バッドUSBとは「普通のUSBメモリに見えるのに、パソコンに挿した瞬間、ハッカーのように勝手に危険な操作を始める恐怖の罠デバイス」のことです。
「会社の駐車場にUSBメモリが落ちていたから、誰の物か確かめるためにパソコンに挿してみた」
「カフェの席に置き忘れてあったUSBメモリ、中身が気になってつい……」
もしそんな行動をとってしまったら、あなたのパソコンは一瞬でハッカーに乗っ取られてしまうかもしれません。
世の中には、「バッドUSB（BadUSB）」と呼ばれる、悪意を持った偽物のUSBデバイスが存在します。
USB機器そのものの「中身＝ファームウェア」を悪用する攻撃です。
2014年に研究者が公開実演して、大きく知られるようになりました。
この記事では、その恐ろしい仕組みと、「バッドUSB（BadUSB）」から大切なパソコンを守るための対処法を分かりやすく解説します。
「要するに、中にウイルス（悪意あるプログラム）が保存されているUSBメモリのことでしょ？」と思うかもしれません。しかし、バッドUSBの恐ろしさはそこにはありません。
普通のUSB（ウイルス入り）：
● USbメモリをパソコンに挿した後、中のファイルを「クリックして開く」ことで初めてウイルスが感染します。対策ソフト（アンチウイルス）が「怪しいファイルだ！」と検知して止めてくれることも多いです。
バッドUSB（悪意あるデバイス）：
● 中に悪意のあるウイルスファイルは入っていません。USBメモリをパソコンに挿した瞬間、パソコン側が「あ、今キーボードが接続されたな」と勘違いさせるファームウェアが仕込まれているのです。
つまり、USB機器の「ファームウェア」を悪用する考え方です。そして、目にも留まらぬ超高速で「勝手にキーボードのキーが連打され」、ハッキングの命令が打ち込まれます。
つまり、バッドUSBの中身は「USBメモリ」ではなく、「自動で危険な文字を入力するサイボーグキーボード」だったりします。
パソコンにとって、キーボードやマウスは「人間が操作するための信頼できる道具」です。
そのため、パソコンのセキュリティソフトは、接続されたキーボードの動きを基本的にはブロックしません。
バッドUSBはこの盲点を突いています。
人間が何分もかけて打つような複雑なハッキング的コマンド（命令）を、挿された瞬間にわずか数秒でタイピングし、偽のウェブサイトを開かせたり、本物のウイルスをネットから勝手にダウンロードして感染させたりします。
そのため、USBを挿しただけなのに、短時間で大量の操作を実行される可能性があります。研究例では、キーボードをエミュレートしてコマンドを自動入力するタイプの攻撃が知られています。
画面が一瞬パチパチと動いたと思った時には、すでに手遅れになっているというのがこの攻撃の恐ろしいところです。
さらに恐ろしいのは、このバッドUSBが、決して国家レベルのハッカーしか持てないような秘密兵器ではない点です。
「Digispark（デジスパーク）」や「Raspberry Pi Pico（ラズベリーパイピコ）」といった、電子工作用に数百円～千円前後で市販されている小さな基板を使えば、インターネット上の解説を見ながら初心者でも簡単に作れてしまいます。
また、「USB Rubber Ducky（USBラバーダッキー）」という名前で、見た目が完全に普通のUSBメモリに偽装されたハッキングツールも海外で公然と販売されています。
現在では「BadUSB」という名前が、少し広い意味で使われています。
例えば、専用の小型機器を最初から
「USBキーボードとしてパソコンに認識させ、登録したキー操作を自動実行する」ように作るものがあります。
有名なのがUSB Rubber Duckyです。
冗談半分の悪戯（いたずら）から、企業の機密情報を狙う本格的なスパイ行為まで、広く使われているのが現状です。
BadUSBという名前から、「悪いUSBメモリ」を想像しがちですが、実際にはUSB機器のファームウェアを悪用する考え方です。
対象になり得るのは、
など、USB通信を行う機器です。
ファームウェアを書き換えられる構造になっているかどうかなど、条件があります。すべてのUSB機器が簡単にBadUSB化できるわけではありません。
実際には、USB機器のマイコンがファームウェア更新に対応していること、書き換え方法が分かっていること、ファームウェアの署名検証などの防御がないことなど、いくつかの条件があります。
今回覚えておきたいのは、難しいセキュリティ技術ではありません。
3つだけ覚えておきましょう。
今回の記事の核心 ： USBメモリは「メモリー」ではなく、ファームウェアで制御される小さな電子機器である。
SSD、HDD、ルーター、プリンター等も同様に考えてよいでしょう。
これが一番確実です。特に、
などは避けるのが基本です。
パソコンに、「私はキーボードです」と認識させることができるため、USBメモリの中に怪しいファイルが入っているかどうかを調べるだけでは不十分です。
つまり、
ファイルを調べる → ○
USB機器そのものを信用できるか → 別問題なのです。
これは一般ユーザーでも比較的実用的です。
例えばWindowsなら、USBメモリを挿したつもりなのに、
など、想定していない種類のUSB機器として認識されたら要注意です。
ただし、これだけでBadUSBと断定はできません。
USB機器は複合デバイスとして、複数の機能を持つ場合もあるからです。
企業のPCなら、さらに進んだ対策があります。
USB機器の種類やIDを管理して、「登録されていないUSB機器は接続させない」という方法です。
また、キーボード・マウスなどのHIDデバイスについても制御できます。
USB-IF（USB Implementers Forum）はUSB規格を策定・管理している業界団体です。
USB-IFには製品の適合性試験制度があり、試験に合格した製品は認証製品として登録されます。USB-IF自身も、認証製品を公開データベースで検索できるようにしています。
つまり、「有名メーカーだから買う」より一歩進んで、「メーカーが明確＋USB-IF認証製品として確認できる」という選び方ができます。
ただし、ここは非常に大事ですUSB-IF認証 ＝ セキュリティ認証ではありません。ここを混同しない方がいいです。
実は、ここが重要です。
外観だけでは分かりません。
そのためBadUSB対策は、「危険なUSBを見分ける」というより、「信用できないUSB機器を最初から接続しない」という考え方になります。
USBメモリを「小さな記憶装置」と考えると、初期化（フォーマット）すれば、中身は全部消える→ だから安全と思いますよね。
これは「保存されているデータ」については基本的に正しいのですが、USBメモリにはそれとは別にUSB機器そのものを動かすためのコントローラーとファームウェアがあります。
USBメモリの中身を大雑把に分けると
ユーザーがパソコンから「フォーマット」するのは、基本的には左側のデータを保存する領域です。
一方、右側のコントローラーに入っているファームウェアは、通常のフォーマットでは消えません。
重要なのは、USBメモリには、ユーザーが見たり消したりできるデータ領域とは別に、機器を動かすためのソフトウェアが存在するというUSBの構造を知っておくことです。
BadUSBの脅威は「USBデバイスがストレージ以外の機能を偽装できる」点にあります。
つまりUSBは“何にでも化けられる”のが最大の脅威です。
SDカードそのものは安全（BadUSB化しない）
SDカードは以下のような“単機能デバイス”です。
但し、「USB接続の外付けカードリーダーはBadUSB化の可能性がある」ため注意が必要です。
どんなに強力なセキュリティソフトを入れていても、バッドUSBを物理的に挿してしまえば防げないケースがあります。安全な環境を維持するために、以下の3つの鉄則を徹底してください。
道端やオフィスの共有スペースに落ちているものはもちろん、出所の分からない記念品や、知らない人から「これ使ってみて」と渡されたUSBメモリ、マウス、充電ケーブルなどは絶対にパソコンやスマホなどに挿してはいけません。
オフィスやカフェで、パソコンの画面を開いたまま席を離れるのは厳禁です。
一瞬の隙にバッドUSBを挿されれば、数秒で作業が完了してしまいます。
席を立つときは必ず「Windowsキー ＋ L」（Macは「Command ＋ Control ＋ Q」）で画面をロックする癖をつけましょう。
もしUSBを挿した直後に、コマンドプロンプト（黒い画面）が勝手に開いて文字がダーッと入力されるような怪しい動きがあったら、一秒でも早くそのUSBを物理的に引き抜いてください。
今回は、見た目に騙されてはいけない「バッドUSB」の脅威について解説しました。
インターネットの世界では、回線速度を高めたり最新のType-Cで配線をすっきりさせたりする「利便性の最適化」と同じくらい、こうした物理的な罠にかからない「安全性の最適化」が重要です。
「怪しいものは繋がない」という基本を守り、安全で快適なネットライフを送りましょう！
更に、具体例や実態、国内での状況などを知りたい方は以下のリンクから続編をご覧になれます。
【筆者プロフィール】
アナログ・デジタル総合種 工事担任者。
昭和40年代の「ラジオ・アマチュア無線少年」としての自作文化を原点に、端末設備の設置や外線工事、地下マンホール内での通線作業、果てはPHSの基地局設置など、日本の通信インフラの現場を最前線で支え続けた専門家。趣味はオーディオとフィッシング。現在は、当時の泥臭い現場の知恵を交えながら、現代の「通信の裏側の驚き」を一般ユーザー向けに分かりやすく解説するシリーズ記事を執筆中。