空港や国境でスマホを見せろと言われたらDuress PINより先に準備すること

29 de julio de 2026

海外渡航の際、入国審査や税関で「スマートフォンのロックを解除してください」と求められる。ニュースなどでこうした話を耳にして、不安に感じたことはありませんか。

アンチスパイフォンユーザーの間では、こういう話題になると必ず「Duress PIN(強制解除用PIN)を設定しておけばいい」という声が上がります。

Duress PINは、入力した瞬間に端末を完全に消去する、GrapheneOS独自の強力な機能です。

しかし、先に結論をお伝えします。国境検査への備えとして、Duress PINは最初に頼るべきものではありません。

むしろ最後の最後、ほとんどの人にとっては「使わない」前提の機能です。

本当に効くのは、もっと地味な準備です。

この記事では、渡航前にやっておくべきことを、優先順位の高い順に解説します。

なお、この記事は法的助言ではありません。

国境での検査ルールは国・在留資格・時期によって大きく異なり、頻繁に変わります。

ご自身の渡航先の最新ルールは、必ず公式情報や専門家(弁護士など)で確認してください。

この記事が扱うのは、あくまで「技術的にできる準備」です。

前提:国境は「普段のルール」が通用しない場所

まず知っておきたいのは、多くの国で、国境では国内よりも広い検査権限が当局に認められているという事実です。

例としてアメリカを見てみましょう。

米国税関・国境警備局(CBP)は「国境検査の例外(border search exception)」に基づき、令状や個別の疑いなしに電子機器の基本的な検査を行う法的権限を持っています。

2026年1月に発効した新しい指令(Directive 3340-049B)では、この権限の範囲がより明確化されました。2025会計年度には55,318台のデバイスが検査され、前年から17%増加しています。

検査には2種類あります。

「基本検査」は端末上に表示される内容(写真やメッセージなど)を係官が手作業で確認するもので、疑いがなくても実施できます。

「高度な検査」はフォレンジックソフトでデータをコピー・抽出・分析するもので、合理的な疑いと上司の承認が必要とされています。

解除を拒否した場合はどうなるでしょうか。ここが在留資格によって大きく分かれるところです。

米国市民と永住権保持者は、デバイスの解除を拒否しても入国自体を拒否されることはありません。

一方で、ビザやビザ免除プログラムで渡航する人が拒否した場合、入国を拒否され、次の便で送り返される可能性があります。

日本のパスポートでESTA渡航する私たちの多くは、後者の立場だということです。

また、拒否した場合、端末が一時的に押収されたり、検査が大幅に長引いたりする可能性もあります。

つまり、「その場で拒否して戦う」ことを前提にした対策は、多くの日本人渡航者にとって現実的ではありません。

だからこそ、「見せても困らない状態にしてから国境を越える」という発想が重要になるのです。

なぜDuress PINは「最後の手段」なのか

アンチスパイフォンのDuress PINについて、改めて仕様を確認しておきましょう。

Duress PIN/パスワードは、ロック画面などOS上で認証情報が要求されるあらゆる場面で入力すると、端末を(インストール済みのeSIMもろとも)不可逆的に消去する機能です。

確認画面は一切なく、やり直しも効きません。

消去は端末上のすべてのプロファイルに及び、仕事用・個人用と分けていた場合もすべて消えます。

強力な機能であることは間違いありません。しかし、国境検査という場面に限って言えば、次の3つの理由から適していません。

理由1:係官の目の前で使えば、証拠隠滅とみなされるリスクがある

検査官に端末を渡すよう求められた状況でDuress PINを入力する行為は、国や状況によっては証拠の破壊・公務執行妨害などとして、データを見られるよりはるかに重い法的問題に発展しかねません。

Duress PINが本来想定しているのは、強盗や誘拐のような、生命の危険が迫る強要の場面です。

行政手続きである国境検査とは、前提がまったく違います。

理由2:失うものが大きすぎる

eSIMも含めて全プロファイルが消えるため、渡航先で連絡手段を失います。

バックアップがなければ、データは二度と戻りません。

理由3:そもそも「消すほどのデータ」を持ち込まなければ、必要がない

これがこの記事の核心です。国境で守るべきデータは、国境に持ち込まないのが一番なのです。

Duress PINを設定すること自体は、脅威モデルによっては合理的です。

ただしそれは「最終防衛ライン」であって、国境対策の主役ではない——この順序を間違えないようにしましょう。

準備1:データ最小化「持っていないものは見せられない」

国境検査対策の大原則は、驚くほどシンプルです。

端末に入っていないデータは、検査されようがない。

渡航前に、次のような整理をおすすめします。

不要なアプリを削除する。 特にメッセージアプリ、SNS、メールなど、過去のやり取りが大量に蓄積されているものは要注意です。渡航中に使わないなら、アプリごと削除して帰国後に入れ直すのが確実です。
写真・動画を整理する。 端末内のギャラリーは基本検査で真っ先に見られる場所です。バックアップを取った上で、渡航に不要なものは端末から削除しましょう。
クラウドからログアウトする。 2026年の指令では、係官がアクセスできるのは端末にローカル保存されたデータのみで、クラウド上のデータへのアクセスは制限されるとされています。とはいえ、ログインしたままのアプリにはキャッシュ(端末内に残ったコピー)があります。クラウドアプリからログアウトし、ローカルにキャッシュされたファイルを削除しておくことで、検査時にアクセスされうる範囲を狭められます。
より徹底するなら、渡航専用の構成にする。 脅威モデルが高い方は、渡航前にバックアップを取ってから端末を初期化し、旅行に必要な最小限のアプリだけをセットアップする「トラベル構成」も選択肢です。帰国後にバックアップから復元すれば、元の環境に戻れます。

ひとつ注意点があります。
「不自然なほど空っぽの端末」は、それ自体が追加の質問を招く可能性があるということです。
データ最小化は「怪しまれないための偽装」ではなく、「万一見られても実害を最小にする」ための整理だと考えてください。

そして当然ですが、係官の質問に嘘をつくことは絶対に避けてください。

多くの国で、虚偽申告はデータを見られること自体より重大な結果を招きます。

準備2:プロファイルの渡航前整理

このブログでも繰り返し扱ってきたように、GrapheneOSではセカンダリユーザーやプライベートスペースを使ってデータを区画化できます。

普段この運用をしている方は、渡航前にプロファイルをどうするか決めておく必要があります。

基本の考え方は、こうです。

渡航中に使わないプロファイルは、バックアップの上、削除する。 銀行アプリや仕事用データを隔離しているプロファイルは、渡航中に使わないのであれば、端末上に存在させておく理由がありません。削除してしまえば、そのデータは端末上に存在しなくなります。
「プロファイルの存在」自体は隠せない前提で考える。 ロック解除された端末を検査されれば、ユーザー切り替え画面などから複数プロファイルの存在は把握されえます。「メインを見せて、隠しプロファイルでしのぐ」という発想は、追加の解除要求や不信を招くだけです。存在を隠すのではなく、存在させないのが確実です。
停止中のプロファイルは暗号化された状態(at rest)にある——これは事実ですが、解除を求められたら結局同じことです。過去記事「銀行アプリはプライベートスペースとセカンダリユーザーのどちらに置くべきか」でお伝えした通り、両者の保存時暗号化の強度は同等です。国境という文脈では、暗号化強度の差ではなく「そもそも端末上にあるかないか」が効いてきます。

なお、プロファイルを消す前に必ず次の「準備3」を済ませてください。順番を間違えると、データを自分で失うことになります。

準備3:バックアップすべての土台

ここまでの「削除」を安心して実行できるかどうかは、バックアップにかかっています。

渡航前整理の実際の手順は、次の順番になります。

Seedvaultで各プロファイルのバックアップを取る。 バックアップはプロファイルごとに独立している点に注意してください。オーナー、セカンダリユーザー、それぞれの中でSeedvaultを実行する必要があります。
バックアップ先は「持って行かない場所」に。 USBドライブや自宅のNASなど、端末と一緒に国境を越えない場所に保存します。バックアップメディアを端末と一緒に携行してしまうと、せっかくの削除が意味を失います(バックアップメディア自体も検査対象になりえます)。
復元テストまでは求めませんが、リカバリーコード(12単語)の控えは必ず確認を。 これを失うとバックアップは復号できません。
その上で、不要なプロファイル・アプリ・データを削除する。
帰国後、バックアップから復元する。

Seedvaultの詳しい使い方と注意点(Android 17でのLAN経由バックアップの変更点など)は、過去記事をご参照ください。

準備4:Auto rebootとBFU「電源を切る」ことの意味を知る

最後に、当日の端末の「状態」の話です。

ここはアンチスパイフォンSの真価が発揮されるところなので、少し丁寧に説明します。

Androidの端末には、実は2つの状態があります。

BFU(Before First Unlock:初回ロック解除前):電源を入れてから、まだ一度もPINを入力していない状態。この状態では、ユーザーデータのほとんどが暗号化されたままで、初回のロック解除まではアクセスできません。
AFU(After First Unlock:初回ロック解除後):一度でもロックを解除した後の状態。データの暗号化が解かれてアクセス可能になっており、画面がロックされていても、フォレンジックツールで少なくとも一部のデータを抽出できる場合があります。

金庫にたとえるなら、BFUは「扉が閉まって鍵もかかった金庫」、AFUは「扉は閉じているが、鍵は開いたままの金庫」です。押収・検査という場面で、この差は決定的です。

ここから導かれる実践は、とても簡単です。検査場に向かう前に、電源を切る(または再起動してPINを入力しない)。

たったこれだけで、端末はBFU状態になり、データは完全に暗号化された状態に戻ります。

副次的な効果として、再起動後は指紋や顔での解除が無効になり、PIN入力が必須になります。

生体認証は「本人の指を当てさせる」形で突破されうるため、この点でも電源オフは有効です。

そして、この「BFUに戻す」動作を自動化してくれるのが、アンチスパイフォンのAuto reboot(自動再起動)機能です。

設定 → セキュリティとプライバシー → 脆弱性攻撃からの保護(Exploit protection)→ 自動再起動から設定でき、デフォルトはロック後18時間、10分から72時間の範囲で調整できます。

設定時間のあいだロック解除がなければ端末が自動的に再起動し、BFU状態に戻ります。

これは渡航時だけでなく普段から効く保護です。

仮に端末が押収されてAFU状態のまま保管されても、タイマーが切れれば自動的にBFUに戻るこの仕組みはアンチスパイフォンが先駆けて導入し、後にGoogleが標準Androidにも(より長い間隔で)取り入れたものです。渡航期間中は、普段より短い設定(たとえば1〜2時間)にしておくのも一案です。

あわせて、指紋認証を普段使っている方向けの豆知識をひとつ。

アンチスパイフォンでは指紋の試行が合計5回までに制限されており、別の指でわざと5回失敗すれば、指紋解除を即座に無効化できます。

とっさの場面で電源を切る余裕がないときの代替手段として覚えておくと安心です。

当日のふるまい:抵抗ではなく、準備で勝つ

準備がすべて済んでいれば、当日やることはわずかです。

検査エリアに入る前に電源を切る。
質問には正直に答える。嘘は絶対につかない。
解除を求められたときにどうするかは、渡航先の法律と自分の在留資格次第です。前述の通り、米国ではビザ・ESTA渡航者が拒否すれば入国拒否がありえます。「拒否して守り抜く」戦略が取れる立場の人は限られています。だからこそ、解除して見せることになっても困らない状態を事前に作っておくのです。
端末を押収された場合は、受領証(米国ならCustody Receipt)を受け取る、日時と係官の情報を記録するなど、後から状況を整理できるようにしておきましょう。