2022年6月23日、尼崎市は市民の個人情報を含む「USBメモリ」を紛失したことを発表しました。多くの報道があったのでご存じかと思いますが、発表があった翌日の24日にはこのUSBメモリは発見されており、現時点では情報が外部に漏れたということは報告されていません。現在尼崎市は「尼崎市USBメモリー紛失事案調査委員会」を立ち上げ、今後の再発防止策を審議する予定です。

図　尼崎市ではいまも重要なお知らせにてこの事件への注意喚起を行っている

　この事件は多くの学びがあります。そもそも、USBメモリ紛失に至るまでにはざっくりと分かるだけでも下記のようなポイントがあり、セキュリティのリテラシのある皆さんから見れば「これ、オンライン研修で出てきたやつだ！」と思うかもしれません。

• そもそも禁止されていた再委託が行われており、情報を取り扱う権限がなかった
• データ処理の許可は得ていたものの、そもそもUSBメモリに入れて個人情報データを運搬する許可は得ていなかった
• 個人情報を記録したUSBメモリを個人で事業所外に持ち出した
• データ移管作業後、速やかにデータを消去しなかった
• データを保管したUSBメモリを所持したまま、飲食店に立ち寄り飲酒をした
• USBメモリが入ったカバンを紛失した

　実はこれ以外にも、尼崎市の記者会見でパスワード文字列の長さが13文字であることを公表してしまうという、少々珍しいミスもありました（パスワード文字数は重要なヒントになり得ます）。しかし、TechFactory的に気にすべきポイントはやはり「USBメモリ」であると思います。

　USBメモリとは、PCのUSBコネクタに接続し情報を保存できる、可搬性のあるストレージデバイスです。USBメモリはびっくりするくらい小さくなり、しかも安価であるために一時期はノベルティとして無料で配ることも多かったと思います。しかしその手軽に使えることがサイバー攻撃者にも悪用され、USBメモリを介してマルウェアが伝搬する可能性がゼロではありません。

　かつて、有名な店舗の名前をかたり、USBメモリが無作為に郵送されるということがありました。そのUSBメモリにはマルウェアが含まれ、仮想キーボードとして登録され不正な挙動を行うということもありました。非常に便利なデバイスである一方、仕事で使うにはやや危険な面もあるというのが、今のUSBメモリの認識です。