2026 年に判明した Keenadu／ALLDOCUBE／DOOGEE 等の中華 Android タブレット プリインストール malware 事案で、現場用途で導入していた中堅企業 80 社以上が交換対応を迫られた。 購買部門が「価格」だけで選定し、情シスが「事後発覚」で対応に追われる構図が固定化している。本記事は購買 RFP・受入検証・運用判断までを一気通貫で扱う。

目次

  1. 中華 Android タブレット プリインストール malware 事案の整理
  2. OEM 信頼性評価 5 軸
  3. Google Mobile Services（GMS）認証の意味
  4. 購買 RFP テンプレート（必須・推奨・任意）
  5. 納品時受入検証チェックリスト
  6. 購買部門と情シスの責任分担マトリクス
  7. 代替候補機種の検討（信頼性ランク順）
  8. よくある質問（FAQ）

中華 Android タブレット プリインストール malware 事案の整理

時期機種／OEM内容影響規模
2026-04Keenadu 全機種system 領域に C2 通信モジュール国内 1.2 万台超
2026-03ALLDOCUBE 一部ファクトリーリセットでも残存国内 数千台
2026-02DOOGEE 一部サードパーティ広告 SDK国内 数千台
2024-08Lemfo Android Watchデータ収集モジュール海外中心
共通点：
  • AOSP ベース（Google 認証 GMS なし or 部分認証）
  • system パーティション署名済 → ファクトリーリセットでも除去不可
  • 価格は同等スペックのブランド機種比 30-50% 安
  • 業務用途（POS／検品／案内端末）で導入されているケースが多い

OEM 信頼性評価 5 軸

軸評価項目スコア例（A 社）
① 法人格・住所開示本社所在地／代理店契約／日本法人有無国内代理店あり=○
② GMS 認証Google 認証取得済の機種ラインがあるかあり=○
③ セキュリティアドバイザリ公式 PSIRT／更新ポリシー公開公開なし=✕
④ 第三者監査NIAP／CC EAL／業界監査の取得未取得=△
⑤ サポート寿命OS／セキュリティパッチ提供期間明示明示なし=✕
5 軸満点中 4 以上で A ランク、3 で B、2 以下で 法人購買非推奨。

Google Mobile Services（GMS）認証の意味

GMS 認証取得済の機種は：

  • Google Play Protect が常時稼働
  • 月次セキュリティパッチが OEM 経由で配信される基盤あり
  • Bootloader／Verified Boot の仕組みが標準実装

GMS 認証なし機種は AOSP のみで、Google Play Protect が動かない。市販の中華タブレットの大半が GMS なし。

購買 RFP テンプレート

必須要件（Must）

推奨要件（Should）

任意要件（Could）

納品時受入検証チェックリスト

7／8 で純正と異なる出力が出た場合は購買部門に返品手続き。

購買部門と情シスの責任分担マトリクス

工程購買情シスセキュリティ
RFP 作成主担当レビューレビュー
OEM 評価サポート主担当レビュー
受入検証サポート主担当サポート
MDM 登録—主担当レビュー
運用監視—主担当サポート
廃棄／交換サポート主担当レビュー

代替候補機種の検討

ランクOEM／機種例価格帯強み弱み
ASamsung Galaxy Tab Active 系6-12 万円Knox／タフ仕様／長期サポート高価
ALenovo ThinkPad Tablet8-15 万円法人サポート／Knox 互換重量
AMicrosoft Surface（Windows）10-25 万円Windows 統合OS が異なる
BSharp／NEC 国産 Android5-10 万円国内サポート機種少
BXperia Tablet（条件付き）6-10 万円GMS 認証法人モデル少
非推奨Keenadu／ALLDOCUBE／DOOGEE 等の中華格安系1-3 万円安いバックドア事案

よくある質問（FAQ）

Q. 既に中華タブレットを 100 台導入済、すぐ全交換すべき？ A. ① プリインストール malware 報告のある機種は即時隔離・交換、② 報告がない機種は受入検証 7／8 を実施し、不審動作なければ MDM 強制下で限定運用継続。完全な置換は次回更新サイクルで。

Q. RFP に「中国製禁止」と書いて良いか？ A. 国・原産地での一律排除は調達ルール上問題が出る場合がある。代わりに「GMS 認証必須」「OS 5 年更新保証必須」など機能要件で実質的に中華格安機種を排除する書き方が安全。

Q. 業務用 POS／検品端末で 1 台 1-2 万円の予算しかない場合は？ A. 専用業務端末（Honeywell／Zebra／Datalogic 等）を検討。法人サポートと長期保守を含めた TCO で見ると中華格安機種より割安になるケースが多い。

参考資料

  • IPA「情報セキュリティ 10 大脅威 2026（組織編）」
  • Google Android Enterprise Recommended プログラム
  • 経済産業省「ソフトウェア管理に向けた SBOM の導入に関する手引」2024 年改訂版

法人 Android 端末の購買セキュリティ要件整備、RFP 作成支援、MDM 設計は GXO の端末セキュリティ運用サービスで対応しています。

GXO実務追記: サイバーセキュリティで発注前に確認すべきこと

この記事のテーマは、単なるトレンド紹介ではなく、自社で最初に塞ぐべきリスク、外部診断の範囲、初動体制を決めるための検討材料です。検索で情報収集している段階でも、発注前に次の観点を整理しておくと、見積もりのブレ、手戻り、ベンダー依存を減らせます。

まず決めるべき3つの論点

論点確認する内容未整理のまま進めた場合のリスク
目的売上拡大、工数削減、リスク低減、顧客体験改善のどれを優先するか成果指標が曖昧になり、PoCや開発が終わっても投資判断できない
範囲対象部署、対象業務、対象データ、対象システムをどこまで含めるか見積もりが膨らむ、または重要な連携が後から漏れる
体制自社責任者、現場担当、ベンダー、保守運用者をどう置くか要件確認が遅れ、納期遅延や品質低下につながる

費用・期間・体制の目安

フェーズ期間目安主な成果物GXOが見るポイント
事前診断1〜2週間課題整理、現行確認、投資判断メモ目的と範囲が商談前に整理されているか
要件定義 / 設計3〜6週間要件一覧、RFP、概算見積、ロードマップ見積比較できる粒度になっているか
PoC / MVP1〜3ヶ月検証環境、効果測定、リスク評価本番化判断に必要な数値が取れるか
本番導入3〜6ヶ月本番環境、運用設計、教育、改善計画導入後の運用責任と改善サイクルがあるか

発注前チェックリスト

  • [ ] 重要システムと個人情報の所在を棚卸ししたか
  • [ ] VPN、管理画面、クラウド管理者の多要素認証を必須化したか
  • [ ] バックアップの世代数、復旧時間、復旧訓練の実施日を確認したか
  • [ ] 脆弱性診断の対象をWeb、API、クラウド、社内ネットワークに分けたか
  • [ ] EDR/MDR/SOCの必要性を、監視できる人員と照らして判断したか
  • [ ] インシデント時の連絡先、意思決定者、広報/法務/顧客対応を決めたか

参考にすべき一次情報・公的情報

上記の一次情報は、社内稟議やベンダー比較の根拠として使えます。一方で、公開情報だけでは自社の現行システム、業務フロー、データ状態、予算制約までは判断できません。記事で一般論を把握した後は、自社条件に落とした診断が必要です。

GXOに相談するタイミング

次のいずれかに当てはまる場合は、記事を読み進めるだけでなく、早めに相談した方が安全です。

  • 見積もり依頼前に、要件やRFPの粒度を整えたい
  • 既存ベンダーの提案が妥当か第三者視点で確認したい
  • 補助金、AI、セキュリティ、レガシー刷新が絡み、判断軸が複雑になっている
  • 社内稟議で費用対効果、リスク、ロードマップを説明する必要がある
  • PoCや診断で終わらせず、本番導入と運用改善まで進めたい

Android タブレット 法人購買 セキュリティ ガイド 2026｜中華端末リスク・OEM 検証・購買 RFP テンプレートを自社条件で診断したい方へ

GXOが、現状整理、RFP/要件定義、費用対効果、ベンダー比較、導入ロードマップまで実務目線で確認します。記事の一般論を、自社の投資判断に使える形へ落とし込みます。

セキュリティ初期診断を相談する

※ 初回相談では営業資料の説明よりも、現状・課題・判断材料の整理を優先します。