ベイティングと標的型USB攻撃：人間の好奇心が企業ネットワーク侵入の致命的な突破口になる理由

ソーシャルエンジニアリングの古典的シナリオでありながら、現代のオフィス環境でも極めて高い成功率を誇る攻撃手法が存在します。出社途中の自社ビルエントランスや喫煙所、オフィスの共有フロアに、社名のないUSBメモリが落ちていたとします。そこには「役員報酬一覧」や「組織再編計画」といった好奇心をそそるラベルが貼られています。「落とし主を探してあげよう」という純粋な善意や、「中身を見てみたい」という強い関心に駆られた従業員がそれを拾い、自席の業務用PCに差し込んでしまう。わずか数秒で、多額の予算を投じて構築した社内セキュリティ境界線は内側から突破されます。

CISO（最高情報セキュリティ責任者）や情報システム部門にとって、この何気ない物理行動は最も防ぎにくい脅威の一つです。近年のセキュリティ投資は、標的型攻撃メール訓練やEDR、クラウドセキュリティに集中していますが、オフィスの物理的な接点は依然として深刻な裏口となり得ます。餌を撒いて獲物を誘い込む「ベイティング（Baiting：おとり攻撃）」は、次世代ファイアウォールやゲートウェイ製品では監視できない人間の心理的隙間を突いて侵入を果たします。

ベイティング攻撃とは何か：物理的な罠が仕掛けられる仕組み#

要点まとめ：ベイティング（Baiting）とは、マルウェアを仕込んだUSBメモリや偽装ケーブルなどの物理メディアを攻撃対象組織の敷地内や周辺に故意に放置するソーシャルエンジニアリング手法です。標的となった従業員の好奇心や親切心を利用し、デバイスを社内端末に接続させることで不正コードを即座に実行させます。

ベイティングの根本的なメカニズムは、心理的なインセンティブ（利益への期待や確認したい衝動）を与えて直接的な行動を引き出す点にあります。ネットワーク経由で受信トレイに届くフィッシングメールとは異なり、物理的な実体を伴うことが最大の特徴です。攻撃者は、社員食堂、喫煙スペース、本社の駐車場、あるいは業界展示会（見本市）のブース周辺など、従業員が日常的に行き交う動線を綿密に下調べして罠を配置します。

技術的な手口：単なるストレージからキーボード偽装デバイスまで

多くの従業員は、「USBメモリを差し込んでも、怪しい実行ファイルをダブルクリックして開かなければ感染しない」と誤認しています。しかし、実際の攻撃手法は遥かに高度化しています。

• HID（Human Interface Device）攻撃： Rubber DuckyやBadUSBと呼ばれるデバイスは、PCに接続された瞬間にストレージではなく「キーボード」としてOSに認識されます。接続と同時に、毎分数千文字という人間には不可能な速度で自動的にコマンドプロンプトやPowerShellを立ち上げ、コマンドをタイピング入力します。これにより、従業員が画面の変化に気づいて引き抜く前に、外部C2サーバからトロイの木馬をダウンロードし、管理者権限の奪取やバックドアの設置を完了させます。
• 高電圧による物理破壊（USB Killer）： ストレージ内部のコンデンサがUSB給電から電力を蓄え、瞬時に数百ボルトの高電圧を基盤へ逆サージとして放電します。マザーボードや内部回路を物理的に焼き切るため、工場のOT制御端末や重要サーバの停止を狙う妨害工作に悪用されます。
• 標的型文書ファイル・ショートカットの悪用： 一般的なUSBメモリの場合、拡張子偽装や悪意あるマクロを含んだExcelファイル、アイコンを偽装したLNKファイル（ショートカット）を配置し、開封を誘導する手口が用いられます。

展示会配布グッズや偽装ケーブル：USBメモリだけに留まらない新たな脅威#

要点まとめ：攻撃者はUSBメモリの警戒強化を受け、充電用ケーブルや販促グッズ（ノベルティ）に超小型通信チップを組み込む手口へシフトしています。公共スペースや展示会での不用意な受領・接続が、新たな情報漏えいルートになっています。

IPA（情報処理推進機構）の「情報セキュリティ10大脅威」や社内研修の浸透により、「道端に落ちているUSBメモリは拾わない」という認識は定着しつつあります。しかし、攻撃者もその防御策を把握した上で手口を進化させています。現在、最も警戒すべき対象の一つが、外見上は純正品と見分けがつかない「スマート充電ケーブル（LightningやUSB-C）」です。

大規模な業界展示会やビジネスカンファレンス、空港のラウンジなどで、急速充電ケーブルが意図的に置き忘れられていたり、無償のノベルティグッズとして配布されていたりするケースが報告されています。従業員が「出張先でスマホを充電したい」と考え、業務用のノートPCにそのケーブルを接続した瞬間、ケーブル内部の極小チップが起動します。

攻撃者は、内蔵されたWi-Fiやセルラー通信機能を通じて遠隔からコマンドを実行し、キーストロークの盗聴や社内セグメントへの水平移動（ラテラルムーブメント）を開始します。物理的な利便性と高度な隠蔽技術が融合した結果、単に「社内規則で禁止する」だけでは防ぎきれない境界侵入が発生しています。

不審なUSBリスクを無力化するための具体的アプローチ#

未知の物理デバイスによる感染リスクを根絶するためには、厳格なシステム統制と、従業員が自発的に危険を察知できる組織カルチャーの構築を両立させる必要があります。

情シス・セキュリティ部門が導入すべき技術的対策

• 未承認ポートの利用制限： EDRやActive Directoryのグループポリシー（GPO）、統合エンドポイント管理（UEM）を活用し、社内端末のUSBポートへの書き込み・読み込みを原則禁止するか、情報システム部門が事前にホワイトリスト登録したハードウェアIDのみ許可する設定を徹底します。
• データクレンジング専用端末（キオスク端末）の設置： 業務上、取引先からの外部メディア受領が避けられない部署向けに、社内LANから完全に隔離されたスタンドアロンの検疫端末（ホワイトステーション）を用意し、複数エンジンによるマルウェアスキャンを実施した上で安全な社内クラウドへ転送します。
• 安全なアクセサリの公式支給とデータブロッカーの配布： 外出先での充電用に、給電専用でデータ通信用のピンを物理的に結線していない「USBデータブロッカー」や、社内認証済みのモバイルバッテリーを会社から正式に貸与します。

「ルール違反の追及」から「実践的な判断力訓練」へ

物理メディアを完全に禁止するだけでは、現場のシャドーITやルールの形骸化を招きやすくなります。真にレジリエンスの高い組織を作るには、怪しい事象に直面した際、迷わず正しいエスカレーションを行える従業員の育成が不可欠です。退屈なeラーニングのスライドを年間1回受講させるだけでは、リアルな現場でのとっさの好奇心にブレーキをかけることはできません。

この課題を解決するのが、Brain Securityが提供する体験型サイバーセキュリティ・コンペティション「Cyber Cup」です。アーケードゲーム機の感覚を取り入れた1プレイ3分間のチーム対抗クイズ形式により、「デスクに置かれた不審なUSBを見つけたとき、最初に取るべき行動は何か」「展示会でもらった充電ケーブルをPCに挿してよいか」といった現場で起こりうるリアルな選択肢を、エンターテインメントとして体感させます。

直感的なゲーミフィケーションを通じてチーム内で活発な議論が生まれ、社内CSIRTや情報システム部門への早期通報フローが自然と定着します。人間の好奇心は排除すべき弱点ではなく、正しい訓練によって「組織の異常をいち早く検知するセンサー」へと転換させることが可能です。

ソーシャルエンジニアリングの罠に対する自社の耐性を可視化し、従業員が能動的に動くセキュリティ文化を構築したいご担当者様は、ぜひお気軽にお問い合わせください。貴社の課題に合わせた最適なトレーニングプランをご提案いたします。

BRAIN SECURITY プロダクト実践画面 · Cyber Cup

関連コラムおよびBrain Securityのソリューション#

このテーマに関連するおすすめ記事

• 共連れと物理的侵入対策 : オフィスの礼儀とセキュリティを両立させる実践的アプローチ (Phishing & Social Engineering) : 共連れ（テイルゲーティング）による物理的侵入を、職場の雰囲気を損なわずに防ぐにはどうすべきか。CISOや情シスが知っておくべき現場の心理的ハードルと、具体的なセキュリティ対策を解説します。
• ソーシャルエンジニアリング対策：注意喚起リストより対話型シミュレーションが有効な理由 (Phishing & Social Engineering) : 静的なセキュリティガイドラインだけでは防げないビジネスチャット上の心理操作。実践的な対話型シミュレーションによって、従業員が粘り強い攻撃者に対して自然に「NO」と言える防御力を養う手法を解説します。
• 人事部門が標的型攻撃メールの標的となる理由と実践的対策: 偽履歴書や添付ファイルのリスクを防ぐ (Phishing & Social Engineering) : 人事や採用担当者を狙う標的型攻撃メールや偽履歴書の脅威から企業を守る方法を解説。セキュリティゲートウェイをすり抜ける手口への対策と、実践的な訓練による組織防御の構築手法をCISOおよび情報システム部門向けに提示します。
• M&A・子会社買収後のセキュリティ文化統合 : チーム対抗型ゲーミフィケーションで心理的摩擦を解消する方法 (Events & Arcade) : M&Aや子会社統合時のセキュリティ文化の格差を解消。トップダウンの押し付けではなく、体験型のチーム対抗クイズで新グループ間の心理的摩擦を解消し、現場主導の自律的なサイバーセキュリティ意識を醸成する実践的アプローチを解説します。

Brain Securityの製品・ソリューション一覧

• 関連ソリューション : Cyber Cup : 社内対抗のサイバーセキュリティ・クイズ大会：短時間の対戦で全社員のセキュリティ意識を楽しく定着させます。
• 課題・業界別のユースケースを見る
• サイバーセキュリティ＆AI意識向上フォーマットを比較する
• Brain Securityの製品カタログをすべて見る
• 導入のご相談・デモ予約はこちら（担当チームへのお問い合わせ）