三重県、1万2357個のUSBを調査、私物は3789個 ずさんな管理から何を学ぶ？：47個からマルウェア検出

三重県が庁内のUSBメモリ1万2357個を調査したところ、3789個もの私物が見つかった。マルウェアが検出されたのは47個だが、今回浮かび上がったのは別の問題だ。開発現場にも潜む「管理外のデバイス」をどう考えるべきか。

[田渕聖人，＠IT]

　三重県は2026年8月22日、庁内で使用するUSBメモリの調査結果を取りまとめた最終報告を公表した。陸上自衛隊で使用していたUSBメモリからマルウェアが確認されたことを受け、同県が庁内のUSBメモリを対象に調査していたものだ。

　最終的に確認されたUSBメモリは1万2357個。このうち47個からマルウェアが検出された。ただし、2026年7月7日の公表以降、新たに検出されたUSBメモリはなく、マルウェアによる感染や情報漏えいなどの被害も確認されていない。

　今回、特に目を引くのが「私物USBメモリ」の存在だ。県が確認した私物USBメモリは3789個で、そのうち14個からマルウェアが検出されていた。いずれも7月の調査結果から増加はなかった。

見つかった野良USBは“3789個”　開発者が人ごとだと思って笑えないワケ

　三重県は今回の最終報告を受け、私物USBメモリの全面禁止を公表した。2026年8月21日までに私物USBメモリを全廃し、同年10月1日からは業務で利用する全てのUSBメモリを管理台帳で管理する。また、私物利用の禁止や台帳管理を明確化したセキュリティポリシーも同日から施行する予定だ。

　今回の事案では、USBメモリ47個からマルウェアが検出されたことに目が向きやすい。しかし、今回の事案で見逃せないのは「どのUSBメモリが組織に存在し、誰が、何の目的で、どの端末に接続したのか」を把握できる状態だったのかどうかという点だ。

　2026年7月の同県の調査では、マルウェアが混入した経緯について、過去に保存したメールデータから検出されたものが29個、外部端末で使用した際に混入したものが18個とされていた。つまり、USBメモリは単なるデータ搬送手段ではない。異なる環境の間をデータが行き来する際に、マルウェアなどの脅威まで持ち運ぶ経路になり得る。

　これは開発現場にも通じる。USBメモリに限らず、個人所有のPCや外部ストレージ、未承認のSaaSや開発ツールなど、IT部門が把握できない「野良デバイス・野良サービス」が増えれば、どれだけセキュリティポリシーを定めても、管理対象から漏れた経路を完全に統制するのは難しい。

　ただ、開発者やIT担当者が今回の事案から学ぶべきなのは「USBメモリを禁止しよう」という単純な話ではない。

　重要なのは、組織のセキュリティ境界に「誰が使っているのか分からないもの」を置かないことだ。そのためには、何が存在するのかを把握し、利用者や用途、接続先を管理できる状態にしておく必要がある。

　例えば開発環境なら、USBメモリだけでなく、個人PCからのコード持ち込み、私物ストレージへの成果物コピー、未承認のAIサービスへのソースコード投入なども同じ問題として考えられる。本人に悪意がなくても、管理外の経路が一つ存在するだけで、セキュリティポリシーの外側にデータが出てしまう。

　三重県では、1万2357個という規模を調査したことで、3789個もの私物USBメモリが存在していたことが明らかになった。これは「マルウェアを見つけた」という話以上に、組織が何を保有しているのかを把握すること自体がセキュリティ対策になることを示している。

　開発現場でも、まず「自社には何が接続できるのか」「誰が使えるのか」「どこから持ち込まれるのか」を棚卸しする必要がある。そして、把握した資産について利用者や用途を明確にし、不要な接続経路を減らしていくことが、現実的な防御の第一歩になるだろう。