陸自USB感染が示す身近な媒体リスクと防衛現場の調達運用の盲点

陸自USB感染が行政全体へ広げた警戒感

陸上自衛隊のUSBメモリからマルウェアが検知された事案は、単なる「古いウイルスが見つかった」という話にとどまりません。防衛省と陸上自衛隊の公開説明では、情報窃取や外部通信、システムへの拡散は確認されていません。それでも問題が重いのは、使用前のウイルスチェックという基本手順が守られず、取得経緯も改めて調査対象になったためです。

クラウド利用が進んだ現在でも、USBメモリは災害対応、閉域網、製造現場、検査装置、自治体窓口などで残り続けています。つまり今回の論点は、防衛組織だけの特殊な失敗ではありません。「その媒体は誰が、どこで、どの手続きで入手し、どの端末に挿したのか」を追えるかという、現場運用そのものの強度を問う事案です。

能登対応で生じた可搬媒体運用の隙

公表資料で確認できる事実関係

防衛省の2026年6月26日の大臣会見では、陸上自衛隊中部方面総監部で2025年2月、保有するUSBメモリにマルウェアが含まれていることを検知した事例があったと説明されています。陸上幕僚長の7月7日の会見では、このUSBメモリは2024年4月以降に使用されていたものとされました。

公開説明の範囲では、検知されたマルウェアは自己増殖の動作にとどまる古典的なもので、情報窃取や外部への通信は行わず、接続先システムへの拡散も確認されていません。外部への情報流出もなかったという整理です。ここだけを切り取れば、被害の実体は限定的に見えます。

しかし、セキュリティ事故の評価では、被害の有無だけでなく、統制がどこで破れたかを見ます。防衛省は、USBメモリの調達時には重要性や運用環境に応じた安全性確認を行い、使用時にも例外なくウイルスチェックを実施する規則があると説明しています。今回の事案では、その使用時チェックが遵守されていませんでした。

さらに、このUSBメモリは能登半島地震への対応に際して中部方面総監部が物品登録し、利用していたものとされています。災害対応では、現場の即応性が最優先になりやすく、平時の調達・登録・検査フローが短縮されがちです。緊急時の例外が、後から通常運用に入り込むと、媒体の由来や検査履歴が曖昧になります。

規則違反より深い取得経路の不透明さ

国会答弁では、令和7年度に政府機関が調達したUSBメモリの数量について、現時点で確認できる範囲で約6800個、このうちインターネット通販による調達が13個と示されました。一方で、USBメモリの調達や管理を課室ごとに行うことも可能で、各府省庁が数量を網羅的に把握する仕組みではないとも説明されています。

この答弁は、USBメモリ管理の難所をよく表しています。総数が分からない状態では、禁止や許可のルールを出しても、どの媒体が対象なのかを確定できません。製造番号、購入元、受領日、初回検査日、利用者、保管場所、接続端末の履歴がそろって初めて、媒体は「管理された備品」になります。

一部報道では製造国や攻撃主体をめぐる記述もありますが、防衛省と国会答弁で確認できる公表情報はそこまで踏み込んでいません。企業や行政がここから学ぶべきなのは、国名の断定ではなく、入手経路を証明できない媒体が重要システムに接続されうるという構造的な危うさです。

製造業の現場でも同じ問題が起こります。古い検査装置やNC工作機械、品質保証用PCは、ネットワーク接続を避けるためにUSBメモリでデータを移すことがあります。閉じた環境は外部からの攻撃面を減らす一方で、可搬媒体が唯一の出入口になり、その出入口に対する検査が形骸化すると、閉域網の意味が薄れます。

自治体調査が映すUSB依存の現場構造

三重県の一斉点検が示した保有数の重み

陸自事案を受けて三重県が実施した庁内調査は、USB依存の実態を可視化しました。県は2026年6月26日から7月6日まで、公安委員会を除く全所属を対象に、業務用USBメモリのウイルスチェック、検知媒体を使ったPCのチェック、使用状況のヒアリングを行っています。

公表資料によると、庁内のUSBメモリ総数は1万757個でした。このうち47個、37所属からマルウェアが検知されています。内訳は、過去に保存したメールデータから検知されたものが29個、外部端末での使用時に混入したものが18個です。県は、検知されたマルウェアはすべて活動しておらず、感染や被害はなかったと説明しました。

この数字の意味は、検知数そのものより保有数にあります。1万個を超えるUSBメモリを、所属、用途、保管場所、貸出、検査履歴まで正確に追うには、備品台帳だけでは足りません。人手の棚卸しに頼る運用では、異動、兼務、外部委託、臨時対応が重なるたびに、媒体の所在と状態が曖昧になります。

三重県は原因として、USBメモリ使用時のウイルスチェックが徹底されていなかったことを挙げました。今後の方針として、USBメモリの必要性を精査して使用数を減らすこと、登録管理を徹底すること、私物USBメモリを全面禁止すること、職員研修やチェック自動化、外部から受け取ったUSBを検査する専用端末の設置を示しています。

クラウド化でも残る現場の受け渡し需要

行政や企業がクラウドサービスを導入しても、USBメモリがすぐ消えるわけではありません。外部業者からのデータ受領、住民や顧客から持ち込まれる資料、通信できない現場、古い制御装置、監査用の証跡回収など、可搬媒体が便利な場面は多く残っています。

NISTはOT環境向けの資料で、USBフラッシュドライブなどの可搬ストレージは物理的なデータ移動に有用である一方、サイバー攻撃リスクを持つと整理しています。電力、工場、交通、医療のような現場では、可用性や安全性の理由でネットワーク分離が採られるため、媒体を完全になくすより、手順・物理管理・技術統制を組み合わせる必要があります。

JPCERT/CCは以前から、USBメモリ経由で感染を広げるマルウェアや、USBストレージ内のデータを窃取する攻撃に注意を促してきました。感染端末にUSBストレージを接続すると、ファイル一覧の作成や圧縮、別端末経由の外部送信につながる手口も確認されています。これは「USBは古い脅威」という見方が危険であることを示します。

Microsoftも、リムーバブルドライブを通じてワームが広がる可能性や、拾得したUSBを挿させる攻撃に注意を促しています。英国NCSCは、USBやThunderboltなどの外部インターフェースを、データ損失や悪意あるコード実行、DMA攻撃、外部起動経路のリスクとして整理しています。可搬媒体の問題は、保存装置だけでなく、端末の物理ポート全体の問題です。

企業が直面する調達と端末制御の再設計

企業が取るべき第一歩は、USBメモリを一律に禁止する宣言ではなく、業務上の必要性を分類することです。使わない業務、承認制で使う業務、専用媒体だけを使う業務、外部受領だけを許す業務に分けると、対策の強度を現場に合わせやすくなります。禁止だけを掲げると、例外処理が裏口化します。

第二に、媒体を「買った物」ではなく「証跡を持つデバイス」として扱うことです。指定ルートで購入し、暗号化対応や認証製品の条件を調達仕様に入れ、シリアル番号や利用者を登録します。IPAは政府IT製品調達に関する資料で、セキュリティ要件の特定や認証製品の活用を示しており、暗号化USBメモリも対象分野に含まれます。

第三に、端末側で接続を制御します。Microsoft Defender for Endpointのデバイス制御では、USBなどの周辺機器について、特定デバイスの利用禁止、例外付きの外部デバイス禁止、許可デバイスのみの利用、BitLocker暗号化媒体のみの利用などを設定できます。読み取り、書き込み、実行の権限を分ける設計も重要です。

第四に、検査専用端末を用意します。外部から受け取ったUSBをいきなり業務端末へ挿すのではなく、更新されたマルウェア対策ソフトを持ち、基幹ネットワークから切り離された端末で検査します。三重県が示した専用端末の設置方針は、自治体だけでなく製造・医療・建設の現場でも応用しやすい対策です。

最後に、棚卸しと教育をイベント化しないことです。年1回の台帳確認だけでは、USBの実態は追えません。接続ログ、貸出記録、検査結果、紛失報告、廃棄証跡を組み合わせ、月次で例外を確認する仕組みが必要です。IPAも、管理していないUSBメモリを接続しないこと、自分の媒体を管理外PCに接続しないこと、持ち出し媒体を暗号化することを基本対策として示しています。

情シスが来月までに点検すべき媒体管理

今回の陸自事案が突きつけた問いは、マルウェアの新旧ではありません。自社のUSBメモリについて、誰が入手し、どこで検査し、どの端末に接続し、いつ廃棄したかを説明できるかです。説明できない媒体は、たとえ今は無害でも、次のインシデント調査を難しくします。

情報システム部門はまず、保有USBメモリの実数、私物利用の有無、外部受領時の検査手順、端末側の接続制御、暗号化の有無を点検すべきです。そのうえで、不要媒体の削減、許可媒体の番号管理、検査専用端末の整備、ログ監査を進める必要があります。

USBメモリは小さく安い道具ですが、調達、現場運用、サプライチェーン、端末管理が交差する装置です。クラウド時代のセキュリティは、画面の中だけでは完結しません。机の引き出しに残る一本の媒体まで追える組織だけが、閉域網とデジタル化を両立できます。

参考資料:

• 防衛省・自衛隊：防衛大臣記者会見 令和8年6月26日
• 陸上自衛隊：荒井陸上幕僚長 定例記者会見 2026年7月7日
• 参議院：陸上自衛隊のUSBメモリのウイルス感染を踏まえた質問主意書
• 参議院：同質問に対する答弁書
• 三重県：USBメモリの庁内調査結果について
• 三重県：知事定例会見録 令和8年7月9日
• NIST SP 1334: Reducing the Cybersecurity Risks of Portable Storage Media in OT Environments
• IPA：セキュアな製品調達のために
• IPA：IT製品の調達におけるセキュリティ要件リスト
• Microsoft Learn：Device control in Microsoft Defender for Endpoint
• NCSC：Using peripherals securely
• JPCERT/CC：USBメモリ経由の感染機能を持つマルウエア調査報告書
• JPCERT/CC：USBストレージに保存されたデータを窃取するサイバー攻撃に関する注意喚起
• IPA：日常における情報セキュリティ対策
• Microsoft Support：How malware can infect your PC