ZEROCK

自衛隊の感染USBに学ぶ物理セキュリティ｜USB・充電ケーブル・フリーWiFiのうっかり落とし穴

公開2026-07-11濱本 隆太
情報セキュリティ技術流出防止USBメモリジュースジャッキングフリーWiFi経済安全保障ZEROCK

2026年6月、少し背筋が寒くなるニュースが流れました。陸上自衛隊の中部方面総監部で、機密を扱うシステムの端末に、マルウェアに感染した中国製のUSBメモリが接続されていた。しかも、それが約1年ものあいだ気づかれずにいた、というのです[^1]。

自衛隊の感染USBに学ぶ物理セキュリティ｜USB・充電ケーブル・フリーWiFiのうっかり落とし穴
シェア

こんにちは、株式会社TIMEWELLの濱本です。

2026年6月、少し背筋が寒くなるニュースが流れました。陸上自衛隊の中部方面総監部で、機密を扱うシステムの端末に、マルウェアに感染した中国製のUSBメモリが接続されていた。しかも、それが約1年ものあいだ気づかれずにいた、というのです1。ここで正確に書いておきたいのですが、防衛省の説明によれば、このマルウェアは自己増殖するだけの古典的なもので、情報の窃取や外部への通信は確認されていません2。つまり「機密が中国に流出した」という話ではない。それでも、この事案が突きつけたものは重いと感じます。物理的な入口の管理が、たった一つのUSBメモリで破綻しうるということを、はっきり見せたからです。

情報漏えいというと、高度なサイバー攻撃を想像しがちです。ですが実際には、USBを挿す、ケーブルをつなぐ、フリーWiFiに接続する、といった日常のうっかりが入口になることが少なくありません。今回は、こうした物理的な経路のリスクを、確認できた事実にもとづいて整理します。派手さはないけれど、ここを塞ぐことが、結局はいちばん確実な流出対策になる。そういう話です。自社のデータ管理が大丈夫か気になる方は、先にAI活用の準備状況診断で足元を確かめてから読んでみてください。

USBメモリと外部記憶デバイス、いちばん古くて、いちばん効く入口

自衛隊の事案が示したように、USBメモリはいまだに最も警戒すべき入口です。ネットにつながっていない隔離されたシステム、いわゆるエアギャップ環境ですら、USBは越えてきます。

歴史がそれを証明しています。2008年、米国防総省の機密ネットワークが、中東の基地でノートPCに挿された一本の感染USBメモリから侵入を許しました。当時の国防副長官が後に公式に明かした、米軍史上最も深刻とされた侵害です3。2010年にイランの核施設を襲ったStuxnetも、ネットから切り離された制御機器への最後の一跳びを、USB経由で果たしました4。国家レベルの厳重な環境ですら、この経路で破られてきたのです。

やっかいなのは、USBの脅威がウイルスファイルだけではないことです。2014年に研究者が公表した「BadUSB」は、USB機器のファームウェアを書き換えてUSBメモリをキーボードになりすませる手口で、勝手にコマンドを打ち込みます。恐ろしいのは、ウイルス対策ソフトでは検知できず、再フォーマットしても消えないという点です5。見た目はただのUSBメモリなのに、中身は攻撃者の手先になっている。

そして人間は、思っている以上に無防備です。イリノイ大学などの研究チームが、キャンパスに297本のUSBメモリをわざと落とす実験をしました。結果、98パーセントが持ち去られ、45パーセントは中のファイルまで開かれていました6。落ちているUSBは、かなりの確率で誰かのパソコンに挿さるのです。国内でも、大手教育事業者から約3,500万件の顧客情報が持ち出された事件では、委託先の技術者が業務用パソコンから私物スマートフォンへケーブルで転送していました7。悪意の持ち出しも、拾ったUSBのうっかりも、同じ物理経路から起きます。

対策は、突き詰めればシンプルです。素性のわからない外部記憶デバイスは接続しない。機密を扱う端末では、USBの使用そのものを制御し、接続された媒体を必ずウイルスチェックの対象にする。自衛隊の事案で問題視されたのは、まさにこのウイルスチェックの規則が守られず、USBが検査対象から外れていた点でした2。ルールがあっても、運用で破れる。だからこそ、人の注意力に頼らず仕組みで止めることが要るのです。

AI導入でお悩みですか？

ZEROCKの導入事例と活用方法をまとめた資料をご用意しています。

無料相談を予約資料をダウンロード

給電ケーブルと充電口、ケーブルは細工されうる

次に見落とされがちなのが、充電まわりです。「充電するだけなら安全だろう」という思い込みが、ここでは危険になります。

象徴的なのが、研究者が公開したO.MGケーブルです。見た目はどこにでもある普通の充電ケーブルなのに、筐体のなかにWi-Fiチップとキーロガーが仕込まれていて、遠隔からキー入力を記録したり、勝手にコマンドを注入したりできる。2021年には量産化され、市販もされています8。USBメモリの形をしながら猛烈な速度でキー入力を自動実行する「USB Rubber Ducky」のような道具も、ずっと前から出回っています。ケーブルもメモリも、見た目で安全性は判断できないのです。

公共の充電スタンドについては、FBIやFCCが、空港やホテル、商業施設の無料USB充電口の利用を避けるよう注意を促しています。改造されたUSBポートからマルウェアを送り込まれる、いわゆるジュースジャッキングのリスクがあるからです9。ここは正直に書いておきます。FBIの注意喚起は一般的な啓発であって、ジュースジャッキングによる実際の被害が公的に記録された事例は、いまのところ確認されていません9。ですから過度に怯える必要はありません。ただ、O.MGケーブルのような道具が現実に売られている以上、備えておいて損はない。

現実的な対策はこうです。充電には自分の純正ケーブルと、できればACアダプター、つまり壁のコンセントを使う。どうしても公共のUSB口を使うなら、データ通信の線を物理的に遮断するデータブロッカーをかませる。そして、出所のわからないケーブルを人から借りて自分の端末に挿さない。たったこれだけで、細工されたケーブル経由のリスクはほぼ消せます。

HDMIとスマートTV、フリーWiFi、映像と電波の落とし穴

会議室のテレビや、外出先のネットワークにも、うっかりの入口があります。

まずスマートTVです。実はこの点、注意を促す動きが行政の側からも出ています。2025年12月、米テキサス州のパクストン司法長官が、スマートTV大手数社を提訴しました10。争点は、多くのスマートTVが搭載するACR（自動コンテンツ認識）という技術です。ACRは画面に映る音と映像を500ミリ秒ごとといった短い間隔で取得し、ストリーミングだけでなく、ケーブルボックスやゲーム機など、HDMIで接続した外部機器の表示内容まで取得しうる仕組みだとされ、集めた視聴データが広告目的でデータブローカーに販売されていた、というのが司法長官の主張です。訴えはテキサス州の欺瞞的取引慣行法にもとづくもので、一部の被告にはデータ収集を差し止める仮の命令が出ています。ここで大切なのは、これはあくまで申立て段階の主張であり、各社の違法性が確定したものではないという点です。個々の企業を「監視していた」と決めつける話ではありません。ただ、「HDMIでつないだ外部機器の画面までスマートTVが取得しうる」という論点が、州の司法長官によって正式に持ち出されたこと自体は、会議室のテレビを考えるうえで示唆に富みます。

この構図は研究でも裏づけられています。2024年の学術研究では、テレビを単なる外部ディスプレイとしてHDMIでつないで使っている場合でも、そのHDMI入力の画面内容までACRが取得しうることが実証されました11。過去には米国のメーカーが、約1,100万台のテレビから同意なく視聴データを集めて販売し、当局と220万ドルで和解した例もあります12。ここで押さえておきたいのは、ACRはメーカーの所在国によらずスマートTV全般に共通する仕組みだという点です。特定の企業や国の問題として捉えるより、機微な情報を扱う会議室のテレビが、そもそもネットにつながったスマートTVでないか、非接続の外部ディスプレイとして使えているかを確認する。その実務のほうが確実です。

もうひとつがフリーWiFiです。正規のものとそっくりの偽アクセスポイントを立てて通信を盗む「Evil Twin」という手口があり、これは理論ではなく実際の犯罪として起きています。2024年、オーストラリアでは、空港や機内で偽の無料WiFiを運用し、接続してきた人の認証情報を盗んだ人物が訴追され、実刑判決を受けました13。FBIも、ホテルのWiFiが偽アクセスポイントや偽ログインページに悪用されうると名指しで警告しています14。対策の基本は変わりません。機微なやり取りをフリーWiFiでしない。使うならVPNを通すか、スマートフォンのテザリングを使う。接続先が本物か、通信が暗号化されているかを確認する。地味ですが、効きます。

見落としがちな、その他のうっかり

ここまでの三つ以外にも、うっかりの入口はまだあります。まとめて挙げておきます。

  • のぞき見：新幹線やカフェで画面を後ろから見られる、いわゆるショルダーハッキング。ある実験では、のぞき見による情報の取得成功率は91パーセントに達しました15。プライバシーフィルターと、席の選び方で大きく変わります。
  • 放置した端末への物理的な仕込み：ホテルの部屋に置いた暗号化ノートPCに短時間触れて細工する「Evil Maid攻撃」が知られています。実際に、英国の銀行では、IT作業員を装った犯人が支店のパソコンに遠隔操作用の機器を秘密裏に接続し、多額を送金させた事件も起きました16。
  • QRコードの偽装：正規のQRコードにシールを貼り替えて偽サイトへ誘導する「クイッシング」。FBIやFTCが繰り返し注意喚起しています。
  • Bluetooth：ペアリング不要で乗っ取りうる脆弱性が過去に見つかっています。使わないときはオフにする、が基本です。
  • 離席時のロック：ロックせずに離席した端末に、キーボード偽装のUSBを一瞬挿すだけで、痕跡を残さず操作される。

こうした一つひとつは些細に見えます。ですが、国も企業も、まさにこの「物理的な入口」を制度で塞ぎにきています。防衛省は2007年の訓令で私物USBの接続を禁じていましたし17、内閣府が2025年に示した経済安全保障の適合事業者向けガイドラインでは、重要な情報を扱う端末をインターネットに接続しないこと、可搬媒体への書き出しや印刷のログを残すこと、区画へのスマートフォンや録音機、カメラの持ち込みを禁じることまで、明文で求めています18。物理的な流出経路を断つことが、技術流出を防ぐ土台だと、制度の側もはっきり認識しているのです。

「うっかり」を、仕組みで潰す

ここまで並べてきて、共通して見えてくることがあります。どれも、個人の注意力に頼っているうちは、いつか破れるということです。自衛隊の事案も、ルールはあったのに運用で守られませんでした。人は忙しいと、拾ったUSBを挿し、空港で充電し、フリーWiFiにつなぎます。だからこそ、注意を促すだけでなく、そもそも危険な行為ができない仕組みにしておくことが効くのです。

USBポートを制御し、媒体を暗号化し、機微な情報を扱う環境を隔離する。こうしたエンドポイントの守りに加えて、そもそも「守るべきデータがどこにあり、誰がアクセスできるか」を自分たちで把握できていることが、流出リスクを二重に下げます。私たちが提供しているエンタープライズAIのZEROCKは、AWSの国内サーバーでデータを扱い、どの情報を誰が使えるかをコントロールできるように設計しました。物理的な入口を塞ぐ努力と、扱うデータ自体を管理できる基盤。この両輪がそろってはじめて、情報は漏れにくくなります。フィジカルAIやIoT機器そのものが持つリスクについては、デバイスのデータの行き先を確認する記事でも詳しく書きました。あわせて読んでいただくと、入口から出口までの全体像がつかめると思います。

情報流出は、たいてい派手な事件ではなく、静かなうっかりから始まります。USBを挿す前に、ケーブルを借りる前に、WiFiにつなぐ前に、一呼吸おく。その一呼吸を、個人の心がけではなく組織の仕組みに変えていくことが、これからの技術流出対策の現実解だと私は考えています。自社の情報保全をどう固めるか相談したい方は、個別のご相談からお声がけください。

参考文献

Footnotes

  1. 陸上自衛隊中部方面総監部で、中国製の偽装USBメモリ（マルウェア感染）が機密系を含む端末に約1年接続されていた事案。日本経済新聞（2026年6月25日）。https://www.nikkei.com/article/DGXZQOCD075JJ0X00C26A5000000/ ↩

  2. 同事案で、防衛省が「自己増殖にとどまる古典的なマルウェアで、情報窃取や外部通信は確認されていない」と説明した点、および当該端末でUSBがウイルスチェックの対象から外れていた点。piyolog「陸上自衛隊が使用したマルウェア入りUSBメモリについてまとめてみた」（2026年）。https://piyolog.hatenadiary.jp/entry/2026/07/08/002522 ↩ ↩2

  3. 2008年、米国防総省の機密ネットワークが中東の基地で挿された感染USBメモリから侵入を許した事案（Operation Buckshot Yankee）。国防副長官William J. Lynn III による公式開示。Foreign Affairs（2010年）。https://www.foreignaffairs.com/articles/united-states/2010-09-01/defending-new-domain ↩

  4. Stuxnet（2010年）がリムーバブルドライブ（USB）経由でエアギャップ環境へ侵入し、LNK脆弱性CVE-2010-2568を悪用した点。Symantec「W32.Stuxnet Dossier」。https://nsarchive2.gwu.edu/NSAEBB/NSAEBB424/docs/Cyber-044.pdf ↩

  5. BadUSB（USB機器をキーボードになりすませる攻撃、ウイルス対策ソフトで検知不可・再フォーマットで駆除できない）。Karsten Nohl ら（SR Labs、Black Hat USA 2014）。https://radetskiy.wordpress.com/wp-content/uploads/2014/08/srlabs-badusb-blackhat-v1.pdf ↩

  6. 落ちているUSBメモリを人が接続するかを検証した研究（297本中98%が持ち去られ、45%でファイルが開かれた）。Tischer, Durumeric ほか、IEEE Symposium on Security and Privacy 2016。https://ieeexplore.ieee.org/document/7546509/ ↩

  7. 大手教育事業者からの顧客情報持ち出し事件（委託先技術者が業務用PCから私物スマートフォンへケーブル転送、不正競争防止法違反）。各報道（2014年）。 ↩

  8. O.MGケーブル（充電ケーブルにWi-Fiチップとキーロガーを内蔵、2021年に量産化・市販）。Vice（2021年9月2日）およびHak5公式。https://www.vice.com/en/article/k789me/omg-cables-keylogger-usbc-lightning ↩

  9. 公共USB充電（ジュースジャッキング）に関するFBI・FCCの注意喚起、およびジュースジャッキングによる実被害の公的記録が確認されていない点。KrebsOnSecurity（2023年）、FCC消費者アドバイザリ。https://krebsonsecurity.com/2023/04/why-is-juice-jacking-suddenly-back-in-the-news/ および https://www.fcc.gov/juice-jacking-dangers-public-usb-charging-stations ↩ ↩2

  10. 米テキサス州のパクストン司法長官が、スマートTV大手数社（一部は中国系）をACR（自動コンテンツ認識）による無断のデータ収集で提訴した事案（2025年12月15日）。ACRは画面の音・映像を500ミリ秒ごとといった短い間隔で取得し、ケーブルボックスやHDMI接続機器の表示内容も取得しうるとされ、テキサス州欺瞞的取引慣行法（DTPA）違反を主張。一部の被告にはデータ収集を差し止める仮処分（TRO）が出ている。いずれも申立て段階の主張で、各社の違法性は確定していない。テキサス州司法長官発表、およびAlston & Bird、IAPPの解説。https://www.texasattorneygeneral.gov/news/releases/attorney-general-paxton-sues-five-major-tv-companies-including-some-ties-ccp-spying-texans および https://iapp.org/news/a/automated-content-recognition-technology-takes-privacy-enforcement-spotlight ↩

  11. スマートTVのACR（自動コンテンツ認識）が、HDMI接続の外部機器の画面内容も取得してサーバー送信することを実証した研究。Anselmi, Vekaria ほか「Watching TV with the Second-Party」ACM IMC 2024。https://arxiv.org/abs/2409.06203 ↩

  12. 米国メーカーがACRで約1,100万台のテレビから同意なく視聴データを収集・販売し、米連邦取引委員会等と220万ドルで和解した事案（2017年2月）。FTC。https://www.ftc.gov/news-events/news/press-releases/2017/02/vizio-pay-22-million-ftc-state-new-jersey-settle-charges-it-collected-viewing-histories-11-million ↩

  13. 空港・機内で偽の無料WiFi（Evil Twin）を運用し認証情報を盗んだ人物の訴追・実刑。オーストラリア連邦警察（AFP、2024年6月）。https://www.afp.gov.au/news-centre/media-release/man-charged-over-creation-evil-twin-free-wifi-networks-access-personal ↩

  14. ホテルWiFiのリスク（偽アクセスポイント・偽ログインページ・端末監視）に関するFBI/IC3の注意喚起（2020年10月6日、PSA）。https://www.ic3.gov/PSA/2020/PSA201006 ↩

  15. ビジュアルハッキング（のぞき見）による情報取得の成功率91%（8か国でのグローバル実験）。Ponemon Institute・3M。https://multimedia.3m.com/mws/media/1254330O/global-visual-hacking-experiment-whitepaper.pdf ↩

  16. 英国の銀行支店で、IT作業員を装った犯人がKVMスイッチと通信機器を秘密裏に接続し遠隔送金した事件（2013年、判決2014年）。The Register。https://www.theregister.com/2014/04/25/kvm_crooks_jailed/ ↩

  17. 防衛省「情報保証に関する訓令」（平成19年訓令第160号、2007年）第45条による私物USB等の情報システム接続禁止。https://www.clearing.mod.go.jp/kunrei_data/a_fd/2007/ax20070920_00160_000.pdf ↩

  18. 内閣府「重要経済安保情報の保護及び活用に関する適合事業者向けガイドライン」（2025年5月）。重要情報を扱う端末のインターネット非接続、可搬媒体への書き出し・印刷ログの保存、区画へのスマートフォン・録音機・カメラ等の持ち込み禁止、媒体の暗号化保管を明文で要求。https://www.cao.go.jp/keizai_anzen_hosho/hogokatsuyou/doc/jigyousyagl.pdf ↩

本記事は一部にAIを用いて作成し、公開前に人間が一次情報の確認と編集を行っています。

AIで業務を効率化しませんか？

3分の無料診断で、貴社のAI導入準備状況を可視化。戦略・データ・人材の観点から改善ポイントをお伝えします。

AI準備度を診断する
無料相談を予約45分のオンライン相談資料をダウンロード製品資料・ホワイトペーパー

この記事が参考になったらシェア

シェア

メルマガ登録

AI活用やDXの最新情報を毎週お届けします

ご登録いただいたメールアドレスは、メルマガ配信のみに使用します。

無料診断ツール

御社のAI導入準備、どこまで進んでいますか？

戦略・データ・人材の観点で準備度を可視化。3分の無料診断で次の一手が分かります。

無料で診断する

関連する基礎知識

エンタープライズAI入門

課題解決ソリューション

ナレッジ管理の課題を解決社内の情報を一元管理し、必要な知識にすぐアクセス

ZEROCKについてもっと詳しく

ZEROCKの機能や導入事例について、詳しくご紹介しています。

お問い合わせZEROCKの詳細を見る

関連記事