スマホの なかの しゃしんは、ふつうの 日本語や 絵のままでは しまわれて いません。まず「暗号あんごう」という、人には 読めない かたちに かえられて います。それを もとに もどす のが「かぎ」です。

たとえば、ふたの ある たからばこを 思いうかべて ください。中に たからが 入って いても、かぎが なければ ひらきません。かぎを とかして しまえば、たからばこは あけられなく なります。ただし 本当は、スマホの かぎは 目に 見えない 数字の ならびです。

iPhoneを 作って いる Appleの しりょうには、「すべてを けす」を えらぶと、この かぎが けされると 書かれて います［1］。かぎが なくなれば、のこった 中みは だれにも 読めません。だから、1まいずつ けさなくても、ほとんど おなじ ことに なります。

スマホの保存領域には、写真も文書も、そのままの形では置かれていません。あらかじめ暗号という、鍵がないと意味の取れない形に変えられています。鍵を使うと、はじめて元の写真として表示できます。

家の金庫にたとえると分かりやすいでしょう。中身を全部取り出して捨てなくても、鍵を捨てて、同じ鍵が二度と作れないようにすれば、金庫は開けられなくなります。ただし実際の鍵は、金属ではなく数字の列で、スマホの中のしくみが管理しています。

Appleの公式資料によると、iPhoneは、ファイルを守る鍵を消すことで、全ファイルを暗号的に読めない状態にします。この消去は、利用者が「すべてのコンテンツと設定を消去」を選んだときや、遠隔で消去を指示したときに行えるように設計されているとあります［1］。数十GBのデータを一つずつ消すのではなく、小さな鍵を消せば済むのです。

次に気になるのは、その鍵をどこに置くかです。置き場所によって、確実に消せるかどうかが変わりそうだからです。

スマホに保存されたデータは、暗号化された形で書き込まれている。したがって、保存領域全体を上書きして消す代わりに、復号に必要な鍵を消去すれば、残ったデータは意味のない並びになる。これが暗号消去と呼ばれる考え方である。消す対象が、保存領域全体から鍵へ変わるため、消去の作業は小さくて済む。

Appleの公式資料は、iPhoneでの具体例を示す。ファイルシステムの鍵を包む鍵を、利用者が「すべてのコンテンツと設定を消去」を選んだとき、あるいは管理者らがリモート消去を指示したときに、すばやく消せるよう設計してあり、この鍵が消えると全ファイルに暗号的にアクセスできなくなる、とある［1］。上書きでなく鍵の消去を選ぶ利点は、消す対象が数十GBのデータから、小さな鍵に変わることにある。

ただし、鍵を消すだけで足りるのは、鍵の置き場所が本当に消せる設計になっている場合に限られる。では、鍵はどこに置かれているのか。次章で、その専用の置き場所を見る。

大事な かぎを、へやの すみの ひきだしに ばらばらに しまったら、すてる ときに さがすのが たいへんです。そこで iPhoneは、かぎを しまう ための せんようの ばしょを つくって います［2］。

この ばしょは、かぎだけを いれる ところで、そこだけを ねらって 安全に けせるように なって います。かぎを すぐに けすのを たすける しくみです［2］。

もうひとつ、おもしろいことが あります。かぎを つつむ かぎは、スマホを 初期化しょきかする たびに かわります［3］。だから、まえの かぎが のこって いても、あたらしい スマホとして つかう ときには やくに たちません。

鍵を消すといっても、鍵が保存領域のあちこちに散らばっていたら、確実に消せるか心配になります。そこでiPhoneには、鍵を入れるための専用の領域があります。Appleの用語集では、これをEffaceable Storage（消去しやすい記憶領域）と呼び、鍵の保存に使うメモリ上の専用の場所で、直接指定して安全に消去できると説明しています［2］。

この領域に置いた鍵は、鍵を階層にして使うしくみの一部になります。そのため、すばやく消去する（fast wipe）ときに役に立つとされています［2］。用語集には、メディアキーという鍵も出てきます。これを消すと暗号化されたデータにアクセスできなくなるので、端末のデータを素早く確実に消せるようになる、という説明です［2］。

もう一つ、鍵を包む鍵は、利用者が端末を消去するたびに変わるとされています［3］。消去のあとに前の鍵が見つかったとしても、新しい状態では使えない設計だと読めます。

鍵をどこに置くかは、確実に消去できるかどうかを左右する。ふつうの保存領域に鍵を書くと、書き換えの仕組み上、古い鍵がどこかに残る可能性が心配になる。そこでAppleは、鍵を保存するためのNAND上の専用領域を設け、その領域は直接アドレス指定でき、安全に消去できると用語集で説明している［2］。これがEffaceable Storage（イフェイサブル・ストレージ、「消去可能な記憶領域」の意）である。なお、古い鍵が残る心配の部分は書き手の推論で、資料にその説明はない。

鍵は階層をなしている。ファイルごとの鍵を、さらに上位の鍵が包む。この階層の一部に、Effaceable Storageの鍵が使われ、すばやい消去を助けるとされる［2］。メディアキーという鍵も同じ役目で、これを消すと暗号化データに届かなくなる［2］。階層の上のほうの小さな鍵だけを消せばよい構造にしておけば、下にあるファイルの鍵やデータを探して消す必要がない、と整理できる（この整理は書き手による）。

さらに、鍵を包む鍵は、利用者が端末を消去するたびに変わる［3］。ここまでは、iPhoneの公式資料から言えることだ。では、Androidではどうなっているのか。次章で、公式文書が支える範囲を確かめる。

Androidの スマホも、ふだんから なかみを 暗号に して います。ファイルの ひとつずつに、べつべつの かぎを つかう やりかたです［4］。

スマホの なかで つかう かぎの ひとつは、スマホの ロックの ばんごうなどと むすびついて います［4］。

あたらしい Androidの スマホは、この やりかたを つかうことに なって います［5］。ただし、初期化しょきかのときに、かぎが どうやって けされるかを くわしく 書いた 公式の 文は、今回の しりょうには ありません。かぎを あんぜんに けせる つくりに なって いる、というところまでです。

Androidのスマホも、中のデータを暗号化して保存しています。Androidの公式文書によると、ファイルベース暗号化という方式では、ファイルごとに別々の鍵を使い、鍵は保存されるときも暗号化されています。そのうち、スマホ本体の中で使う鍵（CE鍵）は、画面ロックの認証情報（暗証番号やパターンなど）と結びついています［4］。

この方式の文書には、鍵を安全に消去できるようにする仕組みも出てきます［4］。また、Android 10以降の新しい端末では、ディスク全体を暗号化する古い方式は認められず、ファイルベース暗号化を使うことになっています［5］。

ただし、この文書は「ファクトリーリセット」の手順そのものには触れていません。Androidの初期化でも鍵を消すと考えるのは自然ですが、公式文書が直接示しているのは「鍵を安全に消す設計がある」ところまでです。

Androidでは、ファイルベース暗号化（FBE）が基本になっている。AOSPの文書によると、FBEはファイルごとに別の鍵を使い、起動ごとの鍵を除く鍵は暗号化された状態でディスクに置かれる。内部ストレージのCE鍵は、画面ロックの認証情報（LSKF）と結びつけられている［4］。また、Android 10以降で動く新しい端末では、フルディスク暗号化は許されず、FBEを使う［5］。

文書には、Keystoreの鍵にロールバック耐性を求めることで、FBEの鍵を端末上で安全に削除できる、という趣旨の記述も出てくる［4］。ただし、これはFBE全般の設計の説明であり、「設定アプリの初期化で、どの手順で鍵が消えるか」を述べたものではない。したがって、Androidの初期化でも鍵の削除が中心になる、とは、設計から見て合理的な推測にとどまる。

Android 10以降が前提の読者には、鍵の削除で中身を読めなくする土台は整っている、と言える。では、古いAndroidでは、初期化は本当にきれいに消えていたのか。次章で、実際に報告された研究を見る。

じつは、むかしの Androidでは、初期化しょきかしても なかみが のこる ことが あったと、ほうこくされて います。2015年に、イギリスの ケンブリッジ大学の 人たちが、中古で 買った 21だいの 古い Androidを しらべました［6］。

この ちょうさでは、ぜんぶは きれいに きえない スマホが ありました。この 21だいの けっかを もとに、むかしの Androidでは、さいだい 5おくだいで なかみが ぜんぶは きえない かのうせいが あると、みつもられて います［6］。5おくだいは、数えた 数では なく、「多くて これくらい」という 見つもりです。

ただし、これは むかしの Androidを しらべた けっかで、5おくだいは 「たぶん こんなに あるかも」という 上かぎの みつもりです。いまの スマホが ぜんぶ そうだ、という ことでは ありません。

初期化したつもりでも、中身が残っていたことがあります。2015年、ケンブリッジ大学の研究者が、中古で手に入れたAndroid 2.3〜4.3の端末21台（5社）を調べました。初期化しても消えきらない例が多く、最大で約5億台のAndroid端末で、データを保存する領域が完全には消えない可能性があると見積もられています（実際に数えた台数ではなく、推計の上限です）［6］。

ただし、これは古いAndroidが対象の調査で、5億台も「最大でこれくらい」という推計の上限です。今のスマホの状況を示すものではありません。

日本でも、2019年のITmediaの記事で、データ消去の事業者が「初期化しただけではデータが残り、専用ソフトで復元されることがある。ただし暗号化されたデータの復元は難しい」と述べています［7］。事業者の見方で、端末やOSによって差があります。2013年には「暗号化してから初期化すると、さらに安心」という助言もありました［8］。今の新しいAndroidは最初から暗号化されているので［5］、この助言をそのまま当てはめる必要は少なくなっています。

2015年にケンブリッジ大学のSimonとAndersonは、中古のAndroid 2.3〜4.3の21台（5社）を調べ、初期化後も消去が不完全な例が多いと報告した。最大約5億台のAndroid端末で、データ領域が完全には消えない可能性があるという見積もりも出している［6］。ただし、この数字は論文のPDF本文ではなく検索結果の要約から確認したもので、古いAndroidを対象とした推計の上限である。現行の機種に当てはめられない。

2019年のITmediaは、データ消去事業者への取材として、一般の人が初期化しただけでは、データが残り専用ソフトで復元される場合があるが、暗号化されたデータの復元は難易度が高い、と伝えている［7］。事業者の立場からの説明で、機種やOSで差がある。2013年のライフハッカー日本版は、スマホを暗号化してから消去すれば、さらに安心という助言を紹介していた［8］。

この2013年の助言は、暗号化が標準でない時代の対策である。Android 10以降の新しい端末ではFBEが必須であり［5］、事前に暗号化する操作の必要性は小さくなった。つまり、「昔は消えきらないことがあった」と「今の端末も同じ」の間には、暗号化が標準になったという大きな違いがある。次の関心は、初期化しても残るものに移る。

スマホを 初期化しょきかしても、ネットの うえに あずけて いる ものは、きえません。Googleの ヘルプには、スマホの なかの データと アプリは ぜんぶ きえるが、Googleアカウントに ほぞんした データは もどせると 書かれて います［9］。

もどす ときには、ほんにんか どうかを たしかめる ことが あります。さいきん パスワードを かえたときは、初期化しょきかする まえに 24じかん まつように あんないされて います［9］。

iPhoneでは、手ばなす まえに、バックアップを とり、eSIMを けすか のこすかを えらびます［10］。パスコードと、Apple Accountの パスワードも いります。

初期化しても、端末の外に預けたデータは消えません。Googleのヘルプによると、Androidの初期化で端末内のデータとアプリはすべて消えますが、Googleアカウントに保存されたデータは復元できます。復元には本人確認が必要で、初期化後は端末をネットにつないでGoogleアカウントにログインします。パスワードを最近変えた場合は、初期化する前に24時間待つよう案内されています［9］。

iPhoneでも、Appleは、手放す前にバックアップをとること、必要ならApple Watchのペアリングを解除すること、eSIMを消すか残すかを選ぶことを案内しています。手順は「設定」→「一般」→「転送またはリセット」→「すべてのコンテンツと設定を消去」で、パスコードとApple Accountのパスワードを入力します［10］。

Googleアカウントに保存したデータが戻せるのは、端末の外にも置き場所があるからです。

初期化で消えるのは端末の中にあるデータである。Googleのヘルプでは、Androidの初期化で端末内のデータとアプリはすべて消えるが、Googleアカウントに保存されたデータは復元できる。復元には本人確認の情報が要り、初期化後は端末をネットにつないで、Googleアカウントにログインする。パスワードを最近変えた場合は、初期化する前に24時間待つよう案内されている［9］。

Appleの案内でも、手放す前のバックアップ、Apple Watchのペアリング解除、eSIMの扱いの選択が並ぶ。eSIMを消すか残すかを選べるのは、通信契約の情報が端末内の写真やアプリとは別の扱いになるためと読めるが、この理由は資料に書かれたものではない。手順は「設定」「一般」「転送またはリセット」「すべてのコンテンツと設定を消去」で、パスコードとApple Accountのパスワードの入力を求められる［10］。

つまり、初期化前の準備の大半は、「消えるものを守る」ためではなく、「端末から消えるもの」と「アカウント側に残るもの」を見分けるためのものだ。端末の中身は鍵の消去で読めなくなるが、アカウントや契約は端末の外にもあるため、別の操作が必要になる。この外側の守りが、盗まれた端末に対して意味を持つ。

もし スマホが ぬすまれて、わるい人が 初期化しょきかしたら、その スマホは つかえて しまうのでしょうか。Androidには、それを ふせぐ「FRP」という しくみが あります。

Googleアカウントを とうろくして おくと、じどうで はたらきます。初期化しょきかしたあとは、もとの アカウントで ログインしないと、つかえません［11］。

ただし、せっていの アプリから 初期化しょきかするときに、アカウントを はずして あれば、この しくみは はたらきません。じぶんの スマホを ゆずる ときは、わすれずに はずして おくのが たいせつです。

初期化は、持ち主以外にも使える操作です。そこでAndroidには、Factory Reset Protection（FRP）という盗難対策があります。サムスンのサポートページの説明では、端末にGoogleアカウントを登録すると自動で有効になり、初期化後は元のアカウントでのログインが必要になります［11］。

これは、鍵を消してデータを読めなくするしくみとは別の、もう一段の守りです。データが消えても、端末そのものを使い始めるには、元の持ち主のアカウントが必要になります。

注意点もあります。この機能はAndroid 5.1以降のもので、設定アプリから初期化するとき、アカウントを解除してあれば働きません［11］。使わなくなった端末を人に譲るときは、先にアカウントを外しておく、という順番が大事になります。この資料はメーカーのものなので、細かい動作は機種や版で変わる場合があります。

鍵の消去でデータを守っても、端末そのものが盗まれたときの問題は残る。初期化すれば、拾った人が自分のアカウントで使い始められるのでは、という懸念が生まれる。これに対するAndroidの仕組みが、Factory Reset Protection（FRP）である。Samsungのサポートページによると、FRPは端末にGoogleアカウントが登録されると自動で有効になり、信頼できない環境で初期化が行われた後の端末の利用を防ぐ。初期化後は、元のGoogleアカウントでのログインが必要になる［11］。

限界もある。FRPはAndroid 5.1以降の機能で、設定アプリから初期化する場合に、アカウントを事前に解除してあれば有効にならない［11］。つまり、持ち主が手放す前に操作する場合と、盗難の場合とで、動きが違う。出典はメーカーの説明で、Google公式のヘルプではなく、Android 16での強化については今回の資料に含めていない。

ここまでを整理すると、初期化の守りは二層になっている。内側は、鍵の消去で中身を読めなくすること。外側は、アカウントによる再起動後の使用制限である。ただし、どちらも端末の機種やOSの版によって細部は異なるので、実際の端末の公式案内を確認することが前提になる。

おうちの人に いっしょに 見みてもらい、いいよと いわれたら、「設定せってい」の なかに「転送または リセット」や「初期化しょきか」という ことばが ないか、さがして みましょう。

ここで きおつけて ください。「けす」の ボタンは、ぜったいに おさないで ください。おして しまうと、なかみが きえます。ひらいて、かいてある もじを 読むだけに します。

「バックアップ」「アカウント」「eSIM」の ことばが 見つかったら、さっきの おはなしと つなげて みましょう。かぎを けす まえに、なにを まもって、なにを はずすのか。画面に 答えが ならんで いるはずです。

おうちの人のスマホやタブレットで、設定の中から「転送またはリセット」「初期化」といった言葉を探してみましょう。機種によって名前や場所は違います。

ここで大事なのは、「消去」のボタンは絶対に押さないことです。押すと中身が読めなくなります。表示されている注意書きだけを、読んでください。

バックアップ、アカウント、eSIMなど、この記事に出てきた言葉が並んでいるかを数えてみてください。鍵を消す前に何を残して、何を外すのか。その答えは、自分の端末の公式の案内にあります。メーカーの案内やヘルプも、あわせて読むと確かめられます［9］［10］。

家族の端末の設定画面で、リセットや初期化の項目を探し、押さずに表示される案内文だけを読んでみてほしい。消去のボタンは押さないこと。押すと戻せない。機種によって名称や位置は異なる。

案内文に、バックアップ、アカウント、eSIMといった言葉が出ているか確認するとよい。そのうえで、本文と見比べながら、端末から消えるものと、アカウント側に残るものを書き分けてみてほしい。自分の端末の仕様は、Appleのサポートやグーグルのヘルプなど、公式の案内で確かめられる［9］［10］。