その｢USBメモリ｣は誰がどこで入手した？陸上自衛隊の｢ウイルス感染USB｣が突きつけた"身近なリスク"と"運用の盲点"

これまで、USBメモリのリスクといえば、その多くは紛失・置き忘れでした。22年に兵庫県尼崎市で、全市民約46万人分の個人情報を含むUSBメモリが業務委託の過程で一時所在不明になった事案では、最終的に情報漏洩は確認されなかったものの、再委託や持ち出しのルールが形骸化していた実態が明らかにされました。

防衛省の事案はこうした「利用者側の運用管理」に起因するリスクに加え、製造・流通・調達の過程で媒体が汚染されるリスクも想定しなければならないことを示しています。つまり、USBメモリなどの記録媒体は「使うとき」だけでなく、「組織に入ってくる前」から管理対象として見なければならないのです。

その意味で注意したいのが、安価なUSBメモリのリスクです。ネット通販では出所の不明なノーブランド品が安価で手に入りますが、正規の流通を経ていない製品には、製造・在庫・配送の各段階で誰が触れたのかを確認する術がありません。表示より容量が少ない「偽装品」や、USBメモリに見えて、実際にはキーボードとして認識され、不正操作を実行させる「BadUSB」と呼ばれる手口も知られています。

セキュリティ対応の現場では、例えば取引先から受け取った記録媒体を社内の端末に接続したことを起点に感染が広がったケースや、展示会などで配布された無償のノベルティUSBが感染源と疑われるケースがあります。USBメモリを悪用した被害が増えているというよりも、これまで見えにくかった利用実態や感染の痕跡が、今回の調査を機に可視化されたと見るべきでしょう。