物理攻撃とデジタルの融合「USBドロップ＆HIDラバーダッキー」

背景と概要

ネットワーク境界の防御が強固になった結果、攻撃者が「物理的に標的のオフィスへ接近する」アナログな手口が見直されています。オフィスの敷地内や最寄り駅、喫煙所などに悪質なUSBメモリを落ちているように見せかけ、拾った従業員にPC接続させる「USBドロップ攻撃」がその代表例です。

高度化する物理デバイス型攻撃ツール

単にウイルス入りのファイルをUSBに入れておく方式から、ハードウェア自体を改造した攻撃ツールへと進化しています。

1. HID（Human Interface Device）攻撃ツール（Rubber Duckyなど）

　外見は普通のUSBメモリですが、PCに挿すとシステムからは「キーボード（入力機器）」として認識されます。これにより、セキュリティソフトのチェックをかいくぐり、人間には不可能な超高速で管理者コマンドを入力・自動実行します。

2. 悪質な充電ケーブル（O.MG Cableなど）

　見た目はごく普通のLightningやUSB-Cケーブルでありながら、内部にWi-Fiチップとマイコンが埋め込まれており、接続したPCへ外部からリモートでコマンドを送信・操作できます。

3. 心理的隙を突くラベル表示

　「給与データ」「役員会議議事録」などのラベルを貼ることで、拾った人物の好奇心を刺激して開封・接続させます。

オフィス環境でのセキュリティ対策

物理セキュリティとエンドポイントの制限を組み合わせます。

1. 不明なデバイス接続の「技術的ブロック」

　社内PCで許可されたUSBデバイス（MACアドレスやベンダーID指定）以外は接続しても機能しないよう、デバイス制限ポリシー（EDRやグループポリシー）を設定します。

2. 物理的な外部ポートの封印・管理

　受付や来客スペースの端末、未利用のPCポートに対して物理ロックを設けます。

3. 従業員への徹底した「拾得物ルール」の周知

　「拾った外部ストレージは絶対に自分のPCに挿さず、総務・セキュリティ部署へ提出する」という基本ルールを再徹底します。

実務で深掘りしたい確認点

拾得USB、充電ケーブルを装うHID、会議室や受付の共用端末をひとまとまりの管理対象として捉えます。接続直後のキー入力、PowerShell起動、新規デバイス認識、未知のストレージ利用を監視します。 単発の警告だけで判断せず、利用者・端末・時刻・変更履歴を関連付けると、通常業務との違いを説明しやすくなります。

発見時の初動と影響確認

取り外すだけでなく端末を隔離し、実行履歴と接続時刻を保全して認証情報の変更を検討します。 復旧を急ぐ場合も、後から原因と影響範囲を説明できるよう、時刻、担当者、実施した操作、保全した証拠を残します。外部への通知や専門家への相談が必要かも、扱うデータと業務影響から判断します。

継続運用へ落とし込む方法

USB制御ポリシー、貸出媒体、データ受け渡し手段を用意し、拾得物は担当部署へ渡します。 導入時だけで終わらせず、例外件数、検知から対応までの時間、再発、利用者からの相談を定期的に確認します。訓練や実際の対応で見つかった手順の曖昧さを更新し、責任者不在時にも動ける状態を維持します。