「郵便受けにUSBメモリ」がマルウェアの新たな感染経路に

アスコエトさん宅に投げ込まれていたUSBメモリ（Photo/Julien Ascoet via AP）

　ジュリアン・アスコエトさんは今年7月、郵便受けから無地の白い封筒を取り出した時点で既に不審に思っていたという。

　封筒には切手は貼られておらず、何の印字もなかった。フランス北西部の港町ナントの郊外に住むアスコエトさんの自宅に何者かが直接届けたにちがいない。

　ソフトウェアエンジニアのアスコエトさんは9月22日、オンラインチャットで次のように語った。「何が入っているか分からないので、恐るおそる封を開けた。刑事ドラマ『NCIS』で、似たような封筒に炭疽菌が入っていたエピソードを思い出していた」

　封筒に入っていたのはUSBメモリで、メモや説明は一切なかった。炭疽菌ではなかったものの、安心はできなかった。

　USBメモリ（サムドライブとも呼ばれる）は、悪意のある不正ソフトウェアをコンピュータに感染させる目的で使われることがある。アスコエトさんによれば、受け取ったUSBメモリにはメーカー名が印字されていたが、新品ではなさそうだったので、恐らくメーカーは郵便受けへの謎の投函には関係していないはずだという。

　セキュリティ研究者でもあるアスコエトさんは結局、このUSBメモリを処分した。ただし、その前に写真を撮り、Twitterに投稿した。

　写真には、「こういうプレゼントは絶対に差し込んだらダメ」というコメントを付けたという。

　昨今は、ユーザーが賢くなり、不正なリンクや危険な添付ファイルを開かなくなっている。アスコエトさんの体験談からもわかるように、そうした中、サイバー犯罪者は標的の自宅にマルウェアを直接届ける方法を試しつつあるようだ。

　21日には、オーストラリア警察が「メルボルンの南東約60キロに位置するパケナムにおいて“極めて有害”なUSBメモリが郵便受けに入れられる事例が相次いでいる」と発表し、世界中から注目を集めた。パケナム警察のガイ・マシソン巡査部長は22日、電話取材に応じ、印字のないUSBメモリが届いたという報告が数日前から寄せられるようになったと語っている。

　巡査部長によれば、こうしたUSBメモリに潜伏している不正プログラムはNetflixなどの動画配信サービスのクーポンを装っているが、実際に接続すると、被害者のコンピュータを人質に取り、デジタル通貨Bitcoinで多額の身代金を支払うよう要求してくるという。

　既に数名の被害者が出ているとのことだ。

　英マンチェスター大学の博士課程の学生で、マルウェアの歴史を研究しているニコラ・ミロセビックさんによれば、「手に取った誰かがコンピュータに接続することを期待して、不正なUSBメモリをどこかに置いておく」という手法は、近づきにくいコンピュータに侵入する方法として以前からスパイに用いられている。The New York Times紙の報道によれば、例えば、かつてイランの核施設の攻撃に使われたワーム「Stuxnet」は、職員のUSBメモリを介して本人も気付かぬうちに感染したという。誰かの自宅に出向いて郵便受けに不正ソフトウェアを投函するというやり方はリスクを伴うが、人間に内在する好奇心を利用すれば、リスク以上の成果を上げられる可能性がある。

　「リンクをクリックしたり、知らない人から送られてきたファイルを開いたりするよりも、USBメモリをコンピュータに差し込む可能性の方が高い。このタイプの攻撃は高い成功率を期待できる」とミロセビックさんはメールで指摘している。