USBデバイスを挿すとPCが乗っ取られると大騒ぎ！

なのですが、
よくよく調べてみますと、USBの構造上、技術的な観点から、そういう悪事を仕込める可能性がある仕様であったといった感じで、

• もう、すでに被害が出ているのか？
• 実際のところ、被害状況はどうなのか？
• 具体的に、どの製品が危ないのか？

などは、よく判っていないのが実情です。

若干、性善説で成り立っている部分(仕様)が見つかったので、注意喚起が必要なのです。といった論調です。

今までのウィルスと決定的に違う点。

判りやすく、『USBメモリー』を例に取りましょう。
パソコンに、よからぬ事を仕込む場所として、
今までは、USBメモリーの実メモリー領域の中に(一般のデータやプログラムとして)格納されていて、USBメモリーを差し込んだ時に自動で実行されるよう仕組んだものという手段でした。

今回、騒ぎになっている方法は、USBメモリーを制御するプログラムを格納する部分(世間では、ファームウェアなどと呼ばれます。)によからぬプログラムを忍ばせる方式のため、おそらくは今までのウィルス対策ソフトでは『検出・駆除できない領域に』プログラムを仕込む事ができるということで大騒ぎになっている訳です。

なんで、この領域は検索できないのか？

色々な製品で、『〇〇製品ファームウェアの更新プログラム』なんていうソフトをダウンロードして、Windows上で実行したことはありませんか？
今までにあるのは、DVDドライブのファームウェア更新とか、NAS型ハードディスクの制御プログラムの更新とか、そういう風なものが該当する訳なんですが、その機器を制御するプログラムが格納されている、専用の領域にあるデータを書き換える、特殊な作業を指します。
この領域あるプログラムを、本来の動きを制御するプログラムと、よからぬ事をするプログラムの合体版(= 不正な制御プログラム)に変える事によって、接続するケーブル(今回の場合、USBケーブル)上に流れるデータをチェックしたり傍受したり、どこかに送信したり？そういった事が技術的に可能になる、そういうところで騒いでいます。

そんな、仕組みがあるのなら危険で大変じゃないか！

そう思われる方も多いと思います。
ですが、悪い事が完結するには、それなりに沢山のハードルがあるんです。

• 制御が複雑なUSB機器であること。
  単純なマウスはほぼ除外されると言って構わないと思います。
  CD/DVD/Blu-rayドライブの類も同様に除外されると思います。
  ※ プログラマブル・タイプなどの高性能機器は可能性が残ります。
• それなりの規模のファームウェアが存在する。
  製品はコスト意識が高い為、ファームウェアの規模が大きくない限り、その情報を格納する領域も大きくありません。ここが大きくないとたいした悪さ(をさせるプログラム)が仕込めないので対象となりにくいのです。
  シンプルな攻撃なら、コードも少ないので仕込めます。あくまでも確率的な要素です。
• ファームウェアの書き換え方法が存在する。
  販売出荷後に、ユーザー側でファームウェアなどの書き換えを想定した、ファームウェア・アップデートの手段が実装されていること。
• 第三者からの書き換え防止機能が不十分。
  通常、書き換え防止のための仕組みが搭載されるべきところ、コストダウンのため簡略化されたり、搭載された仕組みに脆弱性があったりという事がある。
• 第三者がその仕組みを使って勝手に更新できる。
  通常、このあたりの更新手順はメーカーから非公開(含む、書き換え防止機能)になっており、簡単には差し換えられないはずですが、悪用者の解析によって判明してしまった。
• そういった機器に対して、騙した手段で更新を促す。
  何らかの方法で、メーカー正規のバージョンでないファームウェアの更新を、信じさせて実施させる方法がある。パソコン側がすでに『勝手に機器を更新する(書き換える)ウィルス』に感染している場合もあり。
• 余計な動作をしていることを気付かせない工夫がある。
  通常の制御の他に、悪いことをしたい方が追加した作業時間や動作などをカムフラージュできる方法がある。
  【例】ランプの点灯タイミングを変えない。
  【例】アクセススピード、処理性能が変わらない。

話を簡単ままとめてみますと、こんな感じです。

ざっくりとした危険度で示しますと、

危険度【低】まず心配ないでしょうという機器

絶対とは言えないまでも、理屈の上ではまず心配無用だと思われる機器。

• シンプルな、マウス。
• USBで繋ぐだけの単機能プリンター
  → パソコン常駐ソフトによる機器ファーム更新機能無し
• その他、技術的にファームウェア格納領域が見えない、更新不可な物。

危険度【中】危ない場面を作り出すことは可能

危険度が高いとは言えないまでも、理屈の上ではありえるかもしれないという機器。
キーボードは、原始的なキーロガーなら、仕込める余地あり？

• マクロなどが組めるマウス(付加機能搭載機など)
• キーボード
• ファーム更新機能のあるプリンター
• USBメモリー
  → ウィルス駆除機能とか、パスワードロックなど本来のUSBメモリーにない機能が、USB本体に搭載されている場合、その機能を実現するための専用の記憶領域がある場合があります。(パソコンにインストールして使うというタイプなら、確率はぐっと下がります。)

危険度【高】今後の成り行きを見守る必要あり

危険度【低～中】に振り分けられなかったものは、ほとんどここに入ります。

• スマートフォンやタブレットの類
  → ここはまだ未知の領域ですが、高機能なUSBストレージと見れば十分可能性あり。マイナーなモデルや、rootを取った改造モデルなどは要注意。
• ファーム更新機能やLAN/WIFI機能のあるプリンター複合機
• NAS型ハードディスク (危険と思う理由は少し違います)
• その他、比較的高機能なUSB機器全般

なんだか、不安でしょうがないぞ！という方へ

専門家のカンファレンスで発表されて間もなく、問題点や、からくりの全容が解明されていない状況なので、楽観的にみるか、悲観的に捉えるかで、大きく変わるとは思いますが、悪い方たちの技術が先行していた場合、かなりの被害規模になると想像できます。
とにかく、現時点で思いつく限りのアドバイスをいたします。

データの受け渡しには、原始的なCD/DVDを活用。

USBメモリーや、外付けHDDなどを多用している心配な方は、
原始的な仕組みのCD/DVDを活用されることをお勧めいたします。
少なくとも、自分のものではない、実績のないUSB/HDDを挿すことによる被害はお互いに防ぐことができます。

不要な時はLAN/WIFIから切り離して利用する。

プリンターや、NAS型ネットワークHDDを活用されている方は、
使わない時に、まめにLANから切り離して運用するなど、
万一、データが覗かれていた場合でも、外部に流出する確率を下げる試みは一定の効果があるものと思われます。

技術力や信頼のおけるメーカーの製品を利用する。

被害条件のひとつである、ファームウェア特定領域へのアクセスをされにくくする技術、不正な行為についての監視や、被害後の迅速な対応・分析などを期待するなら、知らないメーカー製品を買うことをやめるだけでも一定の効果があります。

利用機器の更新と思われる場合、特に注意を払う。

このような悪いからくりが多くなるのは、これからだと思いますので『その更新通知が本物かどうか？』は一層注意深くチェックする必要があります。
更新通知には飛びつかず、メーカー ウェブページなどでも確認をするなど、更なる注意が必要です。