昔ながらの鍵なら、開ける方法は「鍵穴に鍵を差す」か「鍵穴をこじ開ける」くらいでした。スマートロックでは、スマホのアプリ、Bluetooth、インターネット上のサービス、テンキー、音声アシスタント、家族に送った合鍵……と、開けるための通り道が何本もあります。まずはその全体を地図にします。

この7つの入口は、攻撃する人が「どこにいるか」で3種類に分けられます。ここを押さえると、ニュースを見たときに「自分に関係ある話か」をすぐ判断できます。

大事なのは、一度に被害が届く範囲の違いです。扉の近くから開ける方法は、攻撃する人がその家まで来なければ使えません。ところがインターネット上のサービス側に穴があると、そのサービスを使う全員が同時に危険になります。そして「設定ミス・運用の穴」は、元同居人や前の入居者など、もともと鍵を持っていた身近な人に使われやすいのが特徴です。

第1章 おわり — 次は第2章

2024年9月、テンキー式のスマートロックを開けて一人暮らしの女性宅に侵入したとして、大阪府警が27歳の会社員の男を住居侵入などの疑いで逮捕しました。報道によると、男はパネルに残った指の跡から暗証番号を割り出していたとされ、「遊び感覚で暗証番号を当てていた」と供述しています（日本経済新聞、2024年10月2日）。ABCテレビの報道の見出しでは、現場は大阪府吹田市で、2人の女性の住宅に侵入した疑いとされています。

特別な機械も、プログラミングの知識も使っていません。よく押すボタンには、指の脂のてかりや汚れが残ります。それを見れば「どの数字が使われているか」の見当がつくのです。

4桁の暗証番号は、指の跡でどこまで絞られる？

指の跡からは「どの数字を押したか」は分かっても、「どの順番で押したか」までは分からないとして計算してみます。

※この記事での計算です。押された数字の種類は分かり、順番は分からない前提です。

1万通りあったはずの候補が、数十通りまで一気に減ります。間違いが続くと一定時間操作できなくなる製品もありますが、候補がこれだけ少なければ、その制限の中で当たる可能性は高くなります。覚えやすいからと同じ数字を繰り返す番号（例：1177）は、候補が14通りまで減ってしまいます。

指の跡への対策

• 正しい番号の前後に、でたらめな数字も押す：前後に余分な数字を足しても開く機能を持つ製品なら、指の跡が増えて推測しにくくなります。対応しているかは説明書で確認してください。
• 桁数を増やし、ときどき変える：6桁以上にすると使われる数字の種類が増えやすく、候補も増えます。
• パネルをときどき拭く：跡そのものを残しにくくします。
• 指紋・顔・カードなど、跡が残らない方法も使う：暗証番号だけに頼らない設定にします。
• 来客や業者には1回限り・期限つきの番号を発行する：普段使っている番号を教えずに済みます。

なお、「指の跡による被害が増加中」と書くネット記事もありますが、件数を示した公的な統計は今回の調査では見つかりませんでした。数が多いか少ないかではなく、低い技術で実際に起きた手口として押さえておきましょう。

第2章 おわり — 次は第3章

スマートロックの多くは、スマホとBluetooth（ブルートゥース）という近距離の無線でやりとりします。ここを狙う代表的な手口は、次の2つです。

研究者が公表した主な事例

※「公表時の状況」は発表された時点のものです。その後の修正状況は各社の最新情報を確認してください。

この表から分かる3つのこと

① 暗号化していても安全とは限りません。 KeyWeは通信を暗号化していましたが、暗号の鍵を誰でも調べられるBluetoothの機器番号（アドレス）をもとに作っていたため、鍵を割り出されました。中継攻撃も暗号を解くわけではなく、「近くにいるかどうか」の判定だけをだましています。弱いのは暗号の強さではなく、鍵の作り方と本人確認の設計です。

② 「近づくだけで開く」機能は中継に弱い。 研究を行ったNCC Groupは、利用者には近づくだけで開く機能を切ること、メーカーにはスマホが止まっているときは機能を止める、アプリのボタンを押させるなど本人の操作を求めることを勧めています。

③ 直すまでにも、直ったあとにも時間がかかる。 ホテル錠の弱点（Unsaflok）は2022年9月にメーカーへ報告され、2023年11月から更新が始まりましたが、2024年3月の公表時点で更新・交換が済んでいたのは約36%でした。錠は何年も使い続ける設備で、ホテルや集合住宅には何百台もあるためです。

もう一つ忘れがちなのが物理的な強さです。米FTCの資料によると、Tapplockは研究者が背面パネルのねじを外して数秒で開けました。Ultraloqは、非常用の機械式の鍵穴を一般的な道具でピッキングできたと報じられています。スマートな錠でも、本体の取り付けや予備の鍵穴には、普通の錠と同じ品質が求められます。

第3章 おわり — 次は第4章

スマートロックの大きな魅力は、家族や友人、家事代行、民泊のお客さんに合鍵（デジタルキー）をスマホで送れることです。「今日だけ」「来週の月曜まで」と期限をつけられる製品も多くあります。ところが研究者の発表を並べると、期限切れや削除が実は効いていなかった事例が、3つの系統で見つかっています。

なぜ、消したのに開くのか

共通しているのは、期限や削除の判断をスマホのアプリ（またはサーバー）に任せ、錠そのものが「その鍵はもう無効です」と拒否していない設計です。お店の「出入り禁止リスト」を受付の人だけが持っていて、裏口の警備員には伝わっていないような状態です。

元交際相手・元同居人による悪用

ハッキングがなくても、もともと鍵やアカウントを共有していた人は、正規の権限のまま入れてしまいます。セキュリティ企業のMalwarebytesは、別れた相手が共有アプリやアカウントへのアクセスを持ったままなら監視や嫌がらせに使えると注意を促し、次のような手順を勧めています。

• 共有していたアカウントのパスワードを変える
• パスワード再設定のメールが届くメールアドレスを、相手に使われない状態にする
• アプリにログインしている見知らぬ端末をログアウトさせる
• GoogleやiCloudのアカウントの権限を見直す
• 相手がスマホに触れた可能性があれば、ストーカーアプリが入っていないか確認する

国内でも、弁護士のコラムで「別れた相手に見守りカメラやスマートロックを悪用されているのでは」という相談が増えていると紹介されています。コラムは、他人のIDとパスワードでログインすることが不正アクセス禁止法の問題になること、承諾を取り消した後に家へ入れば住居侵入の問題になり得ることを挙げ、①証拠を残す → ②共有を外してパスワードを変える → ③警察や弁護士に相談するの順で動くよう勧めています。権限を外す前に、解錠履歴の画面や日時を保存しておくのがポイントです。

また、解錠履歴は「いつ家を出て、いつ帰ったか」という生活のリズムそのものです。誰が履歴を見られる設定になっているかも、開けられる権限と同じくらい大切に見直してください。

賃貸の備え付けスマートロックなら

入居するときに管理会社へ、前の入居者の登録（アプリの利用者、合鍵、暗証番号、ICカード、指紋）が初期化されているかを確認しましょう。上の事例のように、名簿から消すだけでは不十分な製品もあるからです。

第4章 おわり — 次は第5章

外出先から操作できるスマートロックでは、スマホのアプリがインターネット上のサーバーに「この鍵を開けて」「登録している鍵の一覧を見せて」と頼みます。このアプリとサーバーの間の窓口を「API（エーピーアイ）」と呼びます。窓口の本人確認が甘いと、他人からの依頼でも受け付けてしまいます。

窓口やアプリの弱点が見つかった主な事例

Ultraloqではクラウドにつながった錠すべてが対象になり得たと報じられ、Tapplockでは全利用者のアカウントに入れました。1軒ずつ近づく必要がある無線の攻撃と違い、サービス側の1つの穴が、利用者全員に一度に届きます。Rentlyの例のようにマスター暗証番号が取れてしまうと、管理しているすべての物件に影響します。

パスワードの使い回しは「玄関の合鍵」になる

もう一つの入口が、利用者のパスワードです。錠そのものの事例ではありませんが、同じ家庭用機器のアカウントであるAmazonの見守りカメラ「Ring」について、FTCは2019年1月〜2020年3月に米国で5万5,000人を超える利用者のアカウントが侵害されたと主張しました。「password」や「12345678」のような弱いパスワードが使え、二段階認証が必須になったのは2020年2月だったと報じられています（Ringは2023年に580万ドルを支払って和解）。

ほかのサイトから漏れたメールアドレスとパスワードを、別のサービスで次々に試す攻撃をクレデンシャルスタッフィングと呼びます。外出先から開けられるスマートロックも「メールアドレス＋パスワード」でサーバーにつながる同じ形なので、使い回したパスワードが漏れると、被害が玄関まで届くおそれがあります。なお、スマートロックのアカウントが使い回しで大量に乗っ取られた事件の公表は、今回の調査では見つかっていません。自分のパスワードがどれくらいで破られるかは、パスワード解読時間シミュレーターで試せます。

二段階認証があるか確認する

第5章 おわり — 次は第6章

スマートロックの便利機能は、見方を変えると「鍵穴以外に開ける方法を増やす機能」です。どんな危険があり、どう設定すればよいかを表にまとめました。

音声アシスタントは、声の持ち主が誰かを必ず確かめるわけではありません。家の外から話しかけられる場所、窓越しに見える場所にスマートスピーカーを置いているなら、解錠だけは声で操作できないようにしておくと安心です。

アップデートとサポート終了も「設定」のうち

買い切りでクラウドに頼るスマートロックは、サービスが終わるとスマートな機能が止まります。終わるまでの間も、新しく見つかった弱点の修正は期待しにくくなります。買う前に「何年アップデートするか」が示されているかを見ておくと安心です。英国では2024年4月29日から、IoT機器のメーカーにセキュリティ更新を提供する期間の明示などが法律で義務づけられました（PSTI制度）。

解錠履歴を信じすぎない

Master Lock D1000の研究では、錠が発信する識別番号を知るだけで、偽の履歴をサーバーに送り、本物の履歴の送信を邪魔できたと報告されています。履歴は「何かおかしい」と気づくきっかけにはなりますが、「誰も入っていない」ことの証明にはなりません。

第6章 おわり — 次は第7章

賃貸・民泊・シェアオフィスの管理者がやること

買う前に確認したい5つの質問

「JC-STAR」ラベルの見方

日本では、IPA（情報処理推進機構）がIoT製品のセキュリティ要件を確認してラベルを付けるJC-STARという制度が、2025年3月に始まりました。2025年10月には美和ロックが、住宅玄関用のスマート電気錠「iEL Zero smart」シリーズで最初の段階の★1を取得し、「ロックメーカー初」と発表しています。

★1は、あらゆるIoT製品に共通する最低限の対策を確認する段階です。この記事で見た「合鍵の期限を錠本体で守っているか」「近づくだけで開く機能が中継に耐えるか」といった錠ならではの設計まで、★1だけで判断できるわけではありません。ラベルは目安の一つとして、上の5つの質問とあわせて確認しましょう。

第7章 おわり — 続いてよくある質問