本文へスキップ
ITDセキュリティ対策プラットフォーム
目的から探す
検索
対策・学習12分で読める

公共Wi-Fiの危険性：盗聴より注意すべき偽のアクセスポイントと証明書の警告

カフェや駅の公共Wi-Fiは危険か。盗聴はHTTPS普及で優先度が下がり、本当に注意すべきは偽アクセスポイント・証明書警告の無視・同じネットワークへの端末の露出です。テザリングを軸にした対策をまとめます。

本文を読む
#セキュリティ基礎#公共Wi-Fi#ネットワーク#フィッシング
公開日
更新日
目次

「カフェや駅の無料Wi-Fi、使って大丈夫？」というよくある質問に、煽らず正直に答えます。危険の中身を正しく分けると、対策はむしろシンプルになります。ここでは攻撃手順は扱いません。

よくある誤解と、実際のリスク

まず「何が怖くて、何はそうでもないか」を分けます。

過大評価されがち

  • 「公共Wi-Fi＝通信を盗聴される」— HTTPS普及で大半は暗号化済み
  • 「VPNを入れれば全部安全」— 暗号化はするが万能ではない

本当に怖いのはこちら

  • **偽AP（evil twin）**に自分から繋ぐ
  • 証明書の警告を無視して進んでしまう
  • 同じネットワークの他人に端末/共有が見える
  • 一度繋いだSSIDへの自動再接続

実際に危ないこと

1

偽アクセスポイント（evil twin）

攻撃者は、店名そっくりのSSID（ネットワーク名）の偽親機を立てられる。利用者がそれを“本物だと思って”繋ぐと、通信が攻撃者を経由する。偽のログイン画面（captive portal）でID/パスワードを盗む手口と組み合わされやすい。問題はネットワーク名は誰でも真似できること。
2

証明書警告の無視

HTTPSは「正しい相手と暗号化通信している」ことを保証する。偽の相手が割り込もうとするとブラウザが証明書の警告を出す。ここで「無視して進む」を押すと、HTTPSの守りを自分で外すことになる。警告は最後の確認手段。
3

同じネットワークへの端末露出

公共LANでは、ファイル共有やプリンタ共有、古い端末の脆弱なサービスが、同じネットワークの他人から見えることがある。OSのネットワーク種別を「パブリック」にして共有を絞るのが効く。
4

自動再接続の危険

スマホ/PCは一度繋いだSSID名を覚え、同じ名前を名乗るAPに自動で繋ぎ直す。なりすましAPに気づかず繋がる原因になる。使い終わったら「このネットワークを削除（自動接続オフ）」。
本物：Cafe_FreeWiFi（正規の親機）
偽物：Cafe_FreeWiFi（同名のevil twin）← 見分けがつかない
↓ 利用者が“本物のつもり”で繋ぐ
通信が攻撃者を経由／偽ログイン画面でID窃取を狙われる
↓ だが…
HTTPSと証明書警告を守れば、中身の窃取は防げる
同じSSID名は誰でも名乗れる。本物のつもりで偽APに繋ぐと、通信が攻撃者を経由する。

回線の種類で、使ってよいことを分ける

回線他人と共有するか向く用途
スマホのモバイル回線・テザリングしないネットバンキング、重要なアカウントへのログイン、仕事
自宅のWi-Fi（自分で管理、WPA2/WPA3）しない（家族のみ）ほぼすべて
店・駅の公共Wi-Fi（パスワード掲示あり・なし）する調べもの、動画、地図。ログインは多要素認証がある所だけ
ホテルのWi-Fiする（宿泊客全員）公共Wi-Fiと同じ。仕事はテザリングで
00000JAPAN（災害時）する（暗号化なし）安否確認と情報収集だけ。パスワードは入力しない

端末ごとの設定場所

やることWindows 11iPhoneAndroid
ネットワークを「パブリック」にする設定 → ネットワークとインターネット → Wi-Fi → 接続中のネットワークのプロパティ →「ネットワーク プロファイルの種類」でパブリック（設定なし）（設定なし）
自動接続をオフ同じプロパティ画面で「範囲内であれば自動的に接続する」をオフ設定 → Wi-Fi → ネットワーク名の右の ⓘ →「自動接続」をオフ設定 → ネットワークとインターネット → インターネット → ネットワーク名の歯車 →「自動接続」をオフ
使い終わったら削除Wi-Fi →「既知のネットワークの管理」→ 削除同じ画面の「このネットワーク設定を削除」同じ画面の「削除」

Androidの項目名はメーカーによって違います。Macは、システム設定 → Wi-Fi でネットワーク名の横のメニューから自動接続と削除を選べ、ファイル共有はシステム設定 → 一般 → 共有 でオフにできます。

具体例：災害時の「00000JAPAN」

大きな災害が起きると、通信各社などが無料のWi-Fi「00000JAPAN（ファイブゼロジャパン）」を開放します。2024年1月の能登半島地震でも、石川県などで提供されました。

運営団体（無線LANビジネス推進連絡会）のガイドラインは、00000JAPANは誰でもすぐにつながることを優先し、パスワードの設定（暗号化）をしない仕様だと明記しています。利用は安否確認や情報収集にとどめ、高い安全性が必要な通信は自分で対策するよう勧めています。

偽物の見分け方として、ガイドラインは次の2つを挙げています。00000JAPANは有料での提供も個人情報の収集もしません。

  • 災害の報道がない平常時なのに、00000JAPANが出ている
  • つなぐと、個人情報などを入力させる画面が出る

ネットワーク名は誰でも同じものを名乗れるため、災害時でも次の点は変わりません。

  • HTTPSのサイトだけを使い、証明書の警告が出たら進まない
  • 家族への連絡は、使い慣れたアプリで行う
  • 災害が落ち着いたら、00000JAPANを端末から削除して自動接続を断つ

Wi-Fiの鍵マークと、ブラウザの鍵マークは別のもの

Wi-Fiの一覧に出る鍵マークは、その回線にパスワードと暗号化があることを示すだけです。店に掲示されたパスワードは全員が知っているので、同じ名前・同じパスワードの偽のアクセスポイントも作れます。

相手が本物かどうかを確かめているのは、ブラウザのアドレスバーのHTTPSと証明書の確認です。公共Wi-Fiで頼りにするのは、こちらです。

よくある間違いと直し方

1

Wi-Fiのログイン画面で、ふだんのメールやSNSのパスワードを入れる

公共Wi-Fiのログイン画面（キャプティブポータル）は偽物も作れます。メールアドレスの登録を求められたら、ふだんのパスワードは使い回さず、SNSでのログインも避けます。
2

証明書の警告を「よく出るから」と進む

公共Wi-Fiでは、ログイン前に警告が出る場面もありますが、ログイン後のサイトで出る警告は止まる合図です。いったん切断し、テザリングでつなぎ直します。
3

一度つないだSSIDを全部残している

旅行先や出張先のネットワークが溜まると、同じ名前を名乗る偽物に自動でつながる原因になります。月に1回、既知のネットワークの一覧を整理します。

現実的な対策（優先順）

1

可能ならスマホのテザリングを使う（最も確実）

信頼できない公共Wi-Fiにそもそも繋がないのが一番確実。モバイル回線なら他人と共有するネットワークに乗らずに済む。
2

HTTPSを徹底・証明書警告は絶対に無視しない

鍵マークを確認し、警告が出たら進まずに引き返す。これがHTTPSの守りを生かす条件。
3

知らないSSIDに自動接続しない／使ったら削除

心当たりのないネットワークに自動で繋がない設定にし、使い終わったSSIDは削除して自動再接続を断つ。
4

ネットワークを「パブリック」にして共有オフ

OSの設定で公共ネットワーク扱いにし、ファイル/プリンタ共有を無効化。同じLANの他人からの露出を絞る。
5

機微な操作は避けるか、モバイル回線で

ネットバンキングや重要な認証は、公共Wi-Fiを避けてテザリングや自宅回線で行う。
6

重要アカウントはMFAで二重化

万一どこかでパスワードを抜かれても、フィッシング耐性のあるMFAがあれば乗っ取りを止められる（→ 多要素認証ガイド）。

当サイトの視点：盗聴より、自分の操作から始まる危険に注意する

公共Wi-Fiの議論は「盗聴される」に偏りがちですが、当サイトは力点が違うと考えます。HTTPSが普及した今、受動的な盗み見の実害は下がりました。残った危険の多くは「自分から偽APに繋ぐ」「証明書警告を無視する」という自分の操作から始まります。だから本当に効くのは、高度なツールではなく、テザリングで公共Wi-Fiを使わない・鍵マークと警告を信じる・知らないSSIDに自動で繋がないという日常の習慣です。偽サイトでパスワードを入力してしまうフィッシングは公共Wi-Fiでも独立したリスクなので、最後の防御としてMFAも併せて持っておきます。VPNは「信頼できない回線でのプライバシー」を足したいときの追加策で、これらの代わりにはなりません。

次に読む

出典（公式情報）

2026年10月6日に各社・各機関の公式情報で確認した内容です。

  • NTTドコモ ニュースリリース（2023年9月4日、通信障害時の00000JAPANの提供と、通信が暗号化されていないことの注意） — docomo.ne.jp
  • 無線LANビジネス推進連絡会「非常用統一SSID『00000JAPAN』に関するガイドライン（第5.0版）」（2024年4月改定） — wlan-business.org
  • Microsoft サポート「Windows での重要なネットワーク設定とタスク」（パブリック ネットワークとプライベート ネットワーク） — support.microsoft.com

よくある質問

Q公共Wi-Fiは結局、危険なんですか？
A

『使うと必ず盗聴される』というのは言い過ぎです。今はほとんどのサイトがHTTPSで暗号化されており、通信内容の盗み見は昔ほど現実的ではありません。ただし別の危険は残ります。同じ名前の偽アクセスポイントに自分から繋いでしまう、証明書の警告を無視してしまう、同じネットワークの他人に自分の端末が見える、などです。危険の中身を正しく知れば、的確に対策できます。

Q一番効く対策は何ですか？
A

可能なら『スマホのテザリング（モバイル回線）を使う』ことです。信頼できない公共Wi-Fiにそもそも繋がないのが、最も確実でシンプルな対策です。それが難しい場合は、HTTPS（鍵マーク）を徹底し証明書の警告を絶対に無視しない、知らないSSIDに自動接続しない、機微な操作は避ける、を守ります。

QVPNを使えば公共Wi-Fiは安全ですか？
A

VPNは『信頼できない回線でのプライバシー』に有効な追加策ですが、万能ではありません。VPNは通信を暗号化しますが、偽サイトでパスワードを入力してしまうフィッシングや、証明書警告を無視する操作までは防げません。優先順位としては、テザリング・HTTPS・自動接続オフのほうが先で、VPNはその上に加える追加策です。

Qパスワード付きのフリーWi-Fiなら安全ですか？
A

店内に掲示されたパスワードは、そこにいる全員が知っています。同じ名前・同じパスワードで偽のアクセスポイントを立てることもできるので、『パスワードがある＝本物で安全』とは言えません。Wi-Fiの一覧に出る鍵マークは、その回線に暗号化があることを示すだけで、相手が本物かどうかは保証しません。使い方は、パスワードのない公共Wi-Fiと同じに考えます。

Q災害時の『00000JAPAN』は使っても大丈夫ですか？
A

安否確認や情報収集には使ってかまいません。ただし、00000JAPANは誰でもすぐつながるよう、パスワードも暗号化もない仕様です。運営団体のガイドラインも、安否確認や情報収集などの緊急時の利用にとどめ、高い安全性が必要な通信は自分で対策するよう勧めています。また、災害の報道がないのに出ている、個人情報の入力画面が出る、のどちらかに当てはまるものは偽物の可能性が高いとしています。

QホテルのWi-Fiは安全ですか？
A

公共Wi-Fiと同じに考えてください。同じ建物の宿泊客と同じネットワークを使うことが多く、部屋番号と名前で入れるログイン画面もあります。ネットワークの種類を『パブリック』にして共有をオフにし、ネットバンキングなど機微な操作はテザリングで行います。