【2026年】USBセキュリティ（BadUSB/Rubber Ducky）｜脅威と防御策

このスクリプト記述言語は「DuckyScript」と呼ばれます。初心者にも理解しやすい命令セットで構成されており、複雑な論理処理が可能となっています。例えば、「DELAY 100」は 100 ミリ秒待機するコマンドであり、「STRING Hello World」は指定された文字列を入力させるコマンドです。「META r」は Windows では Win キーを押すことを意味し、これによって開始メニューを起動できます。DuckyScript の構文は、セキュリティ研究者や Red Team 向けのテストツールとして標準化されており、2025 年時点ではバージョン 3.1 が主流となっていますが、互換性のある互換品も多数存在します。

具体的なスクリプト例を見てみましょう。以下のようなコードが Rubber Ducky に書き込まれている場合、接続した瞬間に以下の動作が発生します。

DELAY 2000
GUI r
DELAY 500
STRING cmd.exe
ENTER
STRING net user hacker Password123 /add
ENTER
STRING net localgroup administrators hacker /add
ENTER

このスクリプトは、接続後 2 秒待機し、コマンドプロンプトを起動します。その後、ユーザー名「hacker」のパスワードを「Password123」として設定し、そのアカウントを管理者グループに追加するものです。これにより、攻撃者は次回以降も常時アクセス可能な状態を構築できます。この種の攻撃は、セキュリティソフトがプロセス起動を監視している場合でも、システム管理権限を持つスクリプトとして実行されるため、検知されないケースが多々あります。

Rubber Ducky の物理的な構造も重要です。筐体には USB-A コネクタが搭載されており、LED ライトが点灯して動作中であることを示すものもあります。しかし、最新のモデルではこの LED を無効化できるスイッチも備えられています。内部のメモリ容量は 10KB から 32KB の範囲で、スクリプトの長さに応じて選択されます。また、電源供給は USB ポートから取得するプルアップ抵抗によるもので、特別な電源回路は不要です。この簡素さが、実用性と隠蔽性を高めています。

防御策としては、Rubber Ducky 自体を物理的に発見することが最も確実ですが、内部のチップやファームウェアを確認するのは困難です。OS レベルでの対策として、USB 接続時に自動的にコマンドが実行されるのを防ぐ設定を行う必要があります。Windows のグループポリシーでは、「自動再生」を無効化し、特定のデバイスドライバーのインストールを制限する設定が可能です。また、Linux では「UDEV ルール」や「USBGuard」を用いて、許可されたデバイス以外を物理的に切断または論理的にブロックすることが可能です。2026 年には、AI を搭載した USB ポート監視チップも一部で実用化されており、異常な入力速度を検知して接続を遮断する機能の実装が進んでいます。

隠れた脅威：O.MG Cable の Wi-Fi 経由リモート攻撃

USB キーボードやフラッシュドライブとは異なり、ケーブルそのものが攻撃デバイスとなるケースもあります。「O.MG Cable」はその典型例であり、見た目は何も変わらない通常の USB ケーブルですが、内部に通信モジュールと制御チップが埋め込まれています。このデバイスは、2016 年に Hak5 によって発表され、以降も改訂版がリリースされています。O.MG Cable の恐ろしい点は、接続された PC が Wi-Fi モジュールを認識し、無線ネットワーク経由で外部と通信できる点です。

O.MG Cable は、USB コネクタの内部に CH372 や ESP8266 などのマイクロコントローラーと Wi-Fi チップを組み込んでいます。これにより、PC に接続するだけで、あたかも通常の充電ケーブルやデータ転送ケーブルとして認識されます。しかし、実はその背後でファームウェアが動作し、外部の攻撃者からの指令を受信する待機状態となります。攻撃者は Web ブラウザから特定の IP アドレスにアクセスすることで、O.MG Cable を経由してターゲット PC に対してコマンドを実行できます。

このデバイスが利用する通信経路は、PC の Wi-Fi モジュールを経由します。つまり、PC は通常通りインターネット接続が可能であり、セキュリティソフトも「ネットワーク通信」として正常と判断するため、異常を検知しにくいです。さらに、O.MG Cable 自体にはスイッチや LED ライトがないため、物理的に確認しても動作中であることに気づきません。2025 年現在の調査では、この種のケーブルが闇市場で流通しており、価格も 3,000 円から 10,000 円程度で購入可能です。

攻撃の手順は以下の通りです。まず、O.MG Cable をターゲット PC に接続します。PC の OS はデバイスを認識し、新しいネットワークデバイスとして Wi-Fi モジュールを初期化します。内部のファームウェアが起動すると、指定された SSID（無線 LAN 名）に自動で接続を試みます。攻撃者がその SSID に接続すると、Web ベースのコマンドラインインターフェースが表示されます。ここから任意のコマンドを入力することで、PC を制御できます。この通信は暗号化されており、通常のパケットスニッフィングでは検知が困難です。

O.MG Cable のリスクを軽減するには、USB 接続時のネットワーク設定を確認することが重要です。ただし、標準の OS では USB デバイスが追加された際に自動的に Wi-Fi モジュールが起動するかどうかは不明確なため、完全な防御にはなりません。組織レベルでの対策としては、物理的なアクセス制限と、USB ポートへのロック装置の使用が推奨されます。また、ネットワークセグメンテーションにより、内部ネットワークへの接続を許可しない設定も有効です。

2026 年時点では、次世代の USB デバイス識別技術が導入されつつあります。これは、デバイスの電気的特性（インピーダンスなど）や通信プロトコルの挙動を分析し、通常のケーブルとは異なる動作を検知するものです。しかし、まだ完全に普及しているわけではありません。ユーザー自身が「USB ケーブルは常に信頼できない」という前提で扱うことが重要です。特に公共の場所では、充電用 USB ポートへの接続は避け、自分の持ち物を使った充電を行う習慣が求められます。

物理的破壊：USB Kill V4 とサージプロテクションの役割

USB Kill は、BadUSB や遠隔操作とは異なるアプローチを取るデバイスです。これは「物理的な攻撃」に分類され、PC のハードウェアを損傷させることを目的としています。特に「USBKill V4」と呼ばれるデバイスは、USB ポートに接続された瞬間に高電圧パルスを印加し、マザーボードや USB コントローラーを焼き切るように設計されています。このデバイスの存在は、セキュリティ脅威としてだけでなく、物理的な破壊行為の手段としても知られています。

USBKill V4 の動作原理は、内部のコンデンサへの充電と放電にあります。USB ポートから 5V の電源が供給されると、デバイス内の回路がこれを蓄積し、短時間で数千ボルトの電圧に変換します。この高電圧パルスは USB データラインだけでなく、電源ラインにも印加されます。その結果、PC の USB コントローラー IC が破壊され、マザーボード全体に損傷が及ぶ可能性があります。この攻撃は、ファームウェアや OS のセキュリティ対策では防ぐことができません。物理的なハードウェア破壊であるためです。

USBKill V4 は、主にハッカーのテスト環境や、重要な機密情報を保持するシステムの破壊用として使用されることがあります。また、悪意のある第三者が物理的に PC にアクセスした際にも使用可能です。このデバイスの特徴は、サイズが小さく、通常の USB メモリと見分けが付かない点です。筐体には LED ライトがあり、充電状態や動作中を示しますが、これを無効化できるスイッチも搭載されています。

物理的な破壊攻撃に対する防御策として重要なのが、「サージプロテクション」と「光学絶縁」です。USB ポートに挿入した瞬間に電圧が異常に上昇した場合、切断する回路を設けることが可能です。しかし、市販の USB サージプロテクトデバイスは、通常の過電流保護（短絡防止）と高電圧パルスの防御は別物であるため注意が必要です。2025 年現在では、USB-C PD（Power Delivery）規格に対応した高度な保護チップも登場していますが、USBKill V4 のような意図的な破壊行為に対する完全な対策はまだ開発途上です。

光学絶縁（オプトカプラー）を利用する手法が有効です。これは、電気信号を光信号に変換して伝送するため、直接的な電圧の伝播を防ぎます。外部から接続された USB デバイスと PC の内部回路を物理的に電気的に切り離すため、高電圧パルスやスパイクの影響を受けません。この技術は医療機器や産業用制御システムで採用されていますが、一般向けの PC 周辺機器にはまだ普及していません。

個人レベルでは、不審な USB デバイスを接続しないことが最善の対策です。また、重要なデータが含まれている PC に対しては、USB ポートを物理的に塞ぐためのカバーを使用することも検討すべきです。2026 年のトレンドとして、USB-C コネクタに内部センサーを搭載し、異常な電圧を検知すると自動的にコネクターを切断する「ハードウェアベースの保護機能」が一部の高価なマザーボードで採用され始めています。しかし、全ての PC に標準装備されるわけではないため、ユーザー自身がリスク管理を行う必要があります。

Linux 環境での防御：USBGuard の実装とポリシー設定

Linux システムにおいて USB デバイスの管理を強化する代表的なツールに「USBGuard」があります。これは、カーネルレベルで USB デバイス接続を検知し、許可リストまたは拒否リストに基づいて動作を制御するセキュリティフレームワークです。Windows にはグループポリシーやレジストリによる管理がありますが、Linux ではこのように専用ソフトウェアを使用して柔軟な制御が可能です。

USBGuard の仕組みは、デバイスが接続された瞬間にそのデバイスの固有属性（Vendor ID, Product ID, Serial Number など）を識別します。これに基づいて、事前に定義したポリシーに従って「許可」「拒否」「待機状態」のいずれかを決定します。例えば、特定の USB メモリしか接続しない環境では、それ以外のデバイスが挿入された瞬間に自動的に切断されます。これは、BadUSB 攻撃に対する強力な防御策となります。

実装方法は、パッケージマネージャーを使用してインストールし、サービスとして起動します。Debian/U[bun](/glossary/bun-runtime)tu ベースのシステムであれば apt install usbguard、CentOS/RHEL では yum install usb-guard で導入可能です。その後、初期設定を行うために usbguard generate-policy コマンドを実行すると、現在接続されているデバイスに基づいた基本ポリシーが生成されます。このファイルを編集し、必要なルールを追加して保存します。

# 例：USBGuard ルールファイルの設定
allow id=0x534d:0x1234;   # ユーザー指定の USB メモリを許可
deny all;                 # その他すべて拒否
block-on-connect;         # 接続時に自動的にブロック

この設定により、許可されたデバイス以外が挿入された瞬間に物理的な切断や論理的な無効化が行われます。2025 年時点で、USBGuard は多くのディストリビューションで標準サポートされており、セキュリティ強化版の Linux ディストリビューション（例：Qubes OS や Tails）でも採用されています。

ただし、USBGuard の設定には注意が必要です。誤ってシステムに必須な USB デバイス（キーボードやマウスなど）を拒否すると、システム操作が困難になります。そのため、初期化時には十分なテストが必要となります。また、USBGuard はカーネルモジュールとして動作するため、システムの再起動時に自動的にロードされるように設定する必要があります。

組織環境では、USBGuard のポリシーを中央管理サーバーから一括配信することが可能です。これにより、全社内の Linux サーバーやワークステーションに対して一貫した USB 制御ポリシーを適用できます。また、USBGuard はログ機能も備えており、不審な接続試行が発生した場合にアラートを発令することができます。このログは SIEM システムと連携し、インシデント対応のトリガーとしても活用されます。

2026 年現在では、USBGuard の拡張版として AI を組み込んだプロアクティブ防御機能の研究が進んでいます。これは、デバイスの接続パターンを学習し、通常とは異なる動作を検知した際に自動的にブロックする仕組みです。まだ一般化はしていませんが、将来的には標準的なセキュリティ対策の一部となる可能性があります。

Windows 環境での対策：Device Guard とグループポリシー運用

Windows OS においては、Microsoft が提供する「Windows Defender Device Guard」と「グループポリシー」を組み合わせることで、USB デバイスの制御を実現できます。特に Enterprise エディションでは、高度なデバイス制御機能を利用可能です。これにより、組織内において特定の USB デバイスしか利用できない環境を構築することができます。

Device Guard の主な役割は、コード実行の許可リスト管理とハードウェアベースのセキュリティ機能の実装です。USB デバイスに関連する設定としては、「デバイスのインストール制限」が特に重要です。これは、特定の USB ベンダー ID（VID）やプロダクト ID（PID）を持つデバイスへのドライバーインストールをブロックする機能です。

グループポリシーエディタを使用して設定を行う場合、以下のパスにアクセスします。「コンピューターの構成」→「管理用テンプレート」→「システム」→「デバイス インストール」→「デバイス インストールの制限」。ここでは、「特定のデバイスタイプへのインストールを禁止する」といった項目が見つかります。また、レジストリキー HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Device Install Restrictions を直接編集することで、より詳細な制御が可能です。

具体的には、USB メモリの使用を許可し、USB 接続可能なハードディスクやネットワークアダプターは禁止するといった設定が可能です。例えば、以下のレジストリ値を設定します。

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Device Install Restrictions\Key]
"PolicyID"="USB-Storage-Restriction"
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Device Install Restrictions\Key\AllowInstallPIDs]
"1"="0x8086;0x27D9"  # Intel の USB デバイスを許可

また、BitLocker との連携も重要です。USB メモリを暗号化して使用する場合、BitLocker for Removable Drives を有効にすることで、紛失時の情報漏洩リスクを低減できます。ただし、これだけでは BadUSB からの攻撃は防げないため、組み合わせが必須です。

2025 年以降の Windows 11 環境では、「Windows Hello」や「TPM 2.0」と連携したセキュリティ機能も強化されています。USB デバイス接続時に生体認証を要求するオプションも一部のデバイスで利用可能です。これにより、物理的な接触があったことを確認してから USB データへのアクセスを許可できます。

ただし、Group Policy の設定ミスはシステム障害の原因となるため、テスト環境での検証が不可欠です。また、管理者権限を持つアカウントが不正に操作された場合、ポリシー自体が書き換えられるリスクがあります。そのため、BitLocker や TPM を活用したシステム保護と併用して運用することが推奨されます。

個人レベルで実践できるセキュリティ強化ガイド

組織向けの高度な対策とは別に、一般ユーザーでもすぐに実行可能な個人レベルのセキュリティ強化策が存在します。最も基本的なのは「不審な USB デバイスの接続を禁止する」ことです。例えば、会議室に落ちている USB メモリや、イベント会場で配布された USB デザイン品は、必ずしも信頼できるものではありません。これらを拾った場合は、すぐにセキュリティ担当者へ報告し、使用しないようにします。

次に、「充電専用ケーブルの使用」が有効です。多くのUSB-C ケーブルや Micro-USB ケーブルには、データ転送機能が含まれています。しかし、一部のケーブルは「充電のみ」を目的として設計されており、データラインが切断されている場合があります。これらを利用することで、物理的にデータ通信を防ぐことができます。市場に出回っている製品としては、「Data Blocker」または「USB Condom」と呼ばれるアダプタがあります。これを PC 側の USB ポートに挿し、その先に充電ケーブルを接続します。

具体的には、以下の手順で対策を実行します。

1. 信頼できるメーカーの USB メモリを事前に購入しておく。
2. 公共の場所での充電は、自分の持ち物を使用する。
3. 不審な USB デバイスを見かけた場合は、即座に物理的に切断し、記録を残す。
4. OS の自動再生機能を無効化する。

OS の設定変更も重要です。Windows では「スタート」メニューの「検索」欄で「デバイス マネージャー」を開き、「USB Root Hub」のプロパティから「電源管理」タブで「このデバイスを切断する」を有効にします。これにより、接続後に自動的に検知される時間を短縮できます。また、Linux ユーザーは autorun 機能を無効化するスクリプトを実行することで、自動実行を防げます。

2026 年現在では、スマートフォンやタブレットでの USB 接続も増えています。そのため、モバイル端末の設定も確認する必要があります。Android や iOS では「USB データ転送」のオプションをデフォルトでオフにしておくことが推奨されます。特に Android の場合、「充電専用モード」が標準装備されているため、これを有効にすることで、PC に接続された際にデータ転送が行われないように設定できます。

また、物理的なロックも効果的です。USB ポートに鍵を取り付ける「ポートロックデバイス」や、ケーブル自体を固定する装置を使用します。これにより、第三者が USB デバイスを挿入することを物理的に防げます。ただし、これはユーザー自身がアクセスできる範囲での対策であり、外部からの侵入には限界があります。

組織向けセキュリティインフラ構築のポイント

企業や組織レベルでは、単一の PC に対する対策ではなく、ネットワーク全体としてのセキュリティインフラを構築する必要があります。「Network Access Control（NAC）」の導入がその一例です。これは、ネットワークに接続するデバイスの状態を検証し、許可されたデバイスのみを接続を承認するシステムです。USB デバイスについても同様で、組織内で使用が許可されていない USB メモリを挿入すると、PC 自体のネットワークアクセス権限を剥奪します。

また、「Air Gap（エアギャップ）」技術の利用も検討可能です。これは、重要なサーバーやデータベースを含むネットワークと、外部ネットワークを物理的に切り離す手法です。USB デバイスによるデータの持ち出しを防ぐため、USB ポートを完全に無効化するか、専用ポートを設けて厳格な管理を行います。例えば、軍事施設や研究機関ではこの方式が一般的に採用されています。

インシデントレスポンス計画の策定も重要です。もし USB 経由で侵害が発生した場合、どう対応すべきかを事前に定義しておく必要があります。「USB メモリが見つかったら誰に報告するか」「感染した PC をどのように隔離するか」などの手順を明確にします。また、定期的なセキュリティ研修を実施し、社員が USB のリスクを理解していることを確認します。

監査やログ管理も重要です。すべての USB デバイス接続イベントをログに残し、中央集権的なログサーバーで監視します。不審な接続が検出された場合、自動的にセキュリティ担当者にアラートを送信する仕組みを構築します。これにより、被害の拡大を防ぐことができます。

2026 年時点では、AI を活用した異常検知システムも導入され始めています。例えば、USB デバイスの接続パターンや、データ転送速度、アクセス頻度などを分析し、通常とは異なる挙動を検知して自動的に警告を発します。また、ブロックチェーン技術を用いて USB メモリの所有権と使用履歴を管理する仕組みの実験も行われています。

よくある質問（FAQ）

Q1. BadUSB 攻撃を受けた場合、すぐに検知することは可能でしょうか？ A1. 通常、BadUSB はキーボードとして動作するため、OS の標準的なログでは検知が困難です。しかし、コマンドプロンプトの起動やネットワーク設定の変更など、不自然なシステム挙動があれば検出可能です。2026 年現在では、AI を搭載した端末監視ソフトにより、入力速度や動作パターンの異常を検知する機能も提供されています。

Q2. Windows Defender Device Guard とグループポリシーの違いは何ですか？ A2. Device Guard はハードウェアベースのセキュリティ機能に依存し、コード実行許可リストを管理します。一方、グループポリシーは OS 設定としてデバイスインストールや自動再生などの制限を設定します。両者を併用することで、多層的な防御が可能になります。

Q3. USBGuard を使用するために必要なスキルは何ですか？ A3. Linux のコマンドライン操作とスクリプト作成の基本的な知識が必要です。初期設定はマニュアルに従って行えますが、ポリシーのカスタマイズにはカーネルモジュールやデバイス属性に関する理解が求められます。初心者向けには、GUI ツール付きのディストリビューションも利用可能です。

Q4. 充電専用ケーブルを使用する際の注意点は何ですか？ A4. 一部の「充電専用」アダプタはデータ転送機能を完全に切断していない場合があります。信頼できるメーカー製品を選び、データラインが物理的に断たれていることを確認してください。また、USB-C PD チップの仕様にも注意が必要です。

Q5. USBKill V4 から PC を守るための具体的なハードウェア対策は何ですか？ A5. 光学絶縁（オプトカプラー）を使用した USB ハブの利用が有効です。これにより、電圧パルスが伝播するのを防ぎます。また、USB-C ポートに内蔵されたサージプロテクト機能を持つマザーボードを選定することも推奨されます。

Q6. 組織内で USB メモリを禁止する場合、どのように運用しますか？ A6. NAC システムを導入し、許可されていないデバイス接続時にネットワークアクセス権限を剥奪する設定を行います。また、物理的な USB ポートロックも併用し、不正な挿入を防ぎます。

Q7. DuckyScript で実行されるスクリプトは、OS 再起動後も残存しますか？ A7. 通常、DuckyScript はメモリ上で実行され、システムへの永続化は行われません。ただし、レジストリ変更やファイル作成を行う場合、再起動後も被害が残るため注意が必要です。

Q8. O.MG Cable の接続を検知する方法はありますか？ A8. 直接的な検知は困難ですが、Wi-Fi モジュールの追加やネットワーク設定の変更を確認することで間接的に発見できます。また、USB ポートの電源電圧やインピーダンスを監視する専用ツールを使用することも可能です。

Q9. 2026 年時点での USB セキュリティ規格で注目すべき点は何ですか？ A9. USB4 規格の安全性強化と、ファームウェア署名検証の標準化が注目されています。また、USB-C PD のセキュリティ拡張仕様も導入が進んでいます。

Q10. BadUSB 対策として、最も効果的なものはどれでしょうか？ A10. 「不審なデバイスの接続を禁止する」という物理的な管理が最も確実です。ソフトウェア的な防御策は補助的に活用し、多層防御を構築することが推奨されます。

まとめ

本記事では、USB セキュリティにおける主要な脅威と防御策について詳しく解説しました。以下の要点を押さえておくことで、2026 年時点でのセキュリティ対策として効果的です。

• BadUSB の原理理解: USB デバイスがキーボードとして認識され、高速でコマンドを入力する攻撃であることを把握する
• Rubber Ducky と O.MG Cable の識別: 見た目は通常のデバイスだが、内部に通信モジュールや制御チップを内蔵している可能性があることを認識する
• USBKill V4 の物理的リスク: 高電圧パルスによるハードウェア破壊の脅威を理解し、光学絶縁などの対策を検討する
• Linux と Windows の防御ツール活用: USBGuard や Device Guard を使用し、許可リストと拒否リストを管理する
• 個人レベルでの実践: 充電専用ケーブルの使用や不審なデバイスの接続禁止など、基本的な習慣を身につける
• 組織レベルでのインフラ構築: NAC システムや Air Gap 技術の導入により、ネットワーク全体のセキュリティを強化する

USB デバイスは利便性が高い一方で、その脆弱性は依然として深刻です。最新の技術動向や製品仕様を常に確認し、適切な対策を講じることが重要です。2026 年以降も、この分野は進化し続けるため、継続的な学習と環境の更新が必要となります。