公共Wi-Fiは危険？知らないと怖いリスクと安全な使い方2026
「パスワードなしで繋がる」「暗号化されていない」公共Wi-Fiには、総務省やIPA（情報処理推進機構）が公式資料で明示しているとおり、通信内容を第三者に覗き見られる具体的な脆弱性があります。実際に伊勢志摩サミットの際にはホテルのWi-Fi設定が何者かによって書き換えられる事件も起きています。ここでは公的機関の資料と実例をもとに、公共Wi-Fiで何が起こり得るのか、どこまで対策すれば十分なのかを整理します。
目次
公共Wi-Fiはなぜ盗聴されるのか ― 暗号化方式の違い
無線LANの暗号化方式には古いWEPと、現在推奨されているWPA/WPA2があります。総務省の「無線LANビジネスガイドライン」はWEPについて「容易に解読されるおそれがある」と明記し、WPAまたはWPA2による暗号化を行うよう求めています。問題は、暗号化が一切ないオープンな公共Wi-Fi（パスワード不要で誰でも接続できるもの）がカフェや駅に今も多く存在することです。暗号化がない通信区間では、同じアクセスポイントに接続した第三者が専用のソフトウェアを使うことで通信内容を読み取れる可能性があり、総務省はHTTPS（SSL/TLS）やVPNといった上位層での暗号化を利用者側の補完策として挙げています。
- 総務省のガイドラインはWEPを「容易に解読されるおそれがある」として非推奨としている
- 暗号化ありのWPA2でも、アクセスポイント自体が信頼できるかは別問題
- パスワード不要のオープンな公共Wi-Fiは暗号化そのものがない場合がある
なりすましアクセスポイント「エビルツイン」の具体的な手口
IPAが公衆無線LANの脅威として挙げる4類型の一つが「なりすましアクセスポイント」、通称エビルツイン（Evil Twin）です。攻撃者はカフェや空港など利用者が多い場所で、正規のSSID（Wi-Fi名）と同じ名前の偽アクセスポイントを、正規より強い電波で発信します。スマートフォンは自動接続機能により信号の強い方へ繋がりやすいため、利用者は気づかないまま偽のネットワークに接続してしまいます。接続後に表示されるログインページも模倣されており、そこで入力したIDやパスワードがそのまま攻撃者の手に渡ります。市販のルーターやRaspberry Piのような小型コンピュータ、無料で配布されている攻撃用ソフトウェアがあれば構築できるため、技術的な障壁は決して高くありません。
- IPAは公衆無線LANの脅威を「盗聴」「なりすましAP」「セッションハイジャック」「不正中継」の4類型に整理している
- エビルツインは正規のSSIDを模倣し、より強い電波で利用者を誘導する
- 偽のログインページでID・パスワードを直接盗み取られる手口が典型的
実際に起きた事例：伊勢志摩サミットでのWi-Fi乗っ取り
実際に報道された事例として、伊勢志摩サミットの取材拠点になった三重県内の宿泊施設で、無線LANルーターの設定が何者かによって改ざんされていたことが明らかになったケースがあります。パスワードによる管理画面のロックがかかっておらず、第三者が通信経路を切り替える設定を埋め込んだとみられ、宿泊客のパソコンがマルウェアに感染する危険があったと報じられています。総務省のガイドラインでも、Wi-Fiルーターの管理画面を有線接続時のみアクセス可能にする、安全な管理用パスワードを設定するといった対策が、提供元による不正な設定変更を防ぐうえで有効だとされています。つまり「提供元が正規であること」と「その設定が安全に保たれていること」は別問題であり、公共Wi-Fiの管理者側の設定が外部から改変され得ることを示す実例です。
- 伊勢志摩サミット時、ホテルのWi-Fi設定が外部から書き換えられ広告が不正表示された事例が総務省の注意喚起に挙げられている
- 正規の施設が提供するWi-Fiでも設定自体が改変されるリスクがある
- 暗号化されたWi-Fiでも、別の経路（ブラウザ機能など）から情報が覗かれる事例も報告されている
公的ガイドラインが示す利用者側の対策
総務省の無線LANセキュリティガイドラインは「自宅Wi-Fi利用者向け」「公衆Wi-Fi利用者向け」「公衆Wi-Fi提供者向け」の3種類に分かれており、公衆Wi-Fi利用者向けの簡易マニュアルでは、接続前にネットワーク名（SSID）を提供元に確認すること、重要な情報を入力するサイトはHTTPS通信になっているか確認すること、を基本対策として挙げています。IPAの技術レポートも同様に、不特定のアクセスポイントへの安易な接続を避け、金融系サービスの利用は控えることを推奨しています。これらはいずれも無料で今すぐ実践できる対策であり、VPNを使う前に必ず押さえておくべき基本です。
- 総務省ガイドラインは利用者向け・提供者向けで資料が分かれており、利用者向けにはSSID確認・HTTPS確認が明記されている
- IPAも不特定のアクセスポイントへの安易な接続と金融系サービス利用の回避を推奨
- これらの基本対策は無料でできるため、VPN導入の有無に関わらず実践すべき
基本対策を実践した上でVPNが補完できること
SSID確認やHTTPS確認を徹底しても、接続したアクセスポイント自体が偽物だった場合や、暗号化されていない区間が残る場合のリスクはゼロになりません。総務省の資料もVPNを「通信を暗号化し、公衆無線LANを使用しても盗聴などから通信を守る技術」として利用者側の補完策に位置づけています。ただしIPAは同時に「提供元が不明なVPNサービスもある」と注意を促しており、どのVPNを使うかも重要です。NordVPNやSurfsharkのようなキルスイッチ機能（VPN接続が途切れた際に通信を自動遮断する機能）を持つサービスであれば、エビルツインのような偽アクセスポイントに接続してしまった場合でも、暗号化された通信区間の外に生データが漏れ出すリスクを抑えられます。
- 総務省の資料もVPNを利用者側の補完的なセキュリティ対策として位置づけている
- IPAは「提供元が不明なVPNサービス」への注意も同時に促している
- キルスイッチ機能があれば、VPN接続が切れた際に生の通信が流出するリスクを抑えられる
関連記事
VPNは危険？安全なVPNの選び方と避けるべきサービスの特徴
VPNの危険性・リスクを正確に理解し、安全なVPNの選び方を解説。避けるべき危険なVPNの特徴と、信頼できるサービスの見分け方を詳しく紹介します。
ワーホリ持ち物リスト2026｜現地Wi-Fiとセキュリティ対策まとめ
ワーキングホリデーの持ち物チェックリストを、パスポート・お金といった基本項目から、現地の公共Wi-Fi事情・SIM選び・個人情報を守るVPN対策まで解説。出発前に見落としがちな通信環境の準備をまとめます。
海外出張・海外赴任の準備リスト2026｜現地のネット環境とセキュリティ対策
海外出張・海外赴任前に準備すべき持ち物・手続きに加え、ホテルWi-Fiや海外からの社内システムアクセスにまつわるセキュリティリスク、国ごとに異なる通信規制の実態を解説します。
VPNおすすめランキングTOP5（編集部選定）
2026年におすすめのVPN5社を、編集部がおすすめ順にランキング形式で紹介。料金・サーバー数・第三者監査などの公開情報と、用途別の選び方をまとめました。アフィリエイト提携先を優先して掲載しています。
※ 本ページの口コミ・評判は、各種口コミサイト・SNSの声を編集部が要約したものです。個人の感想であり、利用環境や時期によって異なります。