【自衛隊システムに感染USB接続】会社を壊すのは、1本980円のUSBかもしれない

「1TB」と書かれた、約240GBの嘘

2026年6月、日本経済新聞の調査報道「テック社会の罠」が、一つの事実を明るみに出した。陸上自衛隊の機密を扱う端末に、中国で流通が確認されているウイルスに感染したUSBメモリーが、約1年にわたって接続され続けていた、というのである。

問題のUSBメモリーを解析したところ、それは二重の意味での「偽物」だった。

外見はごく普通のUSBメモリー。だが分解してみると、本来あるべき高速な部品ではなく、スマートフォンなどに使う安価で遅い小さなカードが押し込まれていた。しかも容量が偽られている。パソコン上は「1TB」と表示されるのに、実際には4分の1の約240GBしかなかったという。

容量が偽られたUSBメモリーは、本当の容量を超えて書き込むと、警告も出さずに古いデータを上書きして消してしまう。あるいは、書き込んだつもりのデータが、そもそもどこにも記録されていない。つまり「保存したはずのデータが、いつのまにか存在しない」という事態を、必要になった当日まで気づかせない。日経が格安USBメモリー10種類を実際に買って調べたところ、その半数が偽装品で、いずれも中国製だったという。さらに大手通販サイトで「おすすめ」と表示された200商品の口コミを調べると、約2割に偽装の報告が見つかった。「おすすめ」は、安全の保証ではなかったのである。

「凶悪犯」ではなかった。だが、それが問題だ

では、そのウイルスは、どれほど凶悪だったのか。

ここは冷静に見るべきところだ。防衛省の説明によれば、見つかったウイルスは「自己増殖の動作にとどまる古典的なもの」であり、情報を盗み出したり、外部へ送信したりする種類ではなかったという。陸上自衛隊のシステムへの影響はなく、情報の流出も確認されていない、としている。組織の盲点を突き忍び込む技は唸らせるものがあったが、腕は大したことがなかった。例えるなら、忍者になり損ねた忍者だった。

しかし、ここからが経営者に立ち止まってほしいところである。

この忍者は、なぜバレたのか。組織の点検の仕組みが働いたからではない。1人の自衛隊員が「パソコンの動きが、いつもより遅い」と違和感を覚えたからだ。原因を調べたら、ウイルスが出てきた。動作が遅かったのは、そのUSBメモリーが正規品よりデータのやりとりに大幅に時間がかかる、粗悪品だったからである。

つまり、粗悪だったからこそ、尻尾を出した。裏を返せば、もしこのUSBメモリーが正規品と見分けのつかない上等な偽物で、静かに、速く動いていたら。誰も違和感を抱かず、いまも発見されぬまま、2年、3年と潜み続けていたかもしれない。

三流に救われた。それが、今回の事案の本質である。同じ経路でやってくるのが、二流や一流だったとしたら、「遅いぞ」という警告が届くことはないだろう。

毒入りの兵糧を内部の人間が運び込む「兵糧攻め」

この手口の不気味さは、攻撃の速さにはない。むしろ、その「遅さ」にある。

昨今話題にのぼるランサム攻撃事案では、VPNVPN：インターネットなど公衆ネットワーク上に、暗号化された仮想的な専用通信路（トンネル）を構築する技術。詳しく見る →経由で侵入されたというものをよく目にする。VPN経由というのは、いわば空から、狙った秘密の門（VPN機器）に合鍵を持った兵を降ろす電撃戦に似ている。降下地点で合鍵を使えば、兵たちは城内に入れてしまう。速いが、侵入口がはっきりしているぶん、守り方もさまざまに考えることができる。

一方で、組織がUSBメモリーを使うのは、ネットワークにつながっていないコンピュータ同士でデータをやりとりしたい、というニーズが多いからだと推測される。つまり、一般的なオフィス環境からあえて隔離した、高度なセキュリティが求められる現場ほど、USBメモリーの出番があるということだ。しかも、そういう組織ほど、経費にも厳しい。

そこへ、格安USBメモリーが世にばらまかれる。これは、費用削減で苦労している組織の城内に運び込まれる兵糧に、あらかじめ毒を仕込んでおく「兵糧攻め」に近い。運ぶのは、攻め手ではない。城の中の人間が、自らの手で担ぎ込む。しかも「安く、大量に仕入れられた」と喜びながら、である。

空から降りてくる敵は疑える。だが、自分で買って、自分で運び込んだ兵糧を、いったい誰が疑うだろうか。

そして毒は、すぐには回らない。そのUSBメモリーを今日パソコンに挿しても、何も起きない。明日も、来月も、表向きは何も起きない。閉ざされた壁の内側で、担がれ、持ち歩かれ、静かに時を待つ。いつ芽吹くとも知れぬ種を、自らの手で蔵にしまい込んでいる。それが、格安USBメモリーという兵糧攻めの正体だ。

倹約家ほど狙われる

もう一つ、より苦い皮肉がある。

より安い兵糧に手を伸ばさざるを得ないのは、自衛隊のような高度なセキュリティが求められる組織ばかりではない。多くの中小企業もまた、限られた予算のなかでやりくりしている。一本でも安いものを、少しでも容量の大きいものを、と探す。その堅実な、まっとうな倹約精神が、そのまま汚染された兵糧への入り口になっているかもしれないのだ。

ある意味、これは現場の倹約に付け込む攻撃とも言える。少しでも安いものをと取り寄せた安全靴を履いて工場に入る。釘を踏むまで、その靴が防具になっていなかったことに気づかない。攻撃者は、防御にも倹約の精神が働くことを見抜き、私たちが持っている「文化」も、正確に突いているとも言える。

これを「中国製が悪い」という話に矮小化してはならない。問題は製造国ではなく、素性の分からない流通経路にある。同じ構図は、安く買った充電ケーブルにも、ネットにつなぐ監視カメラにも、変換アダプタにも、等しく潜み得る。

「調べたら、本当に出た」

これを対岸の火事と笑えないことは、すでに数字が証明している。

自衛隊の事案を受け、総務省は全国の自治体にUSBメモリーの一斉調査を求めた。要請に応じて全数調査に踏み切ったある県では、保有する約1万本のUSBメモリーのうち、47本からマルウェアが検知された。実害は確認されず、検知されたウイルスも陸自の事案とは別系統の、迷惑メール由来の来歴不明のものだったというが、それでも「調べたら、本当に出てきた」という事実は重い。ついでに言えば、その調査では、許可を得ていない私物のUSBメモリーまで見つかっている。

1万本に47本。率にすればわずかだが、たった1本が内部に開ける穴の大きさを思えば、これを「少ない」と片づける経営者はいないはずだ。点検とは本来、この47本を、被害が出る前に見つける行為に他ならない。

無料の「健康診断」を、習慣にする

では、どう点検するか。難しい話ではない。しかも、道具はタダで手に入る。

今回の調査に協力したデータ復旧大手のAIデータ社が、USBメモリーやSDカードの容量偽装を判定するツールを、2026年7月から自社サイトで無償公開した（詳しくはこちら）。総務省が自治体に求める調査にそのまま使えるものだが、もちろん一般企業でも使える。

仕組みは単純だ。その媒体に実際に大量のデータを書き込んでみて、表示どおりの容量が本当にあるか、正しく読み書きできるかを確かめる。表示は1TB、実際は数百GB、といった嘘を、数字で暴いてくれる。海外製で古くから定番の同種ツールもいくつかある。

ここで、筆者が実際に試して気づいた、大事な副産物がある。この種の検証を最後まで走らせると、媒体はフォーマット（初期化）が必要な状態になる。つまり、容量を確かめる作業が、そのまま中身をまっさらに洗い流す作業を兼ねる。容量偽装のチェックであると同時に、仕込まれたかもしれないウイルスを流し落とす消毒にもなるということだ。一石二鳥。だから筆者は、この検証を強くお勧めしたい。

「容量の大きいものは、検査に何時間もかかって面倒だ」という声は、もっともだ。1TBをうたう媒体なら、正常品でも数時間はかかるかもしれない。だが、静かにデータが消える恐ろしさ――バックアップしたつもりの中身が、いざという日に空だったという悪夢を思えば、この数時間は、惜しむべき手間ではない。大容量のものほど、必ず通しておくべき関門である。

「チェック済みシール」という、小さな儀式

点検を一度きりの行事で終わらせないために、ひとつ、地味だが効く運用を提案したい。

まず、いま社内で使っているUSBメモリーを、引き出しの奥まで含めて全部集める。使い続けてきたもの、新しく買ったもの、そのすべてを、先ほどの無料ツールに通す。そして、無事に「本物」と確認できたものだけに、点検した日付を書いた「チェック済み」のシールを貼る。同時に、どこで買ったもので、誰が使うものなのかを、台帳に1行、書き加えておく。

たったこれだけだ。だが、この小さな儀式には、大きな意味がある。シールの貼られていないUSBメモリーは、社内で使ってはいけない――この一目でわかる約束が、素性の知れない1本が紛れ込む隙をふさぐ。台帳は、いざ何かあったとき、どの端末にどの媒体が挿さったかを追う命綱になる。仰々しい規程集はいらない。シールと台帳。これを定着させてほしい。

天下の自衛隊で、なぜ

さて、「自衛隊ほどの組織がなぜ1年も気づかなかったのか」と思うかもしれない。

だが、事実はその逆である。自衛隊には、調達時の確認、使う前のウイルス検査、使ってよい機器の登録という、幾重もの管理手順が、制度として存在していた。それでも、そのすべてを素通りしてしまった。陸上幕僚長は会見で、ウイルス検査を例外なく実施するという規則が守られていなかったことを、問題だったと認めている。

つまり、防御を破ったのは技術の不足ではない。ルールはあったのに、現場でそれが回っていなかった――人と運用の隙だ。立派な規程集が金庫に眠っていても、日々の一手間として根づいていなければ、無いのと変わらない。前章のシールと台帳を勧めたのは、まさにこの「回る仕組み」に落とし込むためである。

ルールを持っていた組織でも、これが起きた。ならば、明文化されたルールを持たない多くの中小企業は、どうだろうか。

難しい話ではない。分厚い規程集も、高価な機材も、まずは要らない。要点は3つだ。

そして最後に、社員へ、一言だけ伝えておいてほしい。「USBメモリーを挿してから、パソコンが妙に遅い」は、異常の合図だ、と。そして何より――おかしいと思って手を止め、報告してくれた人を、決して責めないでほしい。今回、幾重もの仕組みをすり抜けた末に、唯一機能した防御は、たった1人の「なんか遅いぞ」だったのだから。

想像してみてほしい。その1本が、あなたの会社がお客さまに配ったUSBメモリーだったら――。そこからウイルスが出た、容量が偽物だったと指摘されたとき、失うのはデータではない。長年かけて築いた、取引先からの信用である。

引き出しの、その1本。今日、どこから来たものか、確かめてみてほしい。「安物買いの銭失い」では、済まされない。それは会社を壊す、「安物買いの信用失い」になり得るのである。

この事案は、もはや「USBの問題」ではない。調達から、流通の素性、運用のルール、そして最後は人の行動まで――そのすべてを1本の線でつないで守ることが、これからのサイバーセキュリティなのである。あなたの会社を守る最初の一歩は、980円のあの1本を疑ってみることから始まる。