陸上自衛隊のUSBマルウェア事案｜問題は「ルールが無かったこと」ではない

2026年6月26日、陸上幕僚監部が、陸上自衛隊中部方面総監部（兵庫県伊丹市）で使用されていたUSBメモリからマルウェアが検知されていたことを公表しました。

この事案は、中小企業にとっても示唆に富んでいます。ただし、報じられ方によっては誤解されやすい部分があるため、公表されている内容を正確に押さえるところから始めます。

問題のUSBメモリは2024年4月以降に同総監部で使用されており、2025年2月にマルウェアが含まれていることが判明しました。

検知されたマルウェアについて、防衛省は、自己増殖する性質を持つタイプであり、主流となっている情報窃取型のマルウェアとは性質が異なると説明しています。起動しなければ自己増殖せず、感染したPCから外部へ情報を送信する機能も、外部から情報を窃取する機能も確認されていません。

そして、USBメモリを接続したシステム内で感染が拡大した形跡はなく、陸上自衛隊のシステムへの影響や外部への情報流出は確認されていないとしています。

つまり、「機密情報が盗まれた事案」ではありません。ここは正確に理解しておく必要があります。

防衛省・自衛隊が問題視したのは、マルウェアそのものよりも運用でした。

防衛省・自衛隊では、USBメモリを使用する際には例外なくウイルスチェックを実施し、安全性を確認することを定めています。 調達の際にも、サプライチェーンリスクを踏まえて安全性を確認する運用としています。

それらのルールが、徹底されていなかった。

これがこの事案の核心です。ルールが無かったのではありません。あったのに守られていなかった。しかも、決して意識の低い組織で起きたことではない、という点が重い。

規程を作ることと、それが守られることは、まったく別の問題です。

セキュリティの体制整備を進めると、多くの企業が「規程を作った」段階で一区切りついたように感じます。しかし、実務の側に無理があれば、規程は静かに形骸化します。ルールを作る作業と同じくらい、それが日常業務の中で守られる形になっているかを点検する作業が要ります。

当社が「代行」ではなく「伴走」で支援しているのは、この理由によります。

そのうえで、USBについて具体的に押さえるべき点を挙げます。

1. 出所の分からないUSBを使わない

もらい物、拾い物はもちろんですが、通販サイトで購入した安価な製品にも注意が必要です。 表示された容量と実際の容量が異なる粗悪品や、不審なソフトウェアが仕込まれた製品が流通しているという報告があります。業務用のUSBは、調達元を決めておくのが確実です。

2. 自動再生をOFFにする

USBを挿した瞬間にプログラムが動く設定は、無効にしておきます。Windowsでは［設定］→［Bluetoothとデバイス］→［自動再生］から変更できます。

3. 接続したら、まずウイルススキャン

エクスプローラーでドライブを右クリックし、スキャンを実行する。この一手間を習慣にしてください。

4. 「誰がいつ何を挿したか」を残す

デバイス制御やログの取得ができる仕組みを入れておくと、事故が起きたときに範囲を特定できます。逆に記録がなければ、被害の有無すら判断できません。 今回の事案でも、経緯の解明に時間を要しています。

USBメモリは、インターネットに接続していない環境であっても、マルウェアの侵入経路になり得ます。ネットワーク側の対策をいくら固めても、この経路は塞がりません。

便利な道具としてではなく、管理対象の資産として扱う。 そのためには、まず自社に何台のPCがあり、どこで何が使われているかを把握するところからになります。

出典