스마트폰용 악성코드는 대부분 안드로이드 앱 파일(APK) 형태라 윈도우에서는 실행 자체가 안 됩니다. USB에 그런 파일이 들어있어도 PC에 꽂는 것만으로 컴퓨터가 감염되지는 않아요.
다만 진짜 문제는 그 USB에 윈도우용 악성코드가 같이 숨어 있는 경우입니다. 요즘 윈도우는 자동실행이 기본으로 막혀 있어서 꽂자마자 감염되는 일은 드물지만, 안에 뭐가 있나 궁금해서 파일을 열어보는 그 순간이 위험합니다. 연결한 뒤에는 아무것도 열지 말고 바로 백신 검사만 돌리세요.
말씀하신 대로 PC에서 포맷한 다음 폰에 연결하는 순서면 대체로 안전합니다. 포맷할 때 '빠른 포맷' 체크를 풀고 진행하면 더 확실하고요.
한 가지만 덧붙이면, 출처를 전혀 모르는 USB는 포맷으로도 해결이 안 되는 유형이 있습니다. 저장공간이 아니라 USB 자체 펌웨어를 건드린 경우인데(BadUSB) 드물긴 해도 이건 포맷해도 그대로 남습니다. 길에서 주웠거나 모르는 사람에게 받은 거라면 아깝더라도 그냥 안 쓰는 쪽을 권해요.