【緊急】「ホテルのWi-Fiは使うな」マイクロソフト警告の本当の意味とは

出張先や旅行先で、当たり前のように使ってきたホテルの無料Wi-Fi。そこに「使うな」と、あのマイクロソフトが異例の強い言葉で警告を出しました。単なる注意喚起ではありません。ロシア系とされる攻撃グループが、宿泊施設のネットワークそのものを乗っ取り、気づかれないうちにアカウント情報を抜き取る大規模な作戦が現実に動いていたのです。

この記事では、警告の中身、攻撃が巧妙な理由、そして日本・米国・欧州など各地域のホテルWi-Fi事情を整理し、最後に「では、どうすれば安全に使えるのか」を分かりやすくまとめます。

マイクロソフトが出した異例の警告

2026年8月1日、マイクロソフトは「公共および宿泊施設のネットワーク基盤は、信頼できないものと想定すべきだ」と踏み込んだ声明を発表しました。ホテルや空港のWi-Fiに対して、ここまで断定的な表現を使うのはかなり珍しいことです。

背景にあるのは、同社が「CaptiveCrunch（キャプティブクランチ）」と名付けた世界規模の攻撃作戦です。実行者は、ロシアとのつながりが指摘されるグループ「Storm-2945」とされます。これは以前から知られる大型の攻撃集団の下位クラスタと位置づけられています。作戦は2026年5月ごろから、世界各地の宿泊施設や来客向けネットワークを舞台に続いていたとされます。

この警告は、セキュリティ企業ReliaQuest（リライアクエスト）が同年7月に公表した調査報告に続くものです。同社は、来客用Wi-Fiの入り口となる機器が乗っ取られ、企業の従業員が使うクラウド業務アカウントが狙われている実態を突き止めていました。フィッシングメールを送るでもなく、パソコンに直接侵入するでもなく、通信の流れを操作して偽のログイン画面へ誘導する——それが今回の手口の恐ろしさです。

攻撃の仕組み — なぜ気づけないのか

鍵になるのは、Wi-Fiに接続したときに最初に表示される認証ページ、いわゆる「キャプティブポータル（接続用の入り口ページ）」です。攻撃者はこの入り口を管理する機器に侵入し、接続先を案内する仕組みであるDNS（ドメイン名前解決）の情報を書き換えます。

これにより、利用者がクラウド業務サービスへログインしようとすると、本物そっくりの偽サインイン画面へ静かに飛ばされます。画面の見た目は精巧で、ネットワーク名もホテルのものと一致しているため、見破るのは至難の業です。ときには「本人確認をしてください」「ソフトウェアを更新してください」といった、もっともらしい画面が差し込まれます。

さらに悪質なのが、認証コードを使った承認フローの悪用です。攻撃者が用意したコードを利用者本人が入力・承認してしまうと、正規の認証トークンが発行され、パスワードを盗まなくても、多要素認証（MFA、ログイン時の追加確認）すら回り込んでアカウントへアクセスされてしまいます。本人が「承認」ボタンを押すため、仕組み上とても厄介です。

加えて、今回はマルウェア（不正プログラム）そのものが送り込まれるケースも確認されています。「CornFlake（コーンフレーク）」と名付けられた遠隔操作型の不正プログラム（RAT）は、認証情報やセッション情報を奪い、キー入力を記録し、画面を撮影し、さらにはカメラやマイクを乗っ取ることまでできるとされます。正規のシステム更新を装って配られる点も見逃せません。

標的はパソコンだけではありません。スマートフォン側も無関係ではなく、Androidを狙って不正なアプリ（APK）を導入させる誘導も報告されています。

※ 公表資料をもとに、手口の流れを分かりやすく再構成したもの。

AIが「攻撃側」にも回った時代

今回の調査で見逃せないのが、AIの影です。マイクロソフトの脅威インテリジェンス部門は、調査への協力に対してAnthropicとOpenAIに謝辞を述べています。というのも、攻撃グループ側がこの作戦を進めるうえでAIを活用していた形跡があったからです。

防御する側だけでなく、攻撃する側もAIを道具にする。偽ページの精巧さや、標的ごとの使い分けの速さは、この流れと無関係ではないでしょう。「AIがサイバー攻撃に使われる」という懸念が、抽象論ではなく具体的な事案として表面化した——そう受け止めるべき出来事です。

各国のホテルWi-Fi事情を比較する

今回の攻撃は、特定の国だけの問題ではありません。調査では米国の複数都市に加え、インドやサウジアラビアなどでも乗っ取られた機器が確認されています。地域ごとにWi-Fi環境の成熟度は異なりますが、「便利さの裏にリスクがある」点は共通しています。

※ 被害確認地域は公表資料に基づく。傾向部分は一般的な調査・報道からの整理を含む。

「HTTPSだから安全」は本当か

ここで、よくある誤解を整理しておきます。「今どきのサイトはほとんど暗号化（HTTPS）されているから、公共Wi-Fiでも大丈夫」——この説明は、半分正しく、半分危険です。

確かに、正規のネットワークにつないで暗号化されたサイトを普通に見るだけなら、昔よりずっと通信は守られています。しかし、偽のネットワークや、乗っ取られた入り口ページから「何かを入れさせられる」場面では、暗号化だけでは身を守れません。脅威の中心は、単純な「盗み聞き」から、「なりすまし」と「だまし」へと移っているのです。

つまり、無料Wi-Fiが即アウトなのではなく、「素性の確認できないWi-Fi」と「予期しない入力・承認の要求」こそが本当の危険だ、と考えるのが正確です。

安全に使うために本当に必要なこと

では、旅行や出張で現実的にどう身を守ればよいのか。難しい設定は抜きにして、効果の高い順に整理します。

※ 企業の情報システム部門は、認証コードによる承認を業務上不要なら無効化するなど、組織側での制御も検討したい。

IT小僧コラム — 「信頼の置き場所」を疑え

まとめ

マイクロソフトの警告は、「無料Wi-Fiは危ない」という古い注意喚起の焼き直しではありません。ネットワークの入り口そのものが乗っ取られ、正規に接続している利用者が静かに偽サイトへ誘導される——防御の前提が変わったことを示す、重い警告です。

とはいえ、旅先のWi-Fiを一切使うなという話でもありません。重要な作業は携帯回線に逃がす、通信を暗号化する、そして「更新」「承認」を求める予期しない画面には一旦立ち止まる。この三つを押さえるだけで、リスクは大きく下げられます。

参考：マイクロソフト公式セキュリティ情報、Forbes、ReliaQuest、情報処理推進機構（IPA）ほか。