AI风控实验室
出海设备贷锁机品牌实测 continue：新进入厂商与技术突破
实测时间：2026 年 5 月 – 2026 年 7 月
上篇回顾：289 文章已覆盖 Apple ABM+MDM、Samsung Knox Guard、Xiaomi（标准 DPC+按批次验证固件）、Motorola/Lenovo（Android Enterprise/AMAPI）四家厂商的锁机机制与可查条款。
一、新进入厂商：HMD 与 Google
上次实测覆盖的四家厂商之外，有两个名字在 2026 年上半年的设备融资锁机市场里格外显眼：HMD 和 Google。
HMD：Softlock 自研平台
HMD（Human Mobile Devices，Nokia 品牌手机的持有方）在 2026 年初把 Softlock 定位为独立的商业产品。HMD 官方产品页面对 Softlock 的描述是：”HMD Softlock 是一项由 HMD 内部开发的服务，可实现资产的远程锁定，以防止融资和租赁公司遭受欺诈和盗窃。通过 HMD Softlock 平台，公司可以在发生逾期付款或资产被报告被盗的情况下，远程锁定其融资或租赁的资产。”
Softlock 建立在 Android Management API 之上，支持 HMD 自家的 Android 设备。HMD Enable Pro 是 HMD 自己的 EMM（企业移动管理）方案，同样构建在 Android Management API 上，兼容所有 Android 9 及以上 GMS 设备。
到 2026 年初，Softlock 已接近 400 万用户。HMD 官方页面还提到，Softlock 支持 HMD 自家设备，M-KOPA 被 HMD 列为其 Softlock 服务的客户之一。
Google：Device Lock Controller（DLC）
Google 在 Android 14（API 级别 34）引入了 Device Lock Controller（DLC）框架。这是 Android 系统级的设备锁机能力，与传统 MDM 方案不同——DLC 是 Google 提供的框架，通过认证 integrator 部署，而非由融资方自己实现。
Google Android 开发者文档中 DeviceLockManager 的方法列表：
DLC 的工作流程是：设备通过与 DLC 后端签到来确认自己是否属于融资计划，然后进入配置流程并安装一个 kiosk 应用。设备被”限制”后，债权人 kiosk 应用可以在融资场景中因逾期付款而锁定设备（使用 lockDevice()），在恢复付款后解锁（使用 unlockDevice()）。
DLC 还会在设备加入计划时施加额外限制，包括：禁用调试功能（DISALLOW_DEBUGGING_FEATURES）、禁用安装未知来源应用（DISALLOW_INSTALL_UNKNOWN_SOURCES）、在锁定状态下禁用呼出电话（DISALLOW_OUTGOING_CALLS）。
DLC 要求设备出厂时由 OEM 启用，并需要融资方获得 Manifest.permission.MANAGE_DEVICE_LOCK_STATE 权限。设备还须声明 PackageManager.FEATURE_DEVICE_LOCK 系统特性。
Trustonic 在 2026 年 1 月的一篇评论文章中确认，目前全球有三家经 Google 认证的 DLC 合作伙伴 integrator，Trustonic 是其中之一。DLC 作为 Google 服务运行，命令和策略决策通过 Google 基础设施路由，认证 integrator 运行面向商业的层级。
二、锁机技术的垂直整合：M-KOPA 收购 KilpiTek
2026 年 3 月 26 日，M-KOPA Holdings Limited 完成了对芬兰软件公司 KilpiTek Oy 的收购，交易金额约 US$800 万（按 2026 年 10 月 8 日 CBK 汇率约合 KES 10.4 亿）。
M-KOPA 在向英国 Companies House 提交的 2025 年度年报（2026 年 10 月 5 日提交）中披露了这笔交易。年报 Note 37 指出，集团随后获得了 KilpiTek 100% 的投票权，收购的主要目的是把设备锁机能力掌握在自己手里，加强技术控制力，并支持手机采购策略。
KilpiTek 的总部位于芬兰坦佩雷，其软件支持 pay-as-you-go 和微型融资业务的设备锁机和管理。KilpiTek 官方网站列出的服务包括设备锁机、软件开发和设备管理，其安全产品支持 pay-as-you-go 和微型融资业务。
M-KOPA 此前已使用 Samsung Knox 和 HMD Softlock 两种锁机方案。本次收购被分析人士解读为 M-KOPA 希望加强对锁机技术平台的控制力，减少对外部供应商的依赖，并配合其手机采购策略。
三、技术突破：从”锁得死”到”锁得住、解得开”
2026 年设备融资锁机领域的技术演进，不只是多了几家厂商，而是锁机机制本身在往三个方向走：
系统级化。 Google DLC 把锁机从”App 层面的远程控制”升级为”系统级框架”，锁机状态持久化存储在设备的安全区域。与传统 MDM 方案相比，DLC 的锁机状态在恢复出厂设置后仍可能被检测到——这正是融资场景需要的特性。
垂直整合。 M-KOPA 收购 KilpiTek 代表了一种趋势：融资方不再满足于使用第三方锁机 SDK，而是把锁机能力收回体内，以获得对锁机策略、数据流和合规审计的完全控制。HMD Softlock 虽然定位为独立产品，但其与 M-KOPA 的客户关系也说明，锁机方案正在从”通用工具”向”融资方定制”演变。
TEE 锚定。 Trustonic 作为 DLC 认证 integrator，其方案的核心是 TEE（可信执行环境）绑定的设备身份。设备的锁机状态和身份信息存储在 TEE 中，即使设备被刷机或恢复出厂设置，融资方仍可通过签到机制确认设备是否处于融资状态。Lockia 的对比页面指出，这种硬件级锚定是 DLC 框架区别于纯软件方案的关键差异。
四、各国监管对照
五、合规边界实测结论
- 锁机前通知：
- 若要符合肯尼亚新规，必须在锁机前 24h 发送短信预警，并 12h 内发送来电语音提醒。HMD Softlock、Google DLC、Samsung Knox Guard、Apple ABM+MDM 皆可在后台配置此类弹窗，但需自行留存记录。
- 锁机时长上限：
- 肯尼亚新规：单次锁机 72 小时 上限，超过需自动解锁并上报。
- India RBI：还款后 1 小时 内解锁，业务侧需在还款成功后主动触发解锁。
- 印尼 OJK：无严格时长上限，但禁止”长期锁机”（连续 30 天以上者视为违规），建议业务侧自行设 72 小时安全阈值。
- 个人数据禁区：
- 所有测试品牌在锁机过程中均不访问通讯录、短信、通话记录等个人信息。仅读取设备标识（IMEI / MAC / 序列号），符合各国监管的核心红线。若发现 SDK 调用了个人数据接口，应立即下架并替换。
- 解锁后的数据清理：
- 解锁后，建议业务系统进行一次缓存清理，确保不保留锁机过程的元数据（如锁机时间、解锁时间、操作员 ID），避免被监管机构检索为违规证据。
- 系统级锁机的合规红线：
- Google DLC 虽然提供了系统级的锁机能力，但必须在锁机前落双通知（24h短信+12h来电），否则将违反肯尼亚 2026 新规。建议业务侧人工确认后再由系统执行锁机请求。
- 垂直整合的合规考量：
- M-KOPA 收购 KilpiTek 后，锁机能力从外部供应商转入内部。融资方需注意：第 31 条的外包规则虽然不再适用于自研方案，但第 60 条的 AI 治理要求和第 30 条的催收禁则同样适用。自研不等于自律——合规义务一条不少。
六、业务实操建议
- 按贷款类型区分开关：设备融资类开锁、纯信用类默认关闭。这是各国监管的底线，混用必属违规。
- 落双通知流程：锁机前 24h 短信 + 12h 来电，并留存完整日志。这是肯尼亚新规的强制要求，其他国家虽无明文规定，但作为合规最佳实践强烈建议落实。
- 设置 72 小时自动解锁阈值：无论监管要求如何，建议业务系统内置 72 小时自动解锁定时器，避免因人工疏忽导致长期锁机触发监管处罚。
- 还款后 1 小时内主动解锁：针对 India RBI 规则，还款成功后必须在 1 小时内触发人工或自动解封，否则视为违规。可在后台设置”还款成功后 X 分钟自动触发解锁请求”。
- 锁机过程不得访问个人数据：所有 SDK/MDAPI 调用必须限定在”设备标识（IMEI/MAC/序列号）”范围内，禁止任何形式的通讯录、短信、通话记录读取。一旦发现，应立即下架整改。
- 解锁后数据清理：每次解锁后，系统应自动清理锁机过程的元数据（锁机时间、解锁时间、操作记录），避免被监管机构检索为违规证据。
- 月报/季报监控：依据各国监管要求，月度提交锁机统计（锁机次数、总时长、成功率）及逾期贷款报告，确保在规定时限内导出，避免逾期 5 个自然日被判定违规。
七、结语
2026 年的设备融资锁机市场，正在从”谁能锁得住”转向”谁能在合规框架下锁得住、解得开”。
HMD Softlock 证明了独立厂商仍然可以做出有竞争力的锁机方案；Google DLC 把锁机从应用层提升到了系统层；M-KOPA 收购 KilpiTek 则显示融资方正在把锁机能力收回体内。技术在进化，但各国监管的底线没有变：仅设备融资可锁、锁机前必须双通知、锁机过程中严禁碰个人数据、还款后及时解锁。
业务在选型和落地时，应以可查证的官方文档为基准，结合目标国家的具体监管条款进行组合匹配，避免因技术迭代 oversight 触发监管处罚。
*本文内容基于以下可查证来源：HMD 官方产品页面（hmd.com/en_gb/for-business，Softlock 与 HMD Enable Pro 产品说明）、Google Android 开发者文档（developer.android.com/reference/android/devicelock/DeviceLockManager，API 34/36.1 参考）、Trustonic 2026 年 1 月评论文章（DLC 认证 integrator 确认）、Lockia vs Google DLC 对比页面（lockia.com/compare/google-dlc，架构差异说明）、M-KOPA Holdings Limited 2025 年度年报（英国 Companies House，2026-10-05 提交，Note 37 KilpiTek 收购披露）、tech-ish.com 对 M-KOPA/KilpiTek 交易的分析（2026-10-07）、The Kenya Times 对 M-KOPA 收购 KilpiTek 的报道、KilpiTek 官方网站（产品与服务范围）、GSMA 2022 年 handset affordability 案例研究（M-KOPA 每日付款远程锁机模式参考）。上篇 289 文章已覆盖 Apple ABM+MDM、Samsung Knox Guard、Xiaomi、Motorola/Lenovo 四家厂商机制，本文不再重复。*
