2026년 10월 14일, JVN(취약점 정보 데이터베이스)이 Rakuten Mobile의 여러 스마트폰 취약점을 공표했습니다.
대상은 Rakuten Mini, Rakuten Hand, Rakuten Hand 5G, Rakuten BIG s. 모두 전 버전입니다.
먼저 말씀드립니다. 필자는 라쿠텐 그룹 직원입니다. 다만 이 글은 JVN의 공표, Rakuten Mobile의 공식 지원 페이지, 케이타이 Watch(ケータイ Watch)의 보도만을 바탕으로 합니다. 사내 정보는 일절 사용하지 않았습니다. 개인의 견해입니다.
결론
- 부팅 시 소프트웨어가 올바른지 확인하는 구조(Android Verified Boot)의 키에, **누구나 입수할 수 있는 ‘테스트용 키’**가 그대로 사용되고 있었다
- 악용 조건은 기기에 물리적으로 접촉하는 것. 원격으로 공격할 수 있다는 기재는 확인하지 못했다
- 대상 제품은 이미 지원 종료. 수정 버전을 낼 예정이라는 내용은 적혀 있지 않다
- 공식 안내는 “사용을 계속하지 말고 다른 제품을 사용하기를 권장”
즉 ‘지금 당장 누군가에게 원격으로 탈취당한다’는 이야기는 아닙니다. 한편으로 수정되지 않은 채 계속 사용하는 것은 권장되지 않습니다.
공표된 내용
출처는 JVN#47427200(2026년 10월 14일 공표)과 Rakuten Mobile의 각 기종 지원 페이지입니다.
문제의 내용
- 기기 부팅 시 소프트웨어가 변조되지 않았는지 확인하는 구조가 있다
- 그 확인에 사용하는 키가 Android 개발원(AOSP)이 배포하는 테스트용 키 그대로였다
- 키가 공개되어 있으므로 변조된 소프트웨어가 정규품으로 취급될 우려가 있다
어떤 영향이 있을 수 있는가
- 기기를 일시적으로 조작할 수 있는 공격자가 변조된 소프트웨어를 설치할 수 있다
- 그 결과 기기 권한 획득, 악성 프로그램 실행, 설정 변경이 일어날 수 있다
평가(JVN)
- CVE 번호: CVE-2026-107153
- CVSS v4.0: 7.0
- CVSS v3.0: 6.6
- 공격에 필요한 조건은 벡터 표기상 물리적 접근
대상 기종
- Rakuten Mini
- Rakuten Hand
- Rakuten Hand 5G
- Rakuten BIG s
Rakuten Mobile의 안내
Rakuten Mini 지원 페이지에는 다음 내용이 적혀 있습니다.
- 취약점이 판명된 것은 2026년 9월 28일 시점
- 대상 제품의 사용을 계속하지 말고 다른 제품을 사용하기를 권장한다
- 이유는 지원이 2023년 11월 28일에 종료되었기 때문
- 수리 접수도 같은 날 종료되었다
- 취약점 전용 문의 창구는 확인하지 못했다(제품 전반에 대한 커뮤니케이션 센터 링크만 있음)
나머지 3개 기종도 JVN에는 ‘지원 종료’라고 적혀 있습니다. 다만 종료일은 제가 확인한 범위에서는 Rakuten Mini의 것만 찾았습니다.
적혀 있지 않은 점
기기를 가진 사람이 궁금해할 부분이라고 생각합니다.
- 보상, 보상 판매(트레이드인), 기기 교체 우대의 유무
- 수정 버전 제공 예정(내지 않는 방침으로 읽히지만 명기되어 있지는 않다)
- 사용을 중단할 때까지의 임시 대책
- 원격으로 공격할 수 있는지 여부(물리적 접근이 조건이라는 기재뿐)
- 실제로 악용된 사례가 있는지
- Rakuten Hand, Hand 5G, BIG s의 지원 종료일
또한 케이타이 Watch 기사 시점에서는 Rakuten Mobile의 ‘공지’ 페이지에 이 건에 대한 독립된 공지는 확인하지 못했습니다. 각 기종의 지원 페이지에 안내가 있는 형태입니다.
기기를 가진 사람의 일반적인 대비책
아래는 일반적인 주의점입니다. 공식 절차가 아닙니다.
악용 조건이 ‘기기에 물리적으로 접촉하는 것’이므로, 생각해야 할 것은 기기가 타인의 손에 넘어가는 상황입니다.
- 분실·도난이 가장 위험하다. 화면 잠금을 반드시 설정하고, 기기를 남에게 맡기지 않는다
- 은행 앱, 결제 앱, 업무 데이터 등 중요한 것을 넣어서 계속 사용하지 않는다. 서브 기기나 통화·메모 전용으로 한정한다
- 기기 교체를 고려한다. 지원이 종료된 기기는 OS나 앱 업데이트도 받기 어려워진다
- 처분할 때는 초기화한다. 중고로 팔거나 양도할 때는 데이터를 지운 뒤에. 기기 취급은 판매처의 안내에 따른다
- 남에게서 양도받은 기기나 중고로 산 기기는 지원 기간이 남아 있는지를 사기 전에 확인한다
여기서 말하는 ‘갈아타기’는 기기 교체입니다. 통신사 변경이 아닙니다.
기기를 잃어버렸을 때의 대응은 ‘분실했을 때의 첫 절차’ 글에, 기종 변경 준비는 ‘기종 변경 체크리스트’ 글에 정리해 두었습니다. 문의처는 ‘문의처 안내’ 글입니다.
같은 주에 다른 공표도 있었다
2026년 10월 13일에는 ‘my 楽天モバイル(my Rakuten Mobile)‘의 지불 증명서가 제3자에게 보일 가능성이 있었다는 별도의 공표가 있었습니다. 이번 기기 건과는 별개의 이야기입니다. 혼동하지 마세요. 자세한 내용은 별도 기사에 적어 두었습니다.
정리
- Rakuten Mini, Hand, Hand 5G, BIG s의 모든 버전에서 부팅 시 검증에 알려진 테스트 키가 사용되었다(JVN#47427200, 2026년 10월 14일 공표)
- 악용하려면 기기에 물리적으로 접촉해야 한다. 원격 공격에 대한 기재는 확인하지 못했다
- 대상 제품은 지원이 종료되었으며 수정 버전 예정은 적혀 있지 않다. 공식은 사용을 계속하지 말고 다른 제품으로 갈아타기를 권장
- 보상, 보상 판매, 임시 대책, 지원 종료일(Mini 이외)은 확인한 범위에서는 적혀 있지 않다
- 기기를 가진 사람은 분실·도난에 대비한 화면 잠금, 중요한 앱을 넣지 않기, 기기 교체 검토를
내용은 갱신될 수 있습니다. 최신 정보는 JVN과 Rakuten Mobile의 각 기종 지원 페이지에서 확인하세요. 이 글의 내용은 2026년 10월 15일 시점입니다.
출처:
- JVN#47427200 「楽天モバイルの複数のスマートフォンのAndroid Verified Boot機能において既知のテスト用鍵がそのまま使用されている問題」(2026년 10월 14일) https://jvn.jp/jp/JVN47427200/index.html
- Rakuten Mobile Rakuten Mini 지원 정보 https://network.mobile.rakuten.co.jp/product/smartphone/rakuten-mini/support/index.html
- 케이타이 Watch 「楽天モバイル「Rakuten Mini」「Rakuten Hand」などに脆弱性、AVB機能にテスト鍵が残存 利用停止と乗り換えを案内」(2026년 10월 14일) https://k-tai.watch.impress.co.jp/docs/news/2148168.html
이 글에는 제휴 광고가 포함되어 있습니다. 이 사이트의 링크를 통해 상품·서비스에 신청하시면 제휴사로부터 보상을 받을 수 있습니다. 운영자는 라쿠텐 그룹 소속 직원으로, 사원 추천 프로그램을 통해 보상을 받는 경우가 있습니다. 자세한 내용은 면책조항을 참고해 주세요. 면책조항·제휴 링크 안내
이 글에는 기계 번역이 포함되어 있습니다. 정확한 조건은 라쿠텐 모바일 공식 사이트의 다국어 페이지에서 확인해 주세요.
라쿠텐 모바일의 통신 지역·전파 상황이 궁금하신 분은, 공식 전파 개선·조사 요청 양식 을 통해 문의하실 수 있습니다.
