三重県、USBメモリ1万2,357個の調査を完了　マルウェア 47個を確認、私物USB 3,789個は全廃

三重県は2026年8月22日、県庁内で実施していたUSBメモリの調査について最終報告を公表しました。

最終的に確認されたUSBメモリは1万2,357個で、7月7日時点の1万757個から1,600個増えました。一方、マルウェアが検知されたUSBメモリは47個のままで、7月7日の公表以降、新たな検知はありませんでした。

47個のうち14個は職員の私物USBメモリでした。三重県は私物USBメモリ3,789個を確認し、8月21日までに業務利用から全廃したとしています。

今後は10月1日から、業務利用するすべてのUSBメモリを管理台帳で管理するとともに、私物USBメモリの禁止や台帳管理を明確化した改正セキュリティポリシーを施行する予定です。

セキュリティ対策Labでは7月、三重県が1万個超のUSBメモリを調査し、37所属で使用されていた47個からマルウェアを検知した段階を記事化しています。今回の最終報告では、検知数が増えなかった一方、実際に業務環境へ持ち込まれていた私物USBの規模と、今後の管理方法が確定しました。

三重県USBメモリ調査・最終報告のサマリー

• 【確認済み】三重県は2026年8月22日、USBメモリの庁内調査について最終報告を公表しました。
• 【確認済み】最終的に確認されたUSBメモリは1万2,357個です。
• 【確認済み】7月7日時点の1万757個から、最終報告では1,600個増えました。
• 【確認済み】マルウェアが検知されたUSBメモリは47個で、7月7日の公表以降、新たな検知はありませんでした。
• 【確認済み】私物USBメモリは3,789個確認されました。
• 【確認済み】マルウェアが検知された私物USBメモリは14個で、7月7日時点から増えていません。
• 【確認済み】三重県は私物USBメモリを8月21日までに全廃しました。
• 【確認済み】10月1日から、業務利用するすべてのUSBメモリを管理台帳で管理する予定です。
• 【確認済み】10月1日から、私物USBメモリ禁止と台帳管理を明確化した改正セキュリティポリシーを施行予定です。
• 【確認済み】7月の県公表では、検知されたマルウェアはすべて活動しておらず、感染および被害は確認されていないとされていました。
• 【確認済み】7月時点の調査では47個のうち29個が過去に保存したメールデータ、18個が外部端末での使用時に混入したものと整理されています。
• 【確認できず】8月22日の最終報告では、47個のマルウェアの内訳や37所属という数字について新たな変更は示されていません。

項目	7月7日時点	8月22日最終報告
USBメモリ総数	10,757個	12,357個
マルウェア検知USB	47個	47個
私物USB	調査途中	3,789個
マルウェア検知の私物USB	14個	14個
新規マルウェア検知	―	7月7日以降なし
私物USBの扱い	全面禁止方針	8月21日までに全廃
USB台帳管理	方針段階	10月1日開始予定
セキュリティポリシー改正	方針段階	10月1日施行予定

最終的なUSBメモリ総数は1万2,357個

三重県が8月22日に公表した最終報告によると、庁内調査で確認されたUSBメモリの総数は1万2,357個でした。

7月7日時点の公表では1万757個だったため、その後の調査で1,600個が追加で確認されたことになります。

7月時点では県立学校11校について教員分の調査が継続中とされていました。ただし、今回増加した1,600個すべてが県立学校分であるとは最終報告に記載されていないため、内訳を推測することはできません。

セキュリティ対策Labでは、7月の調査結果について三重県、USBメモリー 1万個超のうち47個からマルウェアを検知-37部署に影響、職員私物や外部端末からの混入も判明で詳しく報じています。

マルウェア検知は47個から増加せず

調査対象となったUSBメモリの総数は増えましたが、マルウェアが検知されたUSBメモリは47個のままでした。

三重県は「7月7日の公表以降、新たにマルウェアが検出されたUSBメモリはない」としています。

7月の調査結果では、47個は37所属で使用されていたUSBメモリから検知されていました。

内訳は、過去に保存したメールデータから検知されたものが29個、外部端末で使用した際に混入したものが18個でした。

検知されたマルウェアには自己増殖型と情報窃取型が含まれていましたが、三重県は当時、いずれも活動しておらず、端末への感染や情報流出などの被害は確認されていないと説明しています。

今回の最終報告で新たな感染や被害が発表されたわけではありません。

私物USBは3,789個、全体の約3割

最終報告で新たに注目されるのが、私物USBメモリの規模です。

三重県が確認した私物USBメモリは3,789個でした。全体1万2,357個に対して計算すると約30.7％に相当します。

この約30.7％という割合は三重県が公式に示した数値ではなく、公表された個数からセキュリティ対策Labが計算したものです。

マルウェアが検知された私物USBメモリは14個で、7月7日時点から変化はありません。

47個の検知USBのうち14個が私物だったため、マルウェア検知媒体の約3割を私物USBが占めていた計算になります。

私物USBが数十個、数百個という規模ではなく、3,789個存在していた点は、今回の最終調査で明確になった重要な統制上の課題です。

8月21日までに私物USBメモリを全廃

三重県は、新たなセキュリティ対策として私物USBメモリの全面禁止を決定し、8月21日までに全廃したとしています。

7月の公表時点でも私物USBを全面禁止する方針は示されていましたが、今回の最終報告で実施完了まで確認されました。

これは単に「今後は持ち込まないよう職員へ注意する」という措置ではなく、業務環境から私物USBを排除する対応です。

セキュリティ対策Labでは、調査初期の段階から三重県 庁のUSB メモリーから相次いでマルウェアを検知-所有数6000個超かで、USB利用ルールが存在していても実際のウイルスチェックが徹底されていなかった可能性を指摘していました。

最終的には、人的な注意やウイルスチェックだけでなく「私物USBそのものを業務利用から排除する」という統制へ移行したことになります。

10月1日からすべての業務用USBを台帳管理

三重県は10月1日から、業務で利用するすべてのUSBメモリについて管理台帳による管理を開始する予定です。

これまでの問題の一つは、組織内にUSBメモリが何個存在しているのかを直ちに把握できなかった点です。

当初の調査段階では6,000個以上とみられていましたが、7月の集計では1万757個となり、最終的には1万2,357個まで増えました。

調査の進展に伴い保有数が増えたこと自体が、可搬記憶媒体の資産管理の難しさを表しています。

台帳管理を実施することで、少なくとも「どのUSBメモリを、どの部署が、どの用途で使用しているのか」を把握するための基盤が整うことになります。

一方、台帳を作成するだけでは、無許可のUSBメモリが端末へ接続されることを技術的に防ぐことはできません。

実効性を高めるには、端末側のデバイス制御や許可済みUSBのみを利用可能にする仕組みと組み合わせることが重要です。

セキュリティポリシーも10月1日に改正

三重県は、私物USBメモリの禁止と管理台帳による管理を明文化した改正セキュリティポリシーを10月1日から施行する予定です。

7月の調査では、USBメモリ利用時のウイルスチェックが徹底されていなかったことが原因として挙げられていました。

これまでにもルール自体は存在していましたが、実際の運用が追いついていなかったことになります。

今回の改正では、私物USB禁止と台帳管理という具体的な統制をポリシーへ明記します。

7月時点で県はこのほか、USBメモリ利用数の削減、ウイルスチェックの自動化、外部から業務で受領したUSBメモリを検査する専用端末の順次設置、職員研修なども方針として示していました。

「ウイルスチェックをする」から「そもそも管理外媒体を使わせない」へ

今回の最終報告で重要なのは、マルウェア47個という数字そのものだけではありません。

三重県では従来、USBメモリを使用する際にウイルスチェックを行う運用がありました。

しかし実際にはチェックが徹底されず、さらに3,789個もの私物USBメモリが業務環境に存在していました。

人が毎回忘れずにチェックすることを前提とした管理には限界があります。

今回の対策は、

「USBを使うたびにウイルスチェックする」

という人的運用から、

「私物USBは禁止する」
「業務用USBはすべて台帳管理する」

という資産管理・アクセス制御寄りの運用へ移行するものです。

この方向性は、可搬媒体管理の実効性を高めるうえで重要です。

情報システム部門への示唆

今回の三重県の事例では、調査開始時に把握されていたUSBメモリ数と、最終的な実数に大きな差がありました。

これは企業でも起こり得ます。

USBメモリは安価で小型なため、部署ごとの購入、過去の端末移行作業、外部事業者とのデータ交換、職員の私物持ち込みなどを通じて、情報システム部門が把握していない媒体が増えやすい機器です。

最初に確認したいのは、「USB利用ルールがあるか」ではなく「実際に接続可能なUSBを組織がすべて把握しているか」です。

台帳に登録されていない媒体を端末へ接続できるのであれば、台帳管理だけでは統制として不十分です。

Windowsのデバイス制御、EDRやエンドポイント管理製品などを利用し、原則としてUSBストレージを禁止したうえで、業務上必要な承認済み媒体だけを許可する方法が考えられます。

また、外部から受領するUSBについては、業務端末へ直接接続せず、専用の検査端末や隔離環境でスキャンする運用が有効です。

三重県の7月調査では18個が外部端末での利用時にマルウェアが混入したものと整理されており、自組織内だけを管理してもリスクを完全には排除できないことが分かります。

さらに、資産台帳は作成して終わりではありません。

定期棚卸し、利用目的の再確認、不要媒体の廃棄、所有者変更時の更新、紛失確認などを継続して初めて実効的な管理になります。

今回の三重県の調査では、最終的に1万2,357個までUSBメモリが確認されました。

マルウェア検知数が47個から増えなかったことは一つの区切りですが、より重要なのは、この調査を契機に3,789個の私物USBを全廃し、すべての業務用USBを管理対象へ移すことです。

可搬媒体対策では「マルウェアが見つかったか」だけでなく、「組織が利用媒体をすべて把握し、未承認媒体を排除できるか」という資産管理の実効性まで確認する必要があります。

中国系脅威アクター・国家支援型サイバー攻撃の関連記事

今回の三重県のUSBメモリ調査について、中国系脅威アクターとの関係を示す情報は公表されていません。マルウェア47個についても、7月時点の県の説明では過去に保存したメールデータや外部端末での利用時に混入したものと整理されており、特定の国家や攻撃グループへの帰属は確認されていません。

一方、可搬媒体やネットワーク機器、クラウドサービスなど組織外との接点を通じた侵入リスクを考えるうえでは、中国系とされる国家支援型脅威アクターの動向も継続的な監視対象です。

セキュリティ対策Labでは、中国の国家支援型サイバー脅威について以下の記事で継続的に取り上げています。

• 国家とハッカー/ランサムウェア グループの結託-ロシア・中国・イランによるサイバーグレーゾーン戦略と日本企業への示唆
• Google、中国系ハッカーグループの大規模な規模サイバー諜報活動を妨害-サイバー攻撃は政府機関も対象
• JPCERTがVolt Typhoonの攻撃キャンペーン「Operation Blotless」に関して注意喚起
• 米国や日本、中国の国家支援 サイバー攻撃 集団 ソルト・タイフーンの注意喚起
• 中国系スパイグループ「UNC3886」がサポート終了した Juniper ルーターを標的にサイバー攻撃
• グーグルカレンダーを悪用したサイバー攻撃を中国系 ハッカー 集団が活用

出典

• USBメモリの庁内調査結果について（最終報告） – 三重県
• USBメモリの庁内調査結果について – 三重県
• 知事定例会見録 令和8年7月9日 – 三重県
• 三重県、USBメモリー 1万個超のうち47個からマルウェアを検知-37部署に影響、職員私物や外部端末からの混入も判明 – セキュリティ対策Lab
• 三重県 庁のUSB メモリーから相次いでマルウェアを検知-所有数6000個超か – セキュリティ対策Lab