そのフリーWi-Fi、本当に安全ですか？パスワード付きでも守られない理由

コーヒーショップ、ホテル、駅、空港、居酒屋、マンガ喫茶。いまや「無料でつながるWi-Fi（ワイファイ）」がない場所を探すほうが難しくなりました。海外の空港でも、到着ゲートを出た瞬間にいくつもの電波が飛び込んできます。

便利です。ありがたいです。ただ、IT小僧としてはひとつ言っておきたい。その電波、誰が出しているのか、あなたは確認しましたか？

「パスワードが必要だから大丈夫」と思っている人が、いちばん危ない。この記事では、公衆Wi-Fiの何が危険で、何は実は大丈夫で、外出先でどう身を守ればいいのかを、煽らずに整理します。

「無料Wi-Fi」の何が危ないのか

自宅のWi-Fiやポケット型Wi-Fiと、街なかの公衆Wi-Fiには決定的な違いがあります。機器を管理しているのが自分ではない、という一点です。

電波は目に見えません。SSID（エスエスアイディー／ネットワークの名前）という文字列だけが、利用者に与えられた唯一の手がかりです。そして、その文字列は誰でも自由に名乗れます。ここがすべての出発点です。

パスワード付きなら安全、という最大の誤解

レジの横に貼ってある紙。「Wi-Fiの合言葉は coffee1234 です」。あれを見て「暗号化されているから安心だ」と思った人は、考え方を変えたほうがいい。

従来からよく使われている暗号化の方式（WPA2）では、全員が同じ合言葉を共有します。つまり、その合言葉を知っている人は、あなたと同じ店内にいる客も、貼り紙を写真に撮って帰った人も含めて全員。同じ合言葉を持つ者どうしでは、条件がそろえば通信の中身に手が届いてしまう余地が残ります。

さらに厄介なのは、合言葉が分かっているなら、同じ名前・同じ合言葉の偽物を立てるのも簡単だということ。「合言葉を入力させる」という手順そのものが、本物である証明にはならないのです。

なお、新しい方式（WPA3、そして公衆向けのEnhanced Open）では、利用者ごとに個別の鍵を使う仕組みになり、この「合言葉の共有」問題はかなり改善されています。総務省の案内でもこうした新方式が紹介されるようになりました。ただ、街のフリーWi-Fiがすべて対応しているかというと、現実はまだそこまで来ていません。

実際に有罪判決が出た「偽Wi-Fi」事件

机上の空論ではありません。オーストラリア連邦警察が摘発した事件を紹介します。

この男が使った手法のポイントは、スマホが「前につないだWi-Fiはないかな」と自分から呼びかける性質を利用したことです。呼びかけを拾って、その名前の電波を即席で作り出す。自動接続をオンにしたままの端末は、持ち主が気づく前につながってしまう。空港で急いでいる人間が、いちいち電波の正体を確認するでしょうか。しませんよね。そこを突かれました。

とはいえ、煽りすぎるのもフェアではない

ここで正直な話をします。「フリーWi-Fiにつないだ瞬間、クレジットカード番号が全部抜かれる」という書き方をする記事がありますが、あれは言いすぎです。

いまのウェブサイトのほとんどは HTTPS で通信します。ブラウザーとサイトの間が端から端まで暗号化されるので、途中の電波区間で盗み見ようとしても、中身は読めません。海外のセキュリティ研究者からも「偽アクセスポイント攻撃は実験室ではよくやるが、実際に野外で遭遇する例は多くない」という指摘が出ています。この冷静な視点は持っておくべきです。

問題は、HTTPS が守ってくれる範囲の外側に穴が残っていることです。

結論。「全部筒抜け」は嘘。「だから何をしても平気」はもっと嘘。この中間に正解があります。

総務省が示す「たった2つ」のポイント

総務省は「公衆Wi-Fi利用者向け 簡易マニュアル」を公開しており、利用者がやるべきことを2点に絞っています。役所の資料にしては潔い。

地味ですが、これが基本です。基本を守らずに小手先の道具だけ増やしても意味がありません。

外でやっていい操作、やめておく操作

危険度を整理しました。あくまで「守りの装備なしで公衆Wi-Fiにつないだ場合」の目安です。

対策その1：そもそも、つながない

身もふたもない話ですが、これが最強です。スマホの回線を使ってパソコンをつなぐ「テザリング」を使えば、経路の管理者は自分自身になります。

通信量を気にする気持ちは分かります。ただ、大容量プランが当たり前になった今、「重要な操作のときだけテザリング」という使い分けなら、負担は知れています。カフェで動画を見るのは店のWi-Fi、口座を確認するのは自分の回線。この線引きだけでリスクの大半は消えます。

海外なら、現地で使える通信手段を確保しておく。空港の得体の知れない電波に頼らずに済む、というだけで価値があります。

対策その2：VPNで通信そのものを包む

どうしても公衆Wi-Fiを使わざるを得ない場面はあります。そこで登場するのが VPN（ブイピーエヌ／仮想専用線）です。

仕組みはシンプルで、自分の端末から契約先のサーバーまで、通信全体を丸ごと暗号化したトンネルに通すというもの。途中の電波がどんなに怪しくても、トンネルの中身は見えません。前述のオーストラリアの事件でも、警察は対策としてVPNの利用を挙げていました。

VPNは道具であって免罪符ではありません。それでも、外出先での通信を守る手段としては、いま最も現実的な選択肢です。導入するなら、運営元がはっきりしていて、通信記録を残さない方針を明示している有料サービスを選んでください。

無料のVPNは使わないようにしてください。安全は、カネで買うものと心がけてください。

対策その3：端末側で、いますぐやる設定

お金も手間もかかりません。今日この場で終わる話です。

もうひとつ。Wi-Fiにつなぐのに、メールやSNSのアカウントでのログインを求めてくる画面は、それ自体が赤信号です。オーストラリアの警察も同じことを言っています。無料の電波を借りるだけなのに、なぜあなたのアカウント情報が必要なのか。理由がないなら、それは罠です。

海外のフリーWi-Fiは、さらに読めない

国内なら、まだ「店員に聞く」という手が使えます。海外はそうはいかない。言葉が通じない、掲示がない、そもそも誰が提供しているのかも分からない。

加えて、国によっては通信の監視が制度として存在します。安全か危険かという二択ではなく、中身が見られている前提で行動するのが正解です。旅先で口座を確認したくなる気持ちは分かりますが、宿の共用Wi-Fiでやることではありません。

海外に行くなら、出発前に通信手段と守りの道具を揃えておく。現地で慌てて探すのは、いちばんやってはいけないことです。

IT小僧コラム：「無料」の請求書は、どこかに回っている

金融系のシステムを触っていた頃、社内で徹底的に叩き込まれたことがあります。
「経路を信用するな」
回線がどれだけ立派でも、経路上の機器は誰かの持ち物です。だから通信は端から端まで自前で暗号化する。相手が本物かは証明書で確かめる。それでも足りないから多重の認証をかける。面倒でしたが、理由のある面倒でした。

ところが街に出ると、この前提がまるごと外れます。名前も知らない誰かが立てた機器に、財布とほぼ同じ価値を持つスマホを、ノーチェックで接続する。システム屋の感覚からすると、けっこう狂った行為です。

誤解のないように言っておくと、フリーWi-Fiを提供している店や自治体の大多数は善意です。集客のため、サービスのため、真面目に運用しています。問題は、善意の提供者と悪意の第三者を、利用者側から区別する手段がないことです。SSIDという文字列に、身分証明の機能はありません。

そして「無料」という言葉。ネットの世界で無料のサービスは、たいてい利用者自身が商品になっています。悪意がなくても、通信の履歴が広告のために使われていることはある。無料の請求書は、必ずどこかに回っているのです。

怖がって使うなとは言いません。使えばいい。ただ、「借り物の道を歩いている」という自覚を持って歩け、というだけの話です。

まとめ

セキュリティに「絶対安全」はありません。あるのは、確率を下げる積み重ねだけです。自動接続を切る。鍵マークを見る。大事な操作は自分の回線でやる。どれも地味で、どれも効きます。

次にコーヒーショップで電波一覧を開いたとき、ほんの2秒でいい。「これは、誰が出している電波だろう」と考えてみてください。その2秒が、あなたの財布と信用を守ります。

それでは、また。