点で見ると、注意する点がいくつか増えます。

まず残りの提供期間です。年数で公表されているメーカーの場合、起算日は発売日や販売開始日なので、中古で買った端末の残り期間は年数から経過分を引いた値になります。2年落ちの端末をセキュリティ更新5年の公表で買えば、残りは3年です。Pixelのように販売開始日から起算する例では、同じ計算が中古でも新品でも当てはまります。

次にキャリア版の扱いです。サムスンの注記にあるとおり、提供の可否と時期は市場や通信事業者や機種によって異なる場合があります。同じ型番でも入手経路によって配信の状況が違うことがあるため、中古で買う場合は端末の販売経路まで確認しておきます。

そしてアクティベーションロックとネットワーク利用制限です。iPhoneのアクティベーションロックは消去しても残る仕組みのため、前の所有者が解除していない端末は初期設定を完了できません。購入前に解除済みであることを確認します。

最後に、購入直後にやっておく設定があります。中古端末は前の所有者の設定が残っていることがあるため、初期化した状態から自分で組み立て直します。開発者向けオプションが有効になっていないか、提供元不明のアプリのインストールが許可されたままになっていないかも確認しておきます。AndroidのIDチェックの説明では、開発者向けオプションへのアクセスが生体認証を必要とする機密情報に関する操作のひとつに挙げられており、この領域が保護対象として扱われていることが分かります。

パソコンを含めた端末全般で更新の提供期間をどう見るかは、ノートパソコンの選び方の記事でも整理しています。

あわせて読みたい

セキュリティを重視して選ぶノートパソコンの見どころ

買う前のチェックリスト#

購入後の設定は次の順序で進めると取りこぼしが減ります。画面ロックを設定してから、生体認証を登録し、紛失時の機能を有効にし、最後に自動更新の設定を確認します。生体認証の登録も紛失時のリモートロックも画面ロックの設定が前提になるため、ここを先に済ませておくと後戻りがありません。

まとめ#

スマートフォンの安全性のうち、購入後の設定で埋められる部分と、本体を選ぶ時点で決まる部分は分かれています。決まってしまうのは、セキュリティ更新が何年届くかです。GoogleはPixel 8以降について米国のGoogleストアでの販売開始日から7年間、Pixel 6と7の各シリーズおよびPixel Foldについて5年間を公表しています。サムスンは2024年1月時点でGalaxyのセキュリティ更新サポートを最大7年分延長したと公表していますが、総期間としての年数や対象機種の範囲は同じページには書かれておらず、提供の可否と時期が市場や通信事業者や機種によって異なる場合があるとも注記しています。シャープはAQUOS sense9とAQUOS R10についてOS更新最大3回とセキュリティ更新5年を発売日起算で公表し、ソニーはAndroid Enterprise Recommendedの対応機種について終了予定の年月を掲載しています。Appleは対応機種をOSごとに公表しており、年数は一般向けサポートページには載っていませんが、英国PSTIの適合宣言ではiPhone 15 Pro Maxの提供期間を初回供給日から最低5年と記載しています。最新のiOSに対応しなくなった機種にも旧バージョン向けのセキュリティ更新が公開される場合があり、その期間は公表されていません。

購入後にできることも決まっています。Appleはパスコードまたはパスワードの設定でデータ保護が自動的に有効になると説明しており、Androidでも画面ロックを設定して初めて保存領域の鍵が利用者だけの秘密で守られます。Androidでメインのデバイスをリモートでロックしたり消去したりするには、事前に2段階認証プロセスを有効にしておく必要があります。iPhoneでは、紛失としてマークする操作とリモート消去の前提として、なくす前に「探す」を有効にしておきます。アプリは公式マーケットや信頼できる場所から入手し、権限を確認します。

ここに書いた内容は執筆時点で確認できた公式情報にもとづくものです。提供期間や対応する機能は機種と販売経路によって異なり、公表内容も変更される場合があります。購入前に各メーカーの製品ページと公式サポートページで最新の情報を確認することをおすすめします。

Android Security Bulletin 2026年8月版(Android Open Source Project、2026年8月3日公開)

Google Pixel スマートフォンのソフトウェア アップデートが提供される時期(Google Pixel ヘルプ)

Security Updates Scope(Samsung Mobile Security)

Android Enterprise Recommended(Xperia公式サイト、ソニー)

iOS 26に対応しているiPhoneのモデル(Apple サポート)

パスコードとパスワード(Appleプラットフォームのセキュリティ)

個人データを盗難から保護する(Android ヘルプ)

日常における情報セキュリティ対策(IPA 独立行政法人情報処理推進機構)

サポート切れソフトウェアを利用しないようにしよう(総務省 国民のためのサイバーセキュリティサイト)