USBメモリーの使用による事故が後を絶たない。陸上自衛隊中部方面総監部のUSBメモリーがウイルスに感染していたことが、2026年6月に公表された。

幸いマルウェアによる情報漏洩は発生しておらず、USBメモリーを接続した陸上自衛隊システム内へのマルウェア拡散もなかった。

USBメモリーの製造元や接続したシステムなどの詳細は明らかにされていないが、2024年に発生した能登半島地震に対応する過程で入手したもので、USBメモリーを使用する前のウイルスチェックなどの手続きが順守されていなかったという。

この事故を受け、三重県は2026年6月末～7月頭に、公安委員会を除く庁内全てに所属する10,757個のUSBメモリーを調査したところ、37所属47個のUSBメモリーからマルウェアが検知された。マルウェアは全て活動しておらず、感染などの被害はなかった。

また、石川県の穴水町役場の庁舎内で、約3,500人の個人情報が保存されていた可能性のあるUSBメモリーが紛失していたことが、2026年7月に明らかになった。USBメモリーの使用後、所定の位置に戻す過程で紛失したとみられるという。第三者に不正利用された事案などは確認されていないが、該当するUSBメモリーは見つかっていない。

USBメモリーに起因するインシデントは、物理的な要因と技術的な脅威の大きく二つに分類される。ここでは代表的な二つのケースについて詳しく見ていこう。

紛失・盗難

USBメモリーは小型で持ち運びやすいことがメリットだが、紛失や盗難のリスクも少なくない。細心の注意を払っていても、悪意がある人の目に触れれば物理的に盗まれる可能性は否定できない。

2022年、尼崎市の業務委託先企業の社員がUSBメモリーに個人情報を保存し、持ち出した。作業を行う場所でネットワークがつながっていなかったためだが、USBメモリーを持ったまま居酒屋で飲酒し、かばんごと紛失した。

マルウェア

悪意を持ってUSBメモリーにマルウェアが仕込まれていることもある。そのUSBメモリーをPCなどに差し込むことでネットワークに感染が拡大してしまう。システムダウンや、ランサムウェアによってデータが暗号化・ロックされるリスクもある。

オフィス内外に落ちていたUSBメモリーを拾い、中身を確認しようとPCに差し込んでしまった際にマルウェアに感染するというケースが頻繁に見られるという。

USBメモリーはPCで確認しない限り中身がわからない。サイバー犯罪者は、拾ったUSBメモリーを確認したくなる心理を利用しているのだ。

かつてはautorun.infによる自動実行が主流だったが、現在のOSでは自動実行が制限されているため、画像やフォルダに見せかけた不正ファイルをユーザーに手動で開かせる手口が増加している。

USBメモリーは扱いが容易な半面、紛失やマルウェア感染のリスクと常に隣り合わせだ。インシデントを未然に防ぎ安全に運用するための具体的な対策について、社内ルールの整備から技術的なアプローチまで幅広く解説する。

運用ルールを定める

USBメモリーに限らず、HDDやCD、DVDなど全ての外部記録メディアに関するルールを定める。そのためには、組織内で使用しているメディアの状況を把握しておくことが大切だ。例えば、利用時には用途を明記したうえで申請することや、万が一紛失した場合の対応などを決めておくといい。

セキュリティ機能付きUSBメモリーの使用

パスワードロックで勝手に中を書き換えられないようにできるタイプや、アンチウイルスエンジンを搭載してUSBメモリー内のデータを自動でウイルスチェックできるタイプなどを利用する。テンキー付きで、PCに接続しなくてもパスワードを利用できるUSBメモリーも販売されている。

データを暗号化する

Windows 11 Proを使っている場合、BitLocker To GoでUSBメモリーのデータを暗号化できる。または、暗号化機能が付いたUSBメモリーや、メーカーが提供している暗号化ソフトウェアを用いるのも効果的だ。

USBメモリーの自動実行機能を停止

Windowsの場合、コントロールパネル＞ハードウェアとサウンド＞自動再生で、「すべてのメディアとデバイスで自動再生を使う」のチェックを外すか、リムーバブルドライブで「何もしない」を選択する。

アンチウイルスソフト

PCだけでなく、USBメモリーもアンチウイルスソフトでスキャンする。

従業員への教育

定期的なセキュリティ教育によって、従業員にUSBメモリーに関するリスクや使い方、ルールなどを周知徹底する。

一つの対策だけでなく、複数の対策をあわせて講じることをおすすめする。また、日ごろからUSBメモリーに関する事故や事件をチェックして、必要に応じて従業員に伝えていくことも大切だ。