要点まとめ
米国連邦取引委員会によると、現在ではほとんどのウェブサイトやアプリがHTTPSでデータを暗号化しているため、日常的な閲覧であれば公衆Wi-Fiは通常安全です[1]。ただし、本当のリスクは残っています。偽のアクセスポイント「イービルツイン」[3]、閲覧したサイトなどの見えてしまうメタデータ[2]、有効のままのファイル共有[3]、そして同じく暗号化された偽のウェブサイトです[1]。
重要なポイント
- FTCによると、暗号化が広く使われているため、公衆Wi-Fiネットワーク経由での接続は通常安全です[1]。
- HTTPSは送信する内容を保護しますが、同じネットワーク上の人は、ドメイン名やアクセスした日時などのメタデータを依然として見ることができます[2]。
- イービルツインとは本物になりすました偽のアクセスポイントです。接続する前に、スタッフにネットワーク名を確認してください[3]。
- 公衆ネットワークではファイル共有をオフにし、オペレーティングシステム、ブラウザー、アプリを最新の状態に保ってください[3][1]。
- KRACK（2017年）やFragAttacks（2021年）などのWi-Fiプロトコルの欠陥はアップデートによって修正されました。だからこそパッチの適用が重要なのです[5][6]。
- VPNはローカルの盗聴者からメタデータを隠せますが、その代わりにVPNプロバイダーがすべてを見ることになり、EFFは公衆Wi-FiでVPNが誰にとっても必要なわけではなくなったとしています[2]。
このページの内容 11 章
公衆Wi-Fiは安全に使えますか？
日常的な用途のほとんどでは、安全に使えます。米国連邦取引委員会（FTC）によると、かつてはほとんどのウェブサイトがデータを暗号化していなかったため、同じネットワーク上の攻撃者がデータを傍受でき、公衆Wi-Fiは危険でした。しかし現在ではほとんどのウェブサイトが暗号化を使っているため、公衆Wi-Fiネットワーク経由での接続は通常安全です[1]。暗号化とは、端末とウェブサイトの間のデータをかき混ぜ、ネットワーク上の他の人が読めないようにすることです。
デジタル権利団体である電子フロンティア財団（EFF）も同じ結論に達しています。かつてはカフェや空港の公衆Wi-FiでVPNを使うのが標準的な助言でしたが、現在ではウェブ通信の大半がHTTPSで暗号化されているため、誰にとってもそれほど必要ではなくなったというのです[2]。
ブラウザーで接続を確認するには、モバイルブラウザーも含め、ウェブサイトのアドレスの左側に鍵のマークや「https」があるかどうかを確認するよう、FTCは勧めています[1]。アプリの確認はより難しいものの、FTCによると、ほとんどのアプリは暗号化を使っています[1]。
では、今も危険なのは何ですか？
暗号化が保護するのは通信中のデータであり、利用者の判断までは守ってくれません。残っているリスクは、偽のネットワーク、暗号化では隠せない情報、ファイルを共有している端末や更新されていない端末、そして同じく暗号化を使う偽のウェブサイトです[1][2][3]。以下のセクションで、それぞれについて説明します。
公衆Wi-Fiネットワークでは、他の人に何が見えるのですか？
HTTPSが保護するのは通信の内容であり、メタデータではありません[2]。EFFによると、HTTPSのサイトにアクセスすると、経路上の第三者は通常、ドメイン名（たとえばwikipedia.org）とアクセスした日時、さらに読み込んだり送信したりするページやファイルのサイズを見ることができます[2]。ただし、そのサイト内の具体的なページ、ログイン名、送信したメッセージは見えません[2]。
公衆Wi-Fiでは、自宅でインターネットプロバイダーが見られるのと同じように、ネットワークの電波が届く範囲にいる人が盗聴しようと思えば、同じメタデータを見ることができます[2]。EFFの見解は、これが自分にとって許容できるリスクであれば、公衆Wi-Fiの利用を心配する必要はないというものです[2]。
ネットワークの運営者は、MAC（Media Access Control）アドレスと呼ばれる端末のハードウェアアドレスを見ることもできます。Appleの説明によると、端末が常に同じWi-FiのMACアドレスを使っていると、ネットワークの運営者や観察者はそのアドレスを端末の活動や位置情報と長期にわたって結び付けることができます[8]。そのためAppleの端末はネットワークごとに異なるプライベートWi-Fiアドレスを使い、それを変更することもあります[8]。Android 10以降は、デフォルトでランダム化されたMACアドレスを使います[9]。
イービルツインのWi-Fi攻撃とは何ですか？
米国サイバーセキュリティ・社会基盤安全保障庁（CISA）が説明するイービルツイン攻撃では、攻撃者が公共のアクセスポイントに関する情報を集め、それになりすます独自のシステムを設置します。より強い電波を発信することで、何も知らない利用者が偽のアクセスポイントに接続するよう仕向けるのです[3]。被害者のインターネット通信は攻撃者のシステムを経由するため、攻撃者は専用のツールを使って被害者が送信するデータを読むことができ、その中にはカード番号、ユーザー名、パスワードが含まれることもあります[3]。
CISAの助言は、信頼できるアクセスポイントに接続するために、公衆ホットスポットを使う前に必ずその名前とパスワードを確認することです[3]。適切に暗号化されたサイトであれば、HTTPSによってイービルツインが読み取れる内容は依然として限られます[1][2]。残る危険は偽のサイトに誘導されることで、FTCは、詐欺師は偽のウェブサイトを作成し、安全に見せるために暗号化していると警告しています。データは送信中は暗号化されていても、サイトを運営する詐欺師からは守られないのです[1]。
同じネットワーク上の誰かが通信を迂回させることはできますか？
場合によってはできます。2024年に発表された手法TunnelVision（CVE-2024-3661）は、同じローカルネットワーク上の攻撃者が、ネットワーク設定を配布するプロトコルであるDHCPの機能を使って、VPNで保護されているはずの通信を読み取り、妨害し、場合によっては改ざんできることを示しました[7]。これを発見した研究者は、VPNは物理的なローカルネットワークへの攻撃を緩和するように設計されていないと結論づけています[10]。
オープンなネットワークは、パスワードで保護されたネットワークより危険ですか？
CISAは、多くの公共のアクセスポイントは保護されておらず、そこを流れる通信も暗号化されていないため、「平文」で送信されたデータはスニッフィングツールで取得される可能性があると指摘しており、少なくともWPA2の暗号化を備えたアクセスポイントを使うよう勧めています[3]。WPA2とWPA3は、端末とアクセスポイントの間の通信を暗号化するWi-Fiのセキュリティプロトコルです[3]。
カフェの壁に掲示された共有のパスワードがあっても、それを知っている人は誰でも接続できるため、ネットワークがプライベートになるわけではありません。新しいWi-Fiの規格は、このリスクの一部に対処しています。Wi-Fi製品を認証する業界団体であるWi-Fi Allianceによると、WPA3はWi-Fi CERTIFIEDの端末で必須となっており、WPA3-Personalの利用者はパスワードの推測に対するより強い保護を受けられます[4]。同団体はまた、オープンなネットワークで認証なしのデータ暗号化を提供するWi-Fi Enhanced Openも提供しています。これは保護がまったくない従来のオープンなネットワークからの改善であり、キャプティブポータル（多くのホットスポットで表示されるサインインページ）を使うネットワークも含め、従来のネットワークと相互運用できるよう設計されています[4]。
Wi-Fiの暗号化は有用な追加の保護層ですが、データをサイトまでずっと保護するのは、ウェブサイト自体のHTTPSによる暗号化です[1][6]。
Wi-Fi自体がハッキングされることはありますか？
あります。そしてその歴史は、アップデートがなぜ重要なのかを示しています。2017年、研究者のMathy Vanhoef氏はKRACK（鍵再インストール攻撃）を公表しました。これはWPA2の深刻な弱点で、電波の届く範囲にいる攻撃者が、安全に暗号化されていると考えられていた情報を読み取り、設定によってはデータを注入することもできるものでした[5]。攻撃を防ぐには、セキュリティアップデートが提供され次第、影響を受ける製品を更新する必要がありました[5]。
2021年5月、Vanhoef氏はFragAttacksを公表しました。これは、WPA3を含むすべての現代的なWi-Fiセキュリティプロトコル、さらには初期のWEPにまで影響する一連の脆弱性です[6]。そのうち3つはWi-Fi規格の設計上の欠陥でしたが、利用者の操作や一般的でない設定を必要とするため、悪用は困難でした。より大きな懸念はWi-Fi製品のいくつかのプログラミング上の誤りで、その中には簡単に悪用できるものもありました[6]。アップデートは、Wi-Fi AllianceとICASIが監督した9か月間の協調的な開示の期間中に準備されました[6]。
Vanhoef氏は、ウェブサイトがHTTPSを強制する設定であるHSTSを使っている場合、これらの欠陥を通じて送信データを盗むことはできず、最近のモバイルアプリはデフォルトでHTTPSを使っていると指摘しました[6]。つまり、暗号化が何層にも重なっていることが、Wi-Fiの欠陥によってすべてが自動的に漏れるわけではない理由なのです。
公衆Wi-Fiで安全を保つにはどうすればよいですか？
- ネットワーク名を確認します。イービルツインを避けるため、接続する前にスタッフにホットスポットの正確な名前とパスワードを尋ねてください[3]。
- HTTPSを確認します。機密性の高い情報を入力する前に、鍵のマークや「https」があることを確認してください[1]。
- ファイル共有をオフにします。CISAによると、保護されていない公衆ネットワークとファイル共有が組み合わさると、悪意のある利用者が誤って共有されたファイルにアクセスできる可能性があります。共有は、認識済みの自宅のネットワークでのみ許可してください[3]。
- ソフトウェアを最新の状態に保ちます。セキュリティソフトウェア、オペレーティングシステム、ブラウザーを更新し、スマートフォンの自動アップデートを有効にしてください[1]。
- 強力なパスワードと2要素認証を使います。盗まれたパスワードだけでは突破されないよう、FTCは両方を勧めています[1]。
- プライベートWi-Fiアドレスを有効のままにします。Appleは、対応しているすべてのネットワークでプライベートアドレスを有効にしておくよう勧めています[8]。
- 周囲に注意します。CISAは、入力中に肩越しにのぞき見されるだけで情報が漏れることがあると警告しています[3]。
公衆Wi-FiでVPNは必要ですか？
必ずしも必要ではありません。EFFによると、適切に設定されたVPNは暗号化されていない通信を保護でき、ローカルネットワークで盗聴している人からメタデータを隠せますが、その場合はVPNプロバイダー自体がそのすべてを見ることになります[2]。EFFは、誰が運営しているかわからない信頼できない公衆ネットワークを使わざるを得ず、かつ信頼できるVPNがある場合には、VPNが役立つ可能性があるとしています[2]。
- 利点：同じWi-Fiにいる人から、どのサイトにアクセスしているかを隠せます[2]。
- 代償：その情報が見える相手がVPN会社に移り、ポリシーが認めていれば、同社がデータを記録したり売ったりする可能性があります[2]。
- 限界：古いバージョンのVPNでは十分に保護されない可能性があります。EFFはその例としてTunnelVisionを挙げており[2]、テストでは通信が漏れている間もVPNは接続中と表示され続けていました[10]。
実用面での問題もあります。英国の国家サイバーセキュリティセンターは、一部のサードパーティのネットワークはIPsec VPNの通信を制限またはブロックしており、すべての通信をVPN経由にすると公衆Wi-Fiのキャプティブポータルと競合することがあると指摘しています[11]。一般的な予防策としてのもう1つの選択肢は、ホットスポットを信頼できない場合に自分のスマートフォンのモバイルデータ通信を使うことです。見知らぬ人とローカルネットワークを共有せずに済むからです。
| 情報 | ネットワーク上の他の人に見えるか | 出典に関する注記 |
|---|---|---|
| アクセスしたドメイン名と日時 | 通常は見える[2] | HTTPSが保護するのは内容であり、メタデータではない[2] |
| ページやファイルのサイズ | 見える[2] | メタデータの一部[2] |
| 具体的なページ、ログイン名、メッセージ | HTTPSのサイトでは見えない[2] | 通信中は暗号化されている[1][2] |
| 端末のMACアドレス | 見えるが、最近のAppleとAndroidの端末ではデフォルトでプライベートまたはランダム化されている[8][9] | ネットワークをまたいだ長期的な追跡を防ぐ[8] |
| HTTPSではないサイト上のデータ | 見える可能性がある[3] | 平文の通信はスニッフィングされうる[3] |
| 欠陥 | 公表年 | 可能になったこと | 主な対策 |
|---|---|---|---|
| KRACK | 2017年[5] | 電波の届く範囲で、暗号化されているはずのWPA2の通信を読み取る[5] | ベンダーのセキュリティアップデートをインストールする[5] |
| FragAttacks | 2021年[6] | 電波の届く範囲でのデータの窃取や端末への攻撃。WEPからWPA3まで影響[6] | 9か月間の協調的な開示を経たアップデート。HTTPSが一部の攻撃を緩和[6] |
| TunnelVision（CVE-2024-3661） | 2024年[7] | 同じローカルネットワーク上で、VPNの通信をトンネルの外へ強制的に流す[7] | VPNとオペレーティングシステムによる緩和策。Androidは影響なし[10] |
よくある間違い
もっともらしい名前の、最も電波の強いネットワークに接続する。
正しいやり方: スタッフに正確な名前とパスワードを確認してください。イービルツインはより強い電波を使います[3]。
鍵のマークがあればサイトは本物だと思い込む。
正しいやり方: 鍵のマークが示すのは暗号化であって、誠実さではありません。詐欺師も偽サイトを暗号化しています[1]。
カフェやホテルでファイルやフォルダーの共有を有効のままにする。
正しいやり方: 公衆ネットワークでは共有を拒否し、認識済みの自宅のネットワークでのみ許可してください[3]。
旅行中にシステムのアップデートを後回しにする。
正しいやり方: アップデートはすぐにインストールしてください。KRACKとFragAttacksはアップデートによって修正されました[5][6]。
VPNを完全な保護とみなす。
正しいやり方: 信頼できるプロバイダーを選び、最新の状態に保ってください。プロバイダーには通信が見えます[2]。
よくある質問
公衆Wi-Fiでオンラインバンキングを使っても安全ですか？
FTCによると、暗号化のおかげで公衆Wi-Fiは通常安全です[1]。銀行の公式アプリを使うかHTTPSを確認し、ネットワーク名を確かめ[3]、2要素認証を有効にしておいてください[1]。
公衆Wi-Fiを通じてスマートフォンがハッキングされることはありますか？
FragAttacksのようなWi-Fiの欠陥は、電波の届く範囲にある端末への攻撃に使われる可能性があり、だからこそアップデートが重要です[6]。最新の状態に保ち、共有をオフにした端末ではリスクが下がります[3][1]。
パスワード付きのホテルや空港のWi-Fiはより安全ですか？
WPA2やWPA3などの暗号化は役立ちますが[3][4]、パスワードを知っている人は全員同じネットワーク上にいるため、HTTPSと慎重なネットワークの選択が依然として重要です[1][3]。
公衆Wi-FiではVPNを使うべきですか？
ほとんどの人にとっては任意です。EFFによると、VPNはローカルの盗聴者からメタデータを隠せますが、その代わりにVPNプロバイダーがすべてを見ることになります[2]。
キャプティブポータルとは何ですか？
多くのホットスポットで、閲覧を始める前に表示されるサインインページです。Wi-Fi Enhanced Openは、キャプティブポータルを使うネットワークでも通信を暗号化できます[4]。
用語集
出典
- Are Public Wi-Fi Networks Safe? What You Need To Know US Federal Trade Commission, Consumer Advice
- Choosing the VPN That's Right for You (Surveillance Self-Defense) Electronic Frontier Foundation; last reviewed 28 July 2026 · 2026-07-28
- Securing Wireless Networks (archived) US Cybersecurity and Infrastructure Security Agency · 2021-02-01
- Security (WPA3, Wi-Fi Enhanced Open, Protected Management Frames) Wi-Fi Alliance; retrieved 2026-11-03
- Key Reinstallation Attacks: Breaking WPA2 by forcing nonce reuse Mathy Vanhoef, imec-DistriNet, KU Leuven
- FragAttacks: Fragmentation and Aggregation Attacks Mathy Vanhoef · 2021-05-11
- CVE-2024-3661 Detail US National Institute of Standards and Technology, National Vulnerability Database · 2024-05-06
- Use private Wi-Fi addresses on Apple devices Apple Support; retrieved 2026-11-03
- MAC randomization behavior Android Open Source Project; last updated 9 October 2026 · 2026-10-09
- TunnelVision (CVE-2024-3661): How Attackers Can Decloak Routing-Based VPNs For a Total VPN Leak Leviathan Security Group · 2024-05-06
- Device security guidance: Virtual Private Networks (VPNs) UK National Cyber Security Centre; reviewed 13 May 2025 · 2021-06-29
コメント
トップコメント