まずは、映画で登場するような手口を紹介しましょう。piyokango氏のブログ「piyolog」などで紹介されている、「USBメモリ」を利用した不正侵入の事例です。

図：piyokango氏のブログ「piyolog」より

　OSやブラウザの脆弱性に関しては、最近はアップデートが自動的に（ある程度強制的に）適用されることもあり、大きな問題はそれほど起きていません。特に製造業ではアップデートの適用が行えない場合も多いのですが、その場合でも「仮想パッチ」と呼ばれるような、ネットワーク側で脆弱性を攻撃する通信を食い止めることで、仮想的にパッチを適用したのと同じ状態にするというソリューションも多く登場しています。これらの対策を行うことにより、脆弱性対策やマルウェア対策としている組織も多いでしょう。

　とはいえ、これらはネットワークを通じて攻撃する脆弱性です。万が一マルウェアが何らかの方法でデバイスに保存され、それを明示的に実行された場合、もはやマルウェアと正常なプログラムとの違いは分からなくなってしまいます。

　今回紹介されているのは、あの「USBメモリ」を媒介としたものです。とはいえ、見た目は完全にUSBメモリではあるものの、厳密にはこれはUSBメモリではありません。立派な「USBデバイス」です。今回の攻撃は、実際に存在する家電量販店大手からの郵送物を装い、中に感謝の手紙とともに、ギフトカード相当のものがUSBメモリ風のデバイスに含まれている、と記されています。しかし実際には、USBデバイスは中にコントローラーが含まれ、仮想キーボードとして働きマルウェアをダウンロード、さらには実行までしっかり行うという攻撃ツールだったのです。

　騙されないためには、USBメモリのように見えても裏でさまざまな悪意ある行動をするツールである可能性があるということを知っておく必要があります。これはUSBコネクタから電源を取得するような扇風機などでも同じような攻撃が行える可能性があるので、見知らぬUSBデバイスは全て“つながない”という対応が必要です。USBメモリなら差し込んだ程度でなにも起きないと思い込んでいる、ある程度の中級者が陥りやすい罠（わな）かもしれません。