冷凍食品大手のニチレイなど大手企業へのサイバー攻撃が相次ぐ中、陸上自衛隊や地方自治体といった行政機関もサイバー攻撃の脅威にさらされていることが明らかになった。こうした状況を背景に、三重県は庁内で職員が使用する私物USBメモリの利用を全面的に禁止する方針を示した。
事案の詳細
報道によると、2026年7月13日に株式会社ニチレイは外部からのサイバー攻撃を検知し、ネットワークおよび一部システムを緊急停止したことで、冷蔵倉庫の入出庫業務や冷凍食品の出荷業務などに影響が生じた。ニチレイはその後、緊急対策本部を立ち上げ、調査の結果としてサイバー攻撃による不正アクセスが原因であることを確認している。
一方、サイバー攻撃の標的は企業にとどまらず、防衛省の陸上自衛隊や地方自治体などの行政機関にも広がっている。陸上自衛隊では、マルウェアに感染したUSBメモリが約1年間放置されていたインシデントが指摘されており、これを受けて三重県は庁内で使用されているUSBメモリの一斉調査を実施した。
三重県は県庁や県立学校など、公安委員会を除く全局で使用されていたUSBメモリ1万個超（約1万0757〜1万1000個）を対象に調査を行い、その結果、37の部署で使用されていた47個のUSBメモリからコンピュータに不正な動作をさせるマルウェアが検知されたと発表した。このうち14個は職員が持ち込んだ私物USBメモリであることも判明している。
県によると、検知されたマルウェアはいずれも活動していない状態で保存されていた古典的なマルウェアであり、自己増殖を行うワーム型や情報搾取型などが含まれていたが、パソコンへの感染や情報漏えいなどの被害は確認されていない。多くは過去の電子メールデータや外部端末に接続した際に混入したもので、ウイルスチェックの徹底が不十分だったことが主な要因とされている。
こうした調査結果を受け、三重県は庁内で職員の私物USBメモリの利用を全面的に禁止し、公用USBメモリについても必要性を精査した上で保有数の削減と登録管理の厳格化を進める方針を示した。併せて、USBメモリ利用時のウイルスチェックの自動化や、セキュリティポリシーの抜本的な見直し、職員へのセキュリティ研修の強化などを行うとしている。
現時点で、公表されている範囲からは、ニチレイへのサイバー攻撃と三重県のUSBメモリ調査で検知されたマルウェアとの技術的な関連性（同一攻撃グループや同系統マルウェアかどうか）についての詳細は現時点で不明である。ただし、企業へのサイバー攻撃の事案と、行政機関でのマルウェア検知が同時期に表面化していることから、マルウェアが企業のみならず行政機関も標的となり得る状況が改めて浮き彫りになったといえる。
影響と背景
企業へのサイバー攻撃が報じられる中で、マルウェアの標的が行政機関や重要防衛組織にも広がり得ることは、組織の業務継続や情報管理に直結する重大な課題として受け止められている。行政機関は住民情報や行政手続き、教育関連情報など多様な情報を扱い、庁内ネットワークや端末が日常業務の基盤となるため、USBメモリなど外部媒体の利用ルールの見直しは影響範囲の大きい対応となり得る。
三重県庁の調査では、ネットワーク分離環境（インターネット接続系と基幹系など）でデータ移行のために長年利用されてきた物理USBメモリが、マルウェアの温床となりうることが改めて確認された。ウイルスチェックが徹底されていなかったことから、過去に保存されたデータや外部端末から持ち込まれたマルウェアがUSBメモリ上に残存していたが、活動状態にないため直ちに感染や情報流出には至らなかったとされる。
一見勝之知事は記者会見で、職員の私物USBメモリの使用禁止やウイルスチェックの自動化といった対策を進める考えを示すとともに、「セキュリティポリシーをきちんと作って定期的に見直し、県民の大事な情報が流出しないようにしていきたい」と述べている。これは、企業や行政機関が持つ重要な情報を狙うサイバー攻撃が相次ぎ、国内外でマルウェアの検知・ブロック件数が増加している状況を踏まえ、地方自治体として情報セキュリティ対策を強化する必要性を認識したものと位置付けられる。
対策・今後の展望
- 媒体利用ルールの明確化：庁内で職員の私物USBメモリの利用を全面禁止するとともに、公用USBメモリの利用目的と必要性を精査し、外部媒体の持ち込み・使用に関する基準を整備する。
- 運用面の徹底：USBメモリ利用時のウイルスチェックを自動化するソフトウェアの導入など、技術的な対策と運用ルールを組み合わせて、庁内での周知や遵守の徹底を図る。例外的な利用が必要な場合には、所属長の許可や登録手続きなど明確な手順を設ける。
- 継続的な見直し：マルウェアの標的が企業・行政機関・防衛組織などに広がり得る状況を踏まえ、組織の情報管理体制やセキュリティポリシーを継続的に点検し、必要に応じて対策を更新する。職員向けのセキュリティ教育・研修を定期的に実施し、人為的なミスやルール逸脱を防ぐことで、USBメモリを含む外部媒体経由のリスクを低減していくことが求められている。