重要メッセージを装ったフィッシングメールやドライバの偽ダウンロードページなど、ランサムウェアの感染経路はさまざまだ。ランサムウェア自体が勝手にPCに侵入し感染させるケースは少なく、多くの場合、ユーザーの何らかの操作が感染のトリガーとなる。

　偽のメールやサイトにうっかりだまされてしまう「人間の脆弱（せいじゃく）性」とも言える部分に付け込む攻撃を「ソーシャルエンジニアリング」「ソーシャルハッキング」と呼ぶ。今回騒ぎとなっている手口もその類のものだ。

　2022年1月6日、アメリカ連邦捜査局（FBI）は警告文（セキュリティアラート）を発表した。それによると「2021年8月以降、アメリカの貨物業界や保険業界、防衛産業企業に向けて特殊なUSBデバイスが送りつけらている」という。

　FBIの警告では「USBデバイス」とされているが、日本ではいわゆる「USBメモリ」と呼ばれるものだ。普通郵便でビジネスユーザー宛てにUSBメモリが送り付けられるというのだ。

　突然、怪しいUSBメモリが送られてきたとしても、そうそうPCに差し込んで使ってみようとは思わない。しかし、人間の脆弱性を突く「ソーシャルエンジニアリング」を巧みに使った仕掛けというからタチが悪い。

　送り付けられたUSBメモリは、差出人が「アメリカ合衆国保健福祉省」となっていて、「新型コロナウイルス感染症対策のガイドラインが保存されています」という手紙が添えられている。役職や立場によっては「国からの指示ならファイルを読んだ方がいいだろう」と思ってしまう。

　Amazonのギフトパッケージが届くパターンもある。その中には感謝の手紙と偽のAmazonギフトカード、そしてUSBメモリが入っている。Amazonのパッケージで届けられた贈り物となれば心の警戒線は下がり、思わずUSBメモリをPCに接続してしまう人もいるだろう。

　しかし、接続したら終わりだ。そのUSBメモリを接続するとストレージではなく「キーボード」として認識され、PCに勝手なコマンドが入力される。この攻撃は「BadUSB攻撃」と呼ばれるもので、マルウェアやバックドアが勝手にダウンロード、実行される。あっという間に、そのPCはランサムウェアに感染するという具合だ。

　FBIによれば、2021年に猛威を振るった「BlackMatter」や「REvil」といったランサムウェアが使われているという。感染したPCの管理者権限を乗っ取り、社内ネットワークを介して他のPCやサーバへ感染を広げるタイプのマルウェアが含まれていることもあるそうだ。

　送り付けられてくるUSBメモリは「LilyGO」というブランド名が刻印されているため、同一のサイバー犯罪者たちによる攻撃ではないかと推測される。FBIの見立てによれば、ロシアのサイバー犯罪者集団「FIN7」による犯行だという。

　攻撃手法が「USBメモリを送り付ける」という単純なものではあるものの、人間の弱みに付け込んだ危険なサイバー攻撃だ。本稿公開時点では、日本国内での感染報告はないようだが、出自不明なUSBメモリはとにかく接続しないことを肝に銘じておこう。

上司X：　USBメモリが突然送り付けられてきてランサムウェアに感染するから注意してねという話だよ。

ブラックピット：　いやあ、油断にしても油断が過ぎるというものでしょう。身に覚えのないUSBメモリが送られてきたとして、僕は絶対に使いませんよ。

上司X：　ま、それが無難だろうな。ところで、今キミの手元にあるUSBメモリって、どこで手に入れたものなんだい？

ブラックピット：　あ、これですか。……えっと、どこでしょうねえ。買った記憶もないですし……いつの間にか手元にあった、みたいな？

上司X：　そりゃ油断だな。それはかつて俺が私物で持っていたUSBメモリだ。サイズ大きめのUSBメモリを手に入れたから、古いものをフォーマットしてキミのデスクにスッと置いておいたのさ。

ブラックピット：　「スッ」じゃないですよ！　何を勝手なことを……って確かに僕の油断ですね。せっかく頂いたので、社内じゃなくて自宅で使わせていただきます。

上司X：　はい、さらなる油断な（笑）。中身を精査せずに使うつもりか？　何か感染してたらどうするんだよ。USBメモリは貸し借りしたり中古品を使ったりするのは厳禁。

ブラックピット：　なんなんですかいったい！　人を陥れて楽しいですか！　まさにソーシャルエンジニアリングじゃないですか！

上司X：　まあまあ（笑）。それぐらいUSBメモリの扱いは危険ってことなんだよ。そもそもウチの会社だと社内での使用が禁止されてるぐらいだしな。ともかくだ、日本でも米国と同じ手口が広まるかもしれん。USBメモリ経由の感染にはいくら注意を払っても払い足りないぐらいだよ。気を付けような。