自衛隊USB事件から学ぶ「遮断の突破」―エアギャップを破る外国サイバー攻撃の手口と対策【2026年最新】

自衛隊USB事件から学ぶ「遮断の突破」―エアギャップを破る外国サイバー攻撃の手口と対策【2026年最新】

2026年6月25日、日本経済新聞の調査報道により、陸上自衛隊の機密システムに中国系ウイルス付きUSBメモリーが約1年間接続されていた事実が明らかになりました。インターネットから物理的に遮断されたはずのシステムが、手のひらに乗る小さなUSB一本で侵入を許してしまったのです。

本記事では、この事件を事例として「外部からの遮断をどう突破されるのか」を解説します。エアギャップ（物理的隔離）の仕組み、USBサプライチェーン攻撃の手口、過去のStuxnet事例との共通点、そして個人・企業・国家がとるべき対策までをわかりやすくまとめました。

1. 事件の全体像：何が起きたのか

陸上自衛隊中部方面総監部での発覚

2026年6月25日、日本経済新聞が陸上自衛隊の内部文書を入手して報じたところによると、陸上自衛隊中部方面総監部（兵庫県伊丹市）で、中国系ウイルスに感染したUSBメモリーが機密システムの端末で約1年間使い続けられていました。

発覚のきっかけは、2025年2月に一人の隊員が「パソコンの動作が妙に遅い」ことに気づいたことでした。高度なセキュリティ監視システムが警報を鳴らしたわけでも、専門の防護部隊が検知したわけでもありません。ごくありふれた違和感から、事案が明るみに出たのです。

被害の規模

調査の結果、以下の事実が明らかになりました：

• 感染したUSBは計6本（8本中6本に同じウイルスを検出）
• 総監部内の約480台のパソコンのうち、50台以上に感染USBが接続されていた
• その接続先の半数近くが、極秘情報を扱う「クローズ系」（インターネットから物理的に遮断されたシステム）だった
• 使用期間は約1年間（2024年3月ごろ〜2025年2月）

毎日新聞の報道によると、尾崎正直官房副長官は25日の記者会見で「情報の窃取や接続したシステムへのマルウエアの拡散は確認されておらず、陸自のシステムへの影響はなかった」と説明しています。しかし、「影響はなかった」という判断と「攻撃者にその能力や機会がなかった」という事実は別の問題です。1年という時間は、攻撃者が情報を物色し、価値あるデータを選別し、外部へ持ち出す手段を整えるには十分すぎる長さでした。

2. 背景・課題：エアギャップとは何か、なぜ破られたのか

エアギャップ（物理的隔離）の基本

エアギャップ（Air Gap）とは、文字通り「空気の隙間」を意味するセキュリティ用語です。重要なシステムやネットワークを外部のネットワーク（特にインターネット）から物理的に切り離すことで、不正アクセスやマルウェアの侵入を防ぐ手法を指します。

通信経路そのものが存在しないため、外部からのネットワーク経由の攻撃は技術的に成立しません。軍事、政府機関、金融機関、重要インフラなど、高い機密性が求められる分野で標準的に採用されています。

なぜエアギャップはUSBで破られるのか

ALSOKの解説によると、エアギャップには技術では解決できない弱点が存在します。最大の弱点は人的要因です。システムが物理的に分離されているため、人間がデータを入出力する必要があり、その過程でUSBメディアが必ず介在します。

自衛隊のケースでは、以下の3つのチェックがすべて機能しませんでした：

陸自幹部は2026年5月の取材に対し「多重チェック体制が機能しなかった」と認めています。最も基本的な防御設定が、誰の判断で、いつ、なぜ無効化されていたのかが組織自身にも分かっていないのです。これはセキュリティの世界で「設定のドリフト」と呼ばれる現象——時間とともに安全設定が少しずつ緩み、誰も気づかないまま危険な状態が常態化する——の典型例です。

侵入経路は「能登半島地震」だった

偽装USBが自衛隊に入り込んだ経路は、多くの人にとって意外なものでした。内部文書に基づく詳細分析によると、きっかけは2024年1月の能登半島地震の災害派遣でした。中部方面総監部は2024年3月、石川県からUSBメモリーを受け取りました。被災地でのデータ共有という、人命にかかわる緊急の現場で、USBが手渡しされたのです。

大規模災害の現場では、被害状況の地図、避難所のリスト、物資の在庫情報など、膨大なデータを行政機関と自衛隊が即座に共有する必要があります。平時のような厳格な調達手続きやウイルスチェックを踏む余裕は乏しく、「とにかく今、データを渡さなければならない」という切迫感が安全確認の優先順位を下げてしまいました。

さらに、USBを渡したとされる石川県は日経の取材に対し「USBを調達した事実や購入費を支払った記録は確認できなかった」と回答しています。誰がそのUSBを用意し、どういう経路で現場に持ち込んだのか、その出所は依然として不明です。

3. 外国のサイバー攻撃者が使う「遮断突破」の4つの手口

エアギャップで守られたシステムに対し、外国の攻撃者はどのように侵入を試みるのでしょうか。自衛隊USB事件と過去の事例から、主な4つの手口を整理します。

手口1：USBサプライチェーン攻撃（今回の事件で使用）

今回の事件で使われたのがこの手法です。攻撃者は特定の組織をピンポイントで狙うのではなく、偽装USBをネット通販（Amazon、楽天市場など）を通じて大量に流通させます。汚染された数千・数万本のうち、ほんの数本でも価値ある組織にたどり着けば攻撃は成功です。

攻撃者は「どこに届くか」を正確に狙う必要すらありません。網を広く、安く張れば張るほど、当たりを引く確率が上がります。守る側は無数に流入する製品の一つひとつを疑わなければならず、攻撃する側はそのうちの1本が刺さればよい——この非対称性こそが、現代のサイバー脅威の本質です。

日経新聞の後続報道によると、同種の偽装USBは自衛隊以外にもネット通販・工場・研究所など社会全体に拡散しており、日米で少なくとも25件のウイルス混入疑いが報告されています。

手口2：自動実行（AutoRun）悪型攻撃

USBをパソコンに差し込んだ瞬間にウイルスが実行される手法です。パソコンが新しい機器を自動的に認識して動作させる「自動実行（AutoRun）」の仕組みを悪用します。利用者はファイルをダブルクリックして開く必要すらありません。USBを物理的に接続するという、ごく当たり前の動作だけで悪意あるプログラムが起動してしまいます。

別の手法として、USB機器が自分を「キーボード」のように偽装して命令を送り込む「BadUSB攻撃」もあります。パソコンはUSBを記憶媒体ではなくキーボードとして認識するため、任意のコマンドが実行されてしまいます。

手口3：内部犯・ソーシャルエンジニアリング

エアギャップ環境では、システム管理者やオペレーターが特権的な位置に置かれます。こうした人物が悪意を持った場合、外部からの監視が難しいため不正行為の発見が遅れます。また、権限を持つ人物への標的型ソーシャルエンジニアリング（だまし取り）が成功しやすくなります。

「このUSBを差し込んでください」という直接的な依頼だけでなく、「このUSBに入った資料を確認してください」という一見無害な依頼も、攻撃の入り口になります。

手口4：災害・緊急時の「例外」を突く攻撃

今回の事件で最も教訓的な手口です。攻撃者は災害対応という「平時の手続きが緩む場面」を突いています。大規模災害の現場では、一刻を争う対応が求められ、厳格なセキュリティ手続きを踏む余裕が乏しくなります。その「余裕のなさ」こそが、攻撃者が狙う隙間です。

これは必ずしも攻撃者が能動的に災害を利用したことを意味しません。しかし、偽装USBを社会に広くばらまく手法では、災害現場のような「チェックが緩む環境」に汚染USBがたどり着く確率が相対的に高くなります。

4. 過去の事例：Stuxnet（スタックスネット）との共通点

エアギャップを突破した最も有名な事例が、2010年の「Stuxnet（スタックスネット）」攻撃です。

自衛隊USB事件とStuxnetには、以下の共通点があります：

Kasperskyの解説でも指摘されている通り、エアギャップで隔離されたシステムのセキュリティが盤石ではないことは今に始まったことではありません。サプライチェーン攻撃や内部関係者の買収、そして最も単純な「マルウェアに感染したUSBメモリを使用する攻撃」が、エアギャップ突破の定番手法となっています。

5. 解決策とメリット：個人・企業・国家の対策

個人レベルの対策

• 安価なUSBを買わない：相場から大きく外れた安価な大容量USBには容量偽装やウイルス混入のリスクがつきまといます。信頼できるメーカーの製品を信頼できる販売経路から購入する
• 出所不明のUSBを差し込まない：拾ったUSB、配られたUSB、もらいもののUSBには常に疑いの目を持つ
• 自動実行を無効化する：パソコンの設定でUSB挿入時の自動実行（AutoRun）をオフにする

企業・組織レベルの対策

• セキュリティソフトのスキャン対象からUSBを外さない：今回の最大の敗因はここにありました。スキャンに時間がかかるという理由で例外を作った瞬間、防御は崩れます
• 設定の定期点検：安全設定がいつのまにか緩められていないか、「設定のドリフト」を防ぐための定期的な棚卸しが欠かせません
• 調達と持ち込みの管理：組織に入ってくる物品がいつ・どこから・どういう経路で来たかを記録する。災害対応や緊急時ほど入り口の管理を意識する
• ホワイトリスト方式のUSB運用：事前登録されたUSBのみ使用を許可し、未登録のUSBは自動的にブロックする仕組みを導入する
• USBポートの物理的封鎖：最も確実な対策は、不要なUSBポートを物理的に塞ぐことです。グルーで固定する、ポートカバーを取り付けるなどの方法があります

国家レベルの対策

• サプライチェーン安全保障の強化：安価な海外製品が社会の隅々まで浸透する中、一つひとつの安全性を担保する仕組みを国として構築する。重要インフラや防衛にかかわる領域では調達製品の出所を厳しく確認する
• 能動的サイバー防御の実質化：2025年に成立した能動的サイバー防御関連法に基づき、官民が脅威情報を本当に共有し合える文化と仕組みを築く。今回の事案で自衛隊が公表しなかったことは、この理念と矛盾しています
• 失敗の公表文化の醸成：自らの組織で起きた失敗や被害こそ、率先して共有する文化が欠かせません。失敗を隠す組織が集まっても、社会全体の防御は強くなりません

6. 比較：主要なエアギャップ突破手法

7. 世界の対策：事件前から備えていた国々は何をしていたか

今回の自衛隊USB事件は、日本にとって「他人事ではない」警告でした。すでに欧米諸国は、サプライチェーンを経由した中国・ロシアなどの「外国敵対者」由来の製品・サービスへの依存をリスクとして捉え、法的・制度的な対策を進めてきていました。

アメリカ：ICTSサプライチェーン保護規則

2024年12月、米国商務省産業安全保障局（BIS）は「情報通信技術・サービス（ICTS）サプライチェーン保護」の最終規則を発表しました。ジェトロの報道によると、この規則は「外国の敵対者に所有、支配されている、またはその管轄・指示に従属する主体によって設計、開発、製造もしくは供給されたICTS」で、米国の国家安全保障やインフラに過度・容認できないリスクをもたらす取引に対し、調査や取引禁止、リスク軽減措置を指示できるものです。

「外国の敵対者」としては、中国、ロシア、北朝鮮、イラン、キューバ、ベネズエラの6つの主体が指定されています。2024年6月には、ロシアのカスペルスキー製品の販売・アップデート提供を禁止する決定が下され、2025年1月には中国・ロシアが関係するコネクテッドカーの輸入・販売を禁止する最終規則が発表されました。アメリカは、調達段階から「誰が作ったか」を問う、先制的なサプライチェーン管理をすでに実行に移しています。

英国・EU：5Gからハイリスクベンダー排除

BBCの報道によると、英国は2020年、政府通信本部（GCHQ）傘下の国家サイバーセキュリティセンター（NCSC）の調査を基に、中国・ファーウェイの5G設備の新規導入を禁止し、2027年末までの段階的排除を決定しました。2024年には保守党のNCSCが「ファーウェイ製品のセキュリティと信頼性においてさらに問題を抱える可能性がある」と警告し、排除を加速する方向で議論が進められています。

EUも2023年6月、ファーウェイとZTEを「他の5G事業者よりリスクが高い」として、域内通信ネットワークから段階的に排除するよう加盟国に要請しました（日経新聞報道）。スウェーデン、デンマーク、ポルトガルなど、複数の加盟国が追随しています。これらの動きは、通信インフラという「国家の神経」に外国製品を入れないという、サプライチェーン安全保障の具体例です。

チェコ：2018年からの早期警告

ジェトロの特集によると、チェコのサイバーセキュリティ当局（NUKIB）は2018年12月、ファーウェイとZTEについて、中国では企業に対して当局の情報活動への協力が義務付けられている点に懸念を示し、両社製品の使用を警告しました。これは、2026年の日本のUSB事件より約7年半前のことです。東欧諸国は、地理的・歴史的な経験から、サプライチェーン経由の影響力行使を早期に警戒してきました。

日本との対比：「使ってから気づく」構造

これらの国々の対策は、共通して「使う前に出所を問う」という発想です。それに対し、今回の日本の事案は、「中国製の偽装USBが安価で流通していることを知りながら、実際に自衛隊で使われて感染するまで公的な警告や調達管理が機能しなかった」という「使ってから気づく」構造でした。

日本も2025年に「能動的サイバー防御」関連法を成立させ、経済安全保障推進法に基づく重要物資の調達管理を進めています。しかし、法制度があっても、現場の調達や運用の隙間を埋める仕組みがなければ、自衛隊のような事件は再発します。世界各国が「誰が作ったか」「どこから来たか」を前提に政治判断する中で、日本の脆弱性が際立った形で示されたと言えるでしょう。

8. トレンド・最新情報

2025年に成立した「能動的サイバー防御」関連法により、日本はサイバー攻撃の被害を未然に防ぐための法整備を進めています。国家サイバー統括室（NCO）を司令塔とし、官民連携で脅威情報を共有する仕組みが構築されつつあります。

しかし、今回の自衛隊の事案は、その理念と現場の実態の間にまだ大きな溝があることを示しています。自衛隊は問題のUSBが社会に広く流通していることを認識していたにもかかわらず、事実を外部に公表していませんでした。もし発覚時点で警告が出ていれば、他の組織は警戒を強め、被害を未然に防げた可能性があります。

尾崎官房副長官は25日の会見で「能動的サイバー防御を導入する関連法に基づき、被害報告の迅速で的確な集約・分析などに努める」と強調しました。しかし、制度の掛け声だけでなく、現場で本当に機能させるには「失敗を隠さず、危険を率先して知らせる」文化の醸成が不可欠です。

また、小泉防衛相は25日の参院外交防衛委員会で「報道についてはしっかり確認したうえで必要な対応をとっていきたい」と答弁し、防衛省は感染USBの数、利用期間、ウイルスの種類などについて調査を続けています。

9. 基礎知識・用語集

10. まとめ

自衛隊USB事件が教えているのは、「物理的な遮断は万能ではない」という現実です。エアギャップは強力な防御手法ですが、USBという「橋」が存在する限り、その橋を渡ってくる攻撃を完全に防ぐことはできません。

重要なのは、ルールがあっても守られていなければ意味がないということです。立派な防御設計図があっても、現場でその設定が外されていれば、設計図はただの紙切れになります。便利さと安全のトレードオフをもう一度真剣に問い直す——それが、この事件が出発点として提示する課題です。

そしてもう一つ、忘れてはならないのは「失敗を隠さない文化」の重要性です。能動的サイバー防御を本気で機能させるのであれば、自らの組織で起きた失敗こそ、率先して共有する仕組みが必要です。今回の事案が社会に広く知られたのは、内部告発ではなく報道機関の調査でした。この構造そのものが、日本のサイバーセキュリティが直面する課題を象徴しています。