その充電ケーブル大丈夫？USB乗っ取り「ジュースジャッキング」の正体と防御術

ちょっと待って。そのケーブル、そのメモリ、本当に「ただの充電・保存用」ですか？ 電力とデータが同じ端子を流れるUSBは、便利さと引き換えに攻撃の入口にもなり得ます。
いま知っておくべきリスクと守り方を整理します。

スマホの電池が残りわずか。目の前に無料の充電ポートがある。あるいは、机の上に見慣れないメモリがぽつんと置いてある。友人が「これ使いなよ」とケーブルを差し出してくる。どれも日常のありふれた場面ですが、セキュリティの目で見ると、いずれも「素性の分からない機器を自分の端末に物理接続する」行為です。今回はこのテーマを、できる範囲でしっかり裏取りしながら掘り下げます。

なぜUSBは危険になり得るのか

USB端子の中には、電力を流す線とデータをやり取りする線が同居しています。多くの人は「充電しているだけ」と思っていますが、端子の物理的な構造としては、電気と一緒にデータ通信路も開通し得るのです。この「電力とデータの同居」こそが、攻撃者に狙われる根本原因です。

金融系のシステム設計では、機能ごとに経路を分離し(フォールト・アイソレーション)、必要最小限の権限しか与えない(最小権限の原則)のが鉄則です。ところが充電という「電力だけほしい」用途に、データ通信という「まったく別の権限」がおまけで付いてくる。設計思想としては、これはかなり無防備な状態だと言えます。

充電ポート経由の攻撃「ジュースジャッキング」の実態

公共の充電ポートやケーブルを通じて、充電中の端末からデータを抜いたりマルウェア(悪意のあるソフト)を仕込んだりする攻撃を「ジュースジャッキング」と呼びます。空港・ホテル・カフェ・ファストフード店・駅など、無料充電コーナーのある場所すべてが想定現場です。米国の複数の公的機関が、この危険性について繰り返し注意を呼びかけてきました。

連邦捜査局(エフビーアイ)は、空港・ホテル・商業施設の無料充電スタンドを避け、自分の充電器と電源コンセントを使うよう促してきました。充電スタンドにあらかじめ細工したケーブルが差し込まれていたり、販促品として感染ケーブルが配られたりした報告もあると指摘されています。

さらに運輸保安局(ティーエスエー)も2025年6月、空港などの公共USBポートに直接スマホを差さず、自前のモバイルバッテリーを使うよう改めて呼びかけました。警告が続いているのは事実です。ただ、ここで現役エンジニアとして正直にお伝えしたい、重要な「но し書き」があります。

2025年の新脅威「チョイスジャッキング」— 許可画面を突破する

この「理論上は危険だが実害は不明」という構図を揺さぶったのが、2025年に発表された新しい攻撃手法「チョイスジャッキング(ChoiceJacking)」です。オーストリアのグラーツ工科大学の研究チームが、著名なセキュリティ会議で発表しました。

スマホには従来、知らない機器を差すと「このデバイスを信頼しますか」「データ転送を許可しますか」という確認画面が出て、ユーザーが自分で許可しない限りデータは流れない仕組みがありました。ジュースジャッキング対策の要はここにあったわけです。

ところがチョイスジャッキングでは、悪意ある機器が充電スタンドを装いながら、被害者に代わって「データ転送を許可する」を自分で押してしまう、という発想で防御を突破します。これは「見えないキー入力」とも呼ばれ、攻撃側がキーボードのように振る舞い、確認画面の「許可」ボタンを勝手に押す手法です。

研究では、市場シェア上位を含む8社の端末すべてで、写真・文書・アプリのデータといった機微な情報へのアクセスに成功し、一部の端末では画面ロック中でもファイルを抜き出せたと報告されています。まさに、確認画面という「人間の判断」を前提にした防御の弱点を突いた形です。

見た目は普通のケーブル — 悪意ある実装「オーエムジー・ケーブル」

ケーブルそのものが武器になる時代です。代表例が「オーエムジー・ケーブル(O.MG Cable)」。セキュリティ研究者が設計し、当初はレッドチーム(攻撃側を演じる検証チーム)の演習用ツールとして著名なハッカー会議で公開されたものです。

見た目は市販の充電ケーブルとまったく同じですが、コネクタ部分の内部に小さなプロセッサと無線機能を隠し持っています。普段は普通に充電もデータ転送もできるので気づけません。しかしその裏で、無線経由で遠隔操作され、キー入力や端末内のデータを外部へ送り出す(データ窃取)ことが可能です。

かつては国家レベルの諜報でしか使えなかったような隠し実装が、いまや200ドル未満で誰でも買える価格まで落ちてきました。上位機種にはキーロギングやジオフェンシング、自己消去機能まで備わります。この「価格の民主化」こそ、守る側がもっとも警戒すべき点だと私は考えます。

怪しいケーブルの見分け方(分かる範囲で)

結論から言うと、完璧な見分け方はありません。それでも、リスクを下げる現実的な手がかりはあります。

ウイルス対策ソフトはこの種のケーブルを検知できませんし、目視での判別も当てにできません。実際、外から触っただけで「普通のケーブルか、処理能力を仕込んだケーブルか」を見抜く方法は無いとされています。だからこそ、見分けるより「素性の分かるものしか使わない」という運用が本質的な防御になります。

「USBコンドーム」(データブロッカー)の仕組みと限界

俗に「USBコンドーム」、正式にはデータブロッカーと呼ばれる小さなアダプタがあります。端末と充電ポートの間に挟んで使います。仕組みはいたってシンプルです。

Type-A端子には通常4本の接点があり、外側2本が充電用、内側2本がデータ通信用です。データブロッカーは、この内側のデータ用端子を物理的に切り取るか、回路的につながらないようにしています。電源ピンだけを残すため、電気は流れてもデータは流れない、という原理です。充電専用ケーブル(携帯扇風機やハンドウォーマーの付属品など)と同じ考え方ですね。

これは「電力だけほしい」という用途に「データ通信」というおまけ権限を付けない、まさに最小権限の実装です。設計思想として非常に理にかなっています。ただし、万能ではありません。限界も正直に押さえておきましょう。

ちなみに、データ線を素直に切り落としただけのシンプルな変換アダプタは、余計な仕掛けが無いぶん、むしろ確実で安心とも言えます。「高機能で急速充電も通す」とうたう製品より、原理が単純なものを選ぶ、という判断もアリです。

充電スポットの危険性 — ホテル・カフェ・空港・ファストフード

危険が想定されるのは、人が多く、匿名性が高く、機器を仕込んでも気づかれにくい場所です。空港、駅や車内、ホテル、コンビニ、カフェ、カラオケ、まんが喫茶、ファストフード店の充電コーナー——いずれも「ついで充電」の誘惑が強い場所ばかり。攻撃者にとっては、細工したポートやケーブルを置いておくだけで、あとは獲物が自分から差してくれる、という構図です。

大事なのは、リスクをゼロか百かで語らないこと。前述のとおり、更新済みのスマホなら実際のリスクは低めです。それでも、電源コンセントに自分の充電器をつなぐ方式なら常に安全ですし、モバイルバッテリーや充電専用ケーブルを使えば、リスクをほぼ完全に消せます。コストはわずか。やらない理由がありません。

拾ったメモリ・借り物は挿さない — バッドユーエスビーの怖さ

ケーブルや充電ポートと並んで警戒すべきが、正体不明のメモリです。「バッドユーエスビー(BadUSB)」と呼ばれる手口では、見た目はただのメモリでも、パソコンに差すとキーボードとして認識され、あらかじめ仕込んだ操作を自動で入力します。

これが厄介なのは、キー入力として振る舞うことで、従来のセキュリティ製品やファイアウォール、端末標準の防御をすり抜けてしまう点です。パソコンから見れば「キーボードから正常なコマンドが入力された」だけなので、ファイルを検査する型のウイルス対策では検知が極めて困難です。

「そんなの引っかからないよ」と思うかもしれません。ところが現実は甘くない。大学でメモリをばらまいた2016年の実験では、実に48%もの学生が拾ったメモリを自分のパソコンに差し、中のファイルを開いていたことが分かっています。好奇心は、最強の攻撃ベクトルなのです。

国内の状況も見ておきましょう。近年の分析では、この種の攻撃は「広く一般を狙う」ものから「特定組織を狙う標的型」や「外部から遮断された閉域環境を狙う」ものへと形を変えつつ、しぶとく生き残っているとされています。「閉域だから安全」「USB攻撃はもう古い」という思い込みこそ、最大のリスクだという指摘は重いですね。

結論 — 「自前」を貫くのが、いちばん強い

ここまで見てきた脅威は、手口こそ違えど、根っこは一つです。「素性の分からない機器を、自分の端末に物理接続してしまう」こと。ならば防御もシンプルです。接続する相手を、自分が管理下に置いた信頼できるものだけに絞る。監査可能な状態(誰の・いつ買った・どこで管理していた機器か分かる状態)を保つ。金融系の設計で言う、経路の分離と最小権限と証跡管理の考え方が、そのまま個人の端末防御に効きます。

脅威を過剰に煽るのは好みません。実被害の確認事例が乏しいのも事実です。それでも、対策のコストがほぼゼロで、価格の下がった攻撃ツールが現実に出回っている以上、「自前を貫く」ささやかな習慣は、確実にあなたを守ってくれます。次に電池が切れそうになったとき、目の前のポートに差す前に、カバンの中の自分のバッテリーを思い出してください。

本記事は公開情報と研究発表をもとに、注意喚起を目的として構成しています。攻撃手法の詳細な再現手順は扱っていません。製品名は仕組みの説明のために挙げたもので、特定製品の推奨・非推奨を意図するものではありません。