はじめに

「強制的に端末のロックを解けと言われたときのためのPIN」——GrapheneOSの**デュレスPIN（duress PIN / duress password）**は、そうした想定で語られる機能です。通常のロック解除コードとは別に設定でき、入力すると端末のデータが不可逆に消去される、という設計です。

2026年、この機能が単なる「安心材料」ではなく、連邦刑事事件の中心として報じられています。本稿は、報道ベースで何が争われているのかを整理し、日本の読者が脅威モデルを考える材料にします。個別事案の有罪・無罪を断定するものではなく、法律相談でもありません。

何が報じられているのか

複数の報道によると、アトランタ在住のSamuel Tunick氏は、2025年1月24日、ドミニカ共和国からの帰国時にハーツフィールド・ジャクソン・アトランタ国際空港で税関・国境警備（CBP）の二次検査を受けたとされています。

  • 端末はGoogle Pixel上のGrapheneOS
  • 係官が端末のパスコード提示を求めた（国境検索例外のもと、令状は不要だと説明された、との弁護側主張が報じられている）
  • 提示されたコードが入力されると、画面が暗転し数回点滅したあと再起動したように見えた、とされる
  • その後端末は押収され、本人はいったん入国を認められた、という経緯が報じられている

その後、2025年11月に連邦大陪審が起訴。適用されたとされるのは、押収を妨げる目的で財産を故意に破壊・損傷等することを禁じる連邦法（18 U.S.C. §2232(a)）です。最高刑は報道上「最大5年」とされることが多いです。事件名は United States v. Tunick（Northern District of Georgia, No. 1:25-cr-00499）として整理されています。本人は無罪を主張している、と報じられています。

参考:

デュレスPINとは何か（技術面）

GrapheneOSは、Pixel向けのセキュリティ強化OSです（概要はGrapheneOS完全ガイドも参照）。デュレス機能の要点は次のとおりです。

  1. 通常の解除コードとは別のPIN／パスワードを設定できる
  2. デュレス側を入力すると、端末は解除せず、暗号化鍵の破棄などを含む不可逆ワイプを行う
  3. 外見上は通常の認証失敗や再起動に近く、相手に「今ワイプした」と明示しない設計意図がある、と説明されることが多い

強盗や強制開示といった強制状況への備えとして語られる一方、法執行機関の検査中に使うと、別の法的リスクが生じうる、という指摘が今回の事件で前面に出ています。GrapheneOS財団側も、ソフトウェア自体の合法性を強調しつつ、捜査対応中のデュレス起動が妨害・証拠隠滅などの別問題になりうる、という趣旨の説明を公開しています。

争点はどこか

報道と解説記事が共通して挙げる論点は、だいたい次の束です。

1. 「財産の破壊による押収妨害」をデータワイプに当てはめられるか

§2232(a)は、伝統的には薬物を投棄する・押収物を物理的に壊す、といった場面で語られてきた条文です。今回は、端末内部の機能が引き起こしたデータ消去を「押収を妨げる破壊」と見るか、が新しい適用例だと専門家がコメントしている、と複数媒体が伝えています。

2. 国境検索例外と憲法問題

米国では国境付近のデバイス検査について、通常の令状要件が緩む「border search exception」が議論されます。弁護側は、ミランダ告知の欠如、弁護士要請の拒否、不合理な押収などを理由に証拠排除を求めている、と報じられています。抑制申立（motion to suppress）の裁定は、報道上早くても2026年10月末以降とされています。

3. 「意図」の証明

刑事では、ワイプが起きた事実だけでなく、押収を妨げる目的で故意にそうしたかが争点になり得ます。誤入力・脅迫下・係官が入力した、といった事実関係の組み立て次第で評価が変わります（いずれも個別事実の問題で、本稿では断定しません）。

なぜプライバシー勢にとって大きいか

この事件が注目される理由は、GrapheneOS利用者だけにとどまりません。

  • エンドツーエンド暗号、自動消去メッセージ、フルディスク暗号、VPN、暗号化コンテナなど、正当なプライバシー機能一般に「隠す意図の証拠」と読まれうる空気を強める
  • 「機能を持っていること」と「捜査中に発動すること」は別だが、境界が曖昧に扱われると寒気が走る
  • EUの監視強化やChat Controlをめぐる緊張の中で、GrapheneOSが欧州インフラから撤退した経緯（関連記事）とも、プライバシーツールと国家権力の衝突という点で響き合う

Android側のVPNリーク問題のように、端末OSの選択が通信の現実を左右する話はすでに当サイトでも扱っています（Android 16のQUIC/VPNリークとGrapheneOS）。今回は通信レイヤーではなく、端末ロック解除と消去機能の法的評価が焦点です。

日本の読者がいま考えておくこと

日本の空港・港での運用は米国の国境例外とは制度が異なります。それでも、海外渡航で米国（や同様の権限を持つ国）を経由する人には、次の実務が現実的です。

  1. 旅行前に端末を整える（不要アカウントのログアウト、渡航用のクリーンな端末／プロファイル、クラウド同期の見直し）
  2. デュレスPINを使うなら、設定の意味とリスクを事前に理解する（捜査対応中の起動が別問題になりうる、という点を含む）
  3. 「その場の即興」より、渡航ポリシーを先に決める（提示する／拒否する／最小限の端末だけ持つ、など）
  4. 法的判断が絡む状況では、現地の弁護士・専門団体のガイダンスを優先する（EFFの米国国境デバイス権利ガイドなどが英語圏では参照されやすい）
  5. プライバシーOSは銀の弾丸ではない。通信・アカウント実名・クラウドバックアップなど、別経路の漏洩も同時に見る

「機能があるから必ず使う」でも「機能があるから犯罪」でもなく、いつ・誰に対して・何を守る道具なのかを切り分けるのが、いつもの脅威モデルの話です。

まとめ

  • 2026年に報じられたTunick事件は、GrapheneOSのデュレスPIN／パスワードが国境検査で端末ワイプを引き起こしたとされるケースを、連邦の押収妨害罪で追及する構図として注目されている
  • 争点は技術の是非そのものより、国境検索の合法性・意図・データ消去への条文適用に寄っている
  • ソフトウェアの合法性と、捜査対応中に消去機能を起動した場合の個人リスクは別レイヤー、という整理が重要
  • 渡航者は、その場の機転より出発前の端末設計でリスクを下げるほうが現実的

次の裁定（抑制申立など）が出れば、プライバシー端末の運用指針にも影響し得ます。続報があれば、事実関係の確定に合わせて追記します。