陸上自衛隊や三重県が使用するUSBメモリーが、マルウェアに感染していた――。6月から7月にかけて発覚したこれらの事案は、利用シーンが減り、ウイルス対策も成熟していると思われていたUSBメモリーが、今なおサイバーセキュリティーの弱点になり得ることを浮き彫りした。USBメモリーを安全に使うために必要なことは何か。セキュリティーベンダーは「人の判断に左右されない仕組み」を最適解に据え、自治体や重要インフラ事業者に訴求を図っている。
（取材・文／春菜孝明）
 

マルウェア感染、次々に発覚　「性弱説」前提で対策を

　陸上自衛隊中部方面総監部では2025年2月、保有するUSBメモリーにマルウェアが含まれていることを検知。26年6月に報道によって明るみになった。防衛省によると、発見されたマルウェアの動作は自己増殖だけで、情報窃取や外部通信は行わず、接続される隊内のシステムにも拡散が見られなかったとしている。ただ、使用する際に例外なくウイルスチェックを実施する規則が順守されなかった点は問題があり、現在はウイルスチェックを徹底していると説明する。

　三重県は26年7月、庁内の47個のUSBメモリーからマルウェアを検知したと公表した。原因は「USBメモリー使用時にウイルスチェックを行うことが徹底されていなかったため」と説明。対策として、USBメモリーの使用を減らすことや、登録管理の徹底、私物端末の全面禁止といった管理の厳格化と、検査専用端末の設置をはじめとするウイルスの混入防止を挙げた。総務省は全国の自治体に対し、USBメモリーを適切に調達、取り扱うよう注意喚起し、利用調査にも乗り出した。

　両者の説明では、検知されたマルウェアは「古典的なもの」とされた。実際、USBメモリーを介してマルウェアを侵入させる手口は2000年代からある。サイバー攻撃の認知拡大や、USBメモリー以外のデータの受け渡し手段の普及を受け、USBメモリーを使わなくなった事業者は多い。一方、行政機関や一部の企業では、閉域網といった業務環境の事情などで使用を続けているのが実情だ。

　USBメモリーを使い続ける場合でも、未管理の端末を持ち込まないなどの対策が促されてきた。ただ、業務外のデータを扱ったり、私用PCに接続したりすると、マルウェアが入り込む余地を与えかねず、ガバナンス不全を引き金にしたリスクは依然として存在している。
 
　USBメモリーがマルウェアを含む場合の危険性について、NRIセキュアテクノロジーズの山口雅史・事業戦略推進統括本部長は「外部から複雑なネットワークを経由しなくても、接続するだけでマルウェアが社内システムに入り込んでしまうことだ」と指摘する。PCに侵入したマルウェアは、ファイルサーバーやメールサーバーなどを特定しながら活動範囲を広げ、外部の攻撃者がリモートコントロールで攻撃を実行する。侵入ルートによっては対策ソフトが活動を検出しない可能性もあり、「パターンマッチングのみのソフトであれば検知できないこともある」とする。

　USBメモリーを使う環境では、ウイルスチェックを利用者に求めるだけでなく、セキュリティー対策を技術的に強制する必要がある。山口本部長は、USBメモリーをシリアル番号で識別して未登録の媒体を遮断するソリューションや、受け渡し専用端末で検査する方法を例示。人は必ずしも適切に行動できるとは限らないという「性弱説」の考え方を前提に、「仕組みで防ぐ考え方が今の時代に適している」と訴える。

OPSWAT JAPAN
複数のAVエンジンを実行　無害化処理などで多層防御

　ファイルセキュリティーに強みを持つOPSWAT JAPANは、外部から持ち込まれるファイルを複数の防御層で検査・無害化するセキュリティー製品を提供する。自衛隊や三重県の事案を受け、自治体からの引き合いが増えているという。

　第一の防御層が、複数のアンチウイルス（AV）エンジンによる並列スキャンだ。サードパーティーのセキュリティーベンダーが提供する複数のエンジンを同時に動かし、各製品の検知特性を相互に補完する。同社の分析によると、単一のエンジンによるファイル単位の検出率は平均で5割を下回るが、八つのエンジンでは89％、16エンジンでは95％、最大32エンジンの構成では99％まで高まるという。自社開発のアンチウイルスエンジン「Alin AI」も提供する。

　ただ、アンチウイルスは過去に確認された脅威や学習データに基づいて検知するため、未知のマルウェアやゼロデイ攻撃を完全に捉えることは難しい。そこでファイル無害化技術「Deep CDR」が第二の防御層になる。ファイルを複数の構成要素に分解し、正常に利用、閲覧するのに不要なスクリプトや埋め込みオブジェクトを取り除き、安全な要素のみで再構成する。脅威かどうかを判定するのではなく、攻撃に使われる可能性がある不要な要素を一律に除去するため、未知の攻撃への対策につなげられる。

　構成要素を取り除くとプログラム自体が動作しなくなる実行ファイルにはDeep CDRを適用できない。このため第三の防御層として、エミュレーション型サンドボックスの新機能「MetaDefender Aether」を用いる。プログラムの動きを再現し、危険性を判定する。仮想環境上で実行されたことを検知して動作を停止するマルウェアにも対応する。

　これらの技術を持ち込みメディア対策に特化して提供するのが「MetaDefender Kiosk」だ。USBメモリー内のファイルにマルチスキャン、Deep CDR、エミュレーション型サンドボックスを適用し、安全性を確認できたファイルだけを取り込めるようにする。据え置き型のキオスク端末、業務の現場に持ち運べるポータブル端末、ソフトウェア版を用意しており、PCなどの既存の端末にインストールできるソフトウェア版の販売が伸長している。
 
　国内の地方自治体の7割以上が、メールの添付ファイルやインターネットから取得したファイルへの対策として、同社のファイル検査・無害化の製品を利用しているという。この既存顧客の基盤をMetaDefender Kioskの拡販につなげたい考えだ。高松篤史・カントリーマネージャーは「すでに導入しているファイル検査や無害化の技術を生かしながら、USBメモリー対策を追加できる。既存資産を有効活用でき、導入コストも抑えられる」と語った。

TXOne Networks Japan
多角的な対策を提供　自治体への提案強化

　OTセキュリティーを専門にするTXOne Networks Japanは、USBメモリーなどの持ち込みストレージ内のマルウェアをチェックする「Safe Port」を提供する。専用アプライアンスとすることで、汎用端末のように設定を変更したり、検査以外の用途に使ったりすることができなくなっている。マーケティング本部の西尾麻里・プロダクトマーケティングマネージャーは「パネル操作のワンタッチでウイルススキャンを始められ、セキュリティーリテラシーの高くない現場でも分かりやすい手順になっている。作業の煩雑さなど対策が形骸化しがちな要因を解消する」と強調する。
 
　USBメモリーを接続するPCなどにSafe Portのエージェントか、エンドポイントセキュリティー製品の「Stellar」をインストールすると、ウイルスチェックを経たUSBメモリーだけを読み込む仕組みになる。Stellarでは、特定のUSBメモリーのみの使用や、オートランファイルの実行防止、マルウェアの隔離など、より細かい制御が可能だ。

　検査結果を一元管理するコンソール「ElementOne」では、Safe Portが読み取ったUSBメモリーのシリアル番号や検査日時、利用者、検出したウイルスなどを自動で記録。複数の拠点に設置したSafe Portを一括管理し、スキャンの設定変更やパターンファイル、ファームウェアの更新を遠隔で実施する。
 
　Safe Portは、外部から持ち込まれたUSBメモリーを検査する用途以外にも、ファイルを別の保存先へ転送する中継点としても利用できる。Safe Portが備える二つのポートの一方に持ち込みUSBメモリー、もう一方にセキュアストレージを備えるUSBメモリー型デバイスの「Portable Inspector Pro」を挿し、検査したファイルだけをPortable Inspector Proへ転送すると、外部メモリーを施設内に持ち込まず、安全を確認したファイルだけを内部に運べる。社内ネットワークの共有ストレージへの転送も可能で、内部のIT機器に物理媒体を接続することなくファイルの受け渡しを実現する。

　こうしたOT環境での導入実績や知見を生かし、西尾マネージャーは自治体向けにも提案を強化すると意気込む。販売パートナーはディストリビューター6社に加え、認定パートナーが10社以上に増えており、「基盤が整ってきた」（松尾雄大・マーケティング本部長シニアプリンシパルマーケティングマネージャー）状況だ。自治体では、USBメモリーを使わないとする方針が広がっても、すぐに廃止するのは難しいとみて、安全に運用するための製品としてアピールする。国が対策を促す15分野の重要インフラ事業者にも訴求を強める。