【ITニュース解説】OnePlus CVE-2025-10184: Ditch SMS 2FA Now

OnePlus製のスマートフォンに搭載されている「OxygenOS」というオペレーティングシステムに、重大なセキュリティ上の問題が発見された。この問題は「CVE-2025-10184」という識別番号がつけられており、その内容は、デバイスにインストールされているアプリが、ユーザーの許可なくSMS（ショートメッセージサービス）やMMS（マルチメディアメッセージサービス）のメッセージを読み取ったり、送信したりできてしまうというものだ。

通常、Androidのシステムでは、アプリがSMSのような個人情報に関わる機能を利用する際には、必ずユーザーからの明示的な許可が必要となる。しかし、この脆弱性があると、悪意のあるアプリがこの許可の仕組みをすり抜け、裏で密かにメッセージの内容を盗み見たり、勝手にメッセージを送ったりすることが可能になってしまうのだ。このとき、ユーザーに通知が表示されたり、特別な権限が与えられたりするわけではないため、利用者は不正が行われていることに気づきにくい。

この問題が特に深刻なのは、多くのオンラインサービスでアカウント保護のために利用されている「SMSによる二段階認証（2FAまたはMFA）」が、この脆弱性によって容易に破られてしまう可能性がある点だ。二段階認証では、通常のパスワードに加えて、スマートフォンにSMSで送られてくるワンタイムパスワード（OTP）などの追加の確認を求められることで、アカウントのセキュリティを高めている。しかし、脆弱性のあるOnePlusデバイスを使っていると、悪意のあるアプリがSMSで送られてきたワンタイムパスワードを読み取ってしまう可能性がある。これにより、攻撃者がもしユーザーのパスワードを知っていた場合、このワンタイムパスワードを利用して、ユーザーのアカウントに不正にログインすることができてしまう。これは、SMSベースの二段階認証が前提としている「SMSの内容は秘匿性が保たれる」という信頼が崩れてしまうことを意味する。

現在、この脆弱性の影響を受けるのは、OxygenOSのバージョン12から15を搭載しているOnePlusの複数のモデルであることが確認されている。これまでのテストでは、OxygenOS 11は影響を受けないと考えられている。OnePlus社はこの問題について認識しており、2025年10月中旬から全世界に向けて修正プログラム、いわゆるパッチの提供を開始する予定であると発表している。

この問題から個人で身を守るために、いくつかの対策を速やかに実施する必要がある。まず最も重要なのは、SMSでワンタイムパスワードを受け取る形式の二段階認証を、別のより安全な方法に切り替えることだ。例えば、「認証アプリ（Authenticator App）」を使って時間ベースでワンタイムパスワードを生成する「TOTP」や、「セキュリティキー（FIDO2/WebAuthn）」と呼ばれる物理的なデバイスを利用する方法がある。これらはSMSの仕組みに依存しないため、今回の脆弱性の影響を受けない。SMS認証は、万が一アカウントにログインできなくなった場合の復旧手段としてのみ利用し、普段のログイン時には使わないようにするべきである。

次に、OnePlusから修正プログラムが提供され次第、できるだけ早くスマートフォンのソフトウェアをアップデートすることが極めて重要だ。スマートフォンの「設定」メニューから「デバイス情報」に進み、「OxygenOS」の項目で「ソフトウェア更新」を確認し、利用可能なパッチがあればすぐにインストールする必要がある。OnePlusは2025年10月中旬のリリースを予定しているため、その時期が来たら積極的に確認するように心がけると良い。また、スマートフォンにインストールしているアプリについても見直し、不審に思われるアプリや、もう使っていないアプリは速やかにアンインストールすることも推奨される。脆弱性が修正されるまでは、どのアプリもSMSにアクセスできる可能性があると考えて行動すべきである。さらに、機密性の高い情報やワンタイムパスワードをやり取りする際には、セキュリティのために暗号化されたメッセージングアプリを利用し、SMSでの共有は絶対に避けるべきだ。

システムエンジニアを目指す方や、より専門的な知識を持つ方であれば、自分のデバイスが脆弱性の影響を受けているかどうかをより詳細に確認する方法もある。「ADB（Android Debug Bridge）」という開発者向けのツールを使って、SMS関連の権限を要求しているサードパーティ製アプリの一覧を表示させたり、現在デバイスにインストールされているOSのビルド識別子（バージョンを特定する情報）を確認したりすることが可能だ。しかし、今回の脆弱性は権限のチェックをバイパスしてしまう性質があるため、単にSMS権限を持つアプリがあるかどうかを調べるだけでは不十分で、OnePlusが提供する正式な修正プログラムを適用することが、最も確実な解決策となる。

企業や組織において、従業員が個人のスマートフォン（BYOD: Bring Your Own Device）を業務に利用している場合は、この問題は組織全体のセキュリティに関わるため、より体系的な対応が求められる。IT管理者としては、まずOxygenOSバージョン12から15を搭載しているOnePlusデバイスを特定し、パッチが適用されるまでの間は「リスクのあるデバイス」として管理する必要がある。IDプロバイダ（例えばMicrosoft Entra IDやOktaといった認証サービス）の設定を変更し、SMSによる認証方法を無効化し、認証アプリやセキュリティキーを用いた多要素認証（MFA）を強制することも推奨される。これにより、たとえ個々のデバイスに脆弱性があったとしても、企業のシステムへの不正アクセスを防ぐことができる。加えて、従業員のデバイスにアプリをインストールできる範囲を制限し、信頼できないソースからのアプリのインストール（サイドローディング）を禁止したり、SMSの権限をデフォルトで拒否するようなセキュリティポリシーを設定したりすることも有効な対策となる。

デバイスが完全に脆弱性から保護されていることを確認するには、OnePlusが公式に発表するパッチ済みのビルド識別子と、自分のデバイスに適用されているOSのバージョンやビルド番号が一致していることを確認する必要がある。単にOSのソフトウェアアップデートが最新であるというだけでなく、ADBコマンドなどで確認できるビルド番号も、ベンダーが提供する情報と照らし合わせて確認することが重要だ。

今回のOnePlusの脆弱性に関するニュースは、私たちが日常的に利用するスマートフォンやITサービスのセキュリティがどれほど重要であるかを改めて示している。特に、アカウント保護の要となる二段階認証の基盤であるSMSが、このような脆弱性によって危険に晒されることは、すべてのユーザーにとって他人事ではない。個人ユーザーも企業ユーザーも、常に最新のセキュリティ情報を確認し、推奨される対策を迅速に実施することが求められる。セキュリティ対策は一度行ったら終わりではなく、常に新しい脅威に対応していく必要があることを理解し、継続的な取り組みが不可欠である。