偽装USBの危険性、格安品に潜む容量詐欺と安保リスクの深層構図

格安USBが情報管理の弱点になる背景

格安USBメモリの問題は、安い記録媒体を買ったら壊れやすかった、という単純な消費者トラブルにとどまりません。表示容量より実容量が少ない偽装品では、利用者が気づかないまま書き込みを続け、古いデータが上書きされたり、ファイルが破損したりします。さらに、低価格品には再利用チップや粗悪なコントローラーが紛れ込む余地があり、品質問題とサイバーリスクが重なります。

陸上自衛隊でウイルス入りUSBメモリが見つかったとされる問題は、官公庁や防衛関連企業にとって象徴的です。USBは閉域網、海外拠点、工場、現場端末をつなぐ便利な道具である一方、ネットワーク監視をすり抜ける物理的な入口にもなります。本稿では、容量偽装の仕組み、USBマルウェアの実例、調達と運用で取るべき対策を、安全保障とサプライチェーンの視点から整理します。

容量偽装が起こすデータ消失の仕組み

OS表示を欺くコントローラー改変

容量偽装USBの基本構造は、実際のNANDフラッシュ容量より大きな容量をOSに申告させることです。外見は一般的なUSBメモリでも、内部のコントローラーやファームウェアが改変され、パソコン上では「2TB」や「1TB」と表示される場合があります。しかし実際の記憶領域が数十GBしかなければ、一定量を超えた書き込みで異常が起きます。

この種の偽装は、空き容量表示だけを見ても判別しにくい点が厄介です。利用者はコピー完了の表示を信じますが、実際には保存できていない、または後から読み出すと壊れていることがあります。業務資料、訓練データ、設計図面、ログの移送でこの問題が起きれば、単なる買い直しでは済みません。監査証跡や証拠保全にも影響します。

Gibson Research CorporationのValiDriveは、偽装品が市場に広く出回っている例として、2TBとして販売されたドライブが実際には62GB程度のフラッシュしか持たないケースを示しています。極端な例に見えますが、容量表示を信じてバックアップに使うほど被害は大きくなります。低価格で大容量をうたう商品は、価格差の理由をまず疑うべきです。

全領域書き込みで見える本当の容量

容量偽装を検出するには、ドライブの管理情報を読むだけでは足りません。実際に全領域へテストデータを書き込み、読み戻して一致するかを確認する必要があります。Windows向けのH2testwは、ランダムデータを最大1GB単位のファイルとして媒体に書き込み、その後に読み出して元データと比較します。LinuxやmacOSでは、F3が同様の「書く、読む、照合する」検査に使われます。

この検査は時間がかかります。大容量をうたう製品ほど、全領域の書き込みと読み出しに長い時間が必要です。しかし、調達時の抜き取り検査としては合理的です。開封後にウイルススキャンだけを実施しても、容量偽装は見抜けません。むしろ、業務投入前に実容量テストを行い、合格した個体だけを資産台帳に登録する運用が必要です。

注意点もあります。H2testwの説明では、USBアダプター、ケーブル、端子、メモリ不良など、媒体以外の要因で誤検知が起きる可能性も示されています。したがって一度の失敗だけで原因を断定せず、別の端子や別端末で再検査する手順が欠かせません。それでも、表示容量だけを信じるより、全領域検査の方がはるかに現実的です。

再利用チップが残す別の痕跡

容量偽装とは別に、低価格USBには再利用チップの問題もあります。2025年に公開された大規模研究では、低価格の中国市場から調達されたUSBフラッシュドライブ614個を法科学的に分析し、75個から過去利用者の非自明なデータを復元できたと報告されています。割合は12%を超えます。新品として売られる製品でも、内部チップが過去に使われていた可能性があるという示唆です。

この問題は、データ漏えいだけでなく、証拠保全やコンプライアンスにも影響します。購入時点で旧データが残っていれば、後に見つかったファイルの由来を説明しにくくなります。防衛、医療、金融、研究開発の現場では、保存媒体に残る出所不明データそのものがリスクです。安い販促USBやノーブランド品を組織内で配布する慣行は、見直しの対象になります。

さらに、低価格市場では「外見が新品であること」と「内部部品が新品であること」が一致しない場合があります。電子廃棄物や中古機器から取り外したメモリチップを再利用すれば、製造コストは下がります。中国・深圳周辺の電子部品市場やリサイクル産業は強力な供給力を持ちますが、品質と来歴の透明性を買い手側が確認しなければ、安さはそのまま不確実性になります。

USBマルウェアが防衛現場へ届く経路

BadUSBが示す周辺機器のなりすまし

USBの怖さは、保存されたファイルだけではありません。BadUSB型の攻撃では、USB機器がキーボードなどのHIDとして振る舞い、利用者がファイルを開かなくても高速にキー入力を注入できます。米メディアの報道によれば、FBIは2022年、FIN7が輸送、保険、防衛関連企業に悪意あるUSB機器入りの小包を送り、接続後にマルウェアを導入する攻撃について警告しました。

この攻撃は、企業が「USBストレージを禁止したから安全」と考えている場合にも穴を開けます。悪意あるデバイスがキーボードとして認識されれば、ストレージ制御だけでは止められないからです。BleepingComputerの報道では、対象企業にAmazonや米保健福祉省を装った文書やギフトカード風の誘導が同封され、接続を促す手口が説明されています。物理郵送とソーシャルエンジニアリングが組み合わさった攻撃です。

研究面でも、USB機器の良性・悪性を外形だけで判断する難しさが指摘されています。FirmUSBの研究は、USBプロトコルの開放性が利便性である一方、BadUSBのような攻撃の土台にもなると説明します。USB機器のファームウェア解析は専門性が高く、一般企業が入荷品を個別に深掘りするのは現実的ではありません。だからこそ、調達先、資産登録、利用権限、接続ログで守る必要があります。

いまも生きるUSBワームの作戦価値

USB経由の感染は、過去の脅威ではありません。Wiredは2023年、Mandiantの調査として、中国系とされる攻撃者がSOGUと呼ばれるUSBマルウェアを使い、少なくとも29組織に侵入したと報じました。感染地点にはアフリカ各国の共有端末、印刷店、インターネットカフェが含まれ、標的は銀行、建設、教育、政府機関などに広がっていました。

この事例が重要なのは、先進国本社のセキュリティ水準だけでは守れないことです。多国籍企業や政府関係組織は、海外拠点、現地請負先、印刷業者、研修施設、出張先の共有端末とつながっています。USBは、帯域が不安定な地域や閉域環境で今も使われます。攻撃者はその運用上の隙を利用し、まず広く感染させ、後から価値ある標的を選別できます。

軍事組織でも、USBは長く問題になってきました。2008年にはAgent.btzと呼ばれるワームの拡散を受け、米国防総省がUSBメモリやCDなどリムーバブル媒体の利用を一時停止したと報じられました。現場ではネットワークが不安定な状況ほどUSBが便利です。しかし有事や災害時ほど、便利な抜け道は攻撃の抜け道にもなります。

エアギャップを越える物理媒体

防衛・産業制御・研究施設では、外部ネットワークから切り離したエアギャップ環境が使われます。しかしUSBは、隔離網へデータを運ぶ手段として残りやすい媒体です。USBCaptchaInの研究は、産業制御システムではUSBメモリが切断された重要システム間のファイル移送に使われ、通常のファイル感染とBadUSBの双方がリスクになると整理しています。

攻撃者にとって、エアギャップは絶対的な壁ではありません。感染済みUSBが閉域端末に差し込まれ、情報を媒体上に一時保存し、その後インターネット接続端末で外部送信する流れは、理論上も実例上も考えられます。USBを使う運用が残る限り、閉域網の安全性は媒体管理の強さに依存します。

真正性確認の研究も進んでいます。MAGNETOは、USBメモリの意図しない磁気放射を使って機器のブランドやモデルを識別する手法を提案し、59個・17ブランドのUSBで高い分類精度を示しました。これは実用配備というより、USBの真正性確認が研究対象になるほど、物理デバイスの来歴が重要になっていることを示します。防衛や重要インフラでは、安価な汎用品を無検査で受け入れる発想そのものが古くなっています。

安値調達から認証調達へ移る防衛線

USB対策は、現場に「知らないUSBを挿さないでください」と呼びかけるだけでは不十分です。NIST SP 800-53 Rev.5は、組織の資産、業務、個人、国家を多様な脅威から守るための管理策カタログとして、メディア保護やサプライチェーンリスク管理を含む幅広い統制を示しています。USBは小さな消耗品ではなく、管理対象の情報資産として扱うべきです。

まず調達では、正規代理店、メーカー保証、ロット番号、型番、暗号化機能、改ざん防止包装を確認する必要があります。ノーブランド品や極端な格安品は、個人利用でも避けるのが無難ですが、官公庁や防衛関連企業では調達禁止に近い扱いが妥当です。安価な媒体の購入で節約できる金額は小さく、感染調査、データ復旧、業務停止、情報漏えい対応の費用は桁違いに大きくなります。

次に受け入れ検査です。ウイルススキャン、全領域容量テスト、ベンダー名やシリアル情報の記録、暗号化設定、資産ラベル貼付を標準手順にします。使い捨ての販促USBや、会議で配られた媒体を業務端末に直接挿す運用は避けるべきです。外部媒体は隔離端末で検査し、必要なファイルだけを無害化して移す仕組みが現実的です。

運用では、USBデバイスの許可リスト化が重要です。USBIPSの研究も、USB攻撃への防御としてアクセス制御の許可リスト方式と行動検知を組み合わせる方向を示しています。実務上は、EDRやデバイス制御製品で未登録デバイスをブロックし、接続履歴を監査ログとして残します。BadUSB対策では、ストレージだけでなくHID、ネットワークアダプター、シリアル変換器などのクラス制御も必要です。

海外拠点を持つ企業は、地域差も織り込む必要があります。印刷店、空港、展示会、現地協力会社、学校、ホテルの共有端末でUSBを使う運用は、国内本社の基準では見落とされがちです。SOGUの事例が示すように、感染の入口は本社ではなく周辺拠点になり得ます。地政学リスクが高い地域では、USBの利用禁止だけでなく、代替手段として暗号化されたファイル転送、管理端末、現地教育をセットで設計する必要があります。

組織が今すぐ点検すべきUSB運用

格安USBの容量偽装は、データ消失を起こす品質問題であると同時に、調達網の不透明さを映すサイバーセキュリティ問題です。表示容量、外見、販売ページのレビューだけでは、実容量、内部部品の来歴、ファームウェアの安全性は分かりません。特に防衛、官公庁、研究開発、重要インフラでは、USBを消耗品として扱う文化から抜け出す必要があります。

まず、組織内にあるUSB媒体を棚卸しし、未登録品を廃棄または隔離します。次に、新規調達品には全領域容量テストとマルウェア検査を義務付けます。さらに、業務端末では許可済みデバイスだけを接続できるようにし、外部から持ち込まれた媒体は隔離端末で扱う運用に変えます。これらは高価な先端対策ではなく、物理媒体を使う組織の基本動作です。

USBの利便性は今後も残ります。災害時、閉域網、海外拠点、工場設備では、完全廃止が難しい場面もあります。だからこそ、禁止だけでなく、正規調達、検査、記録、許可リスト化、教育を組み合わせることが現実的です。安さで選んだ小さな媒体が、組織の情報管理と安全保障上の信頼を崩す入口にならないよう、今日の調達台帳から見直すべきです。

参考資料:

• f3 - Fight Flash Fraud
• H2testw 1.4（heise Download）
• ValiDrive（Gibson Research Corporation）
• In Search of Lost Data: A Study of Flash Sanitization Practices
• Chinese Spies Infected Dozens of Networks With Thumb Drive Malware（Wired）
• FBI: Hackers use BadUSB to target defense firms with ransomware（BleepingComputer）
• Under Worm Assault, Military Bans Disks, USB Drives（Wired）
• NIST SP 800-53 Rev. 5
• MAGNETO: Fingerprinting USB Flash Drives via Unintentional Magnetic Emissions
• FirmUSB: Vetting USB Device Firmware using Domain Informed Symbolic Execution
• USBCaptchaIn: Preventing Attacks from Promiscuously Used USB Devices in Industrial Control Systems
• USBIPS Framework: Protecting Hosts from Malicious USB Peripherals
• Interdiction in Practice — Hardware Trojan Against a High-Security USB Flash Drive