フリーWi-Fiは危ない？危険性をカフェ・駅・ホテル別に解説｜のぞき見・偽Wi-Fi・HTTPSの範囲と安全な使い方

01この記事でわかること（3行まとめ）

• 危ないのは「のぞき見」と「偽のWi-Fi」です。パスワード付きのWi-Fiでも、全員が同じパスワードを使う形なら安心できません。
• HTTPSは強い味方ですが、万能ではありません。通信は暗号化されますが、本物そっくりの偽サイトでも鍵マークは出ることがあります。URL全体を見ます。
• 大事な操作は携帯回線かテザリングで行います。フリーWi-Fiを使うなら、提供者の確認、自動接続の見直し、共有設定の確認をします。

02フリーWi-Fiで起きること：のぞき見・偽のWi-Fi・なりすまし

総務省は、Wi-Fiのセキュリティ対策をせずに使うと、通信内容を盗み見られたり（傍受）、IDやパスワードを盗まれて使われたり（なりすまし）する危険があると説明しています。主なものを表にしました。

特に注意したいのが、自動接続との組み合わせです。IPAは、過去につないだ本物のWi-Fiの情報が端末に残っていると、同じ名前の偽のWi-Fiに自動でつながってしまうと説明しています。自分で選んだ覚えがなくても、つながることがあるわけです。

総務省のマニュアルの被害例は、とても身近な流れです。旅先で知らないWi-Fiにつなぐ。暗号化キーなしでつながる。SNSでの認証を求められて、URLをよく見ずにIDとパスワードを入れる。ネットは普通に使えたので気にしなかった。数日後、自分の名前で覚えのない投稿がされていた、というものです。ネットが普通に使えることは、安全の証拠になりません。

03パスワード付きのWi-Fiでも安心できない理由

「お店に貼ってあるパスワードを入れたから、暗号化されていて安全」。そう思いがちですが、総務省はコラム「WPA2でも安心できない」で次のように説明しています。

• WPA2パーソナル（WPA2-PSK）は、接続する人全員が同じ暗号化キーを共有する方式です。自宅なら十分に安全ですが、不特定多数が使う場所では全員がキーを知っている状態になります。
• そのため、通信の内容は条件が整えば比較的容易に解読されます。
• キーが分かれば、同じ名前とキーで偽のWi-Fiを置くこともできます。
• 総務省は、この方式の公衆Wi-Fiは暗号化されていない場合と同様に注意して使うよう案内しています。

国家サイバー統括室のハンドブックも、暗号化方式が安全でも、暗号キーを見知らぬ他人と共用するものはすべて危険だとしています。公衆無線LANやホテル、公共機関、インターネットカフェ、レストランなどで広く使われている形です。提供する側に悪気がなくても起きる話なので、お店を疑う話ではありません。

また、Wi-Fiの一覧に出る鍵のアイコンは、暗号化されているかどうかを表すだけです。ハンドブックは、そのアクセスポイントが信頼できるかどうかを表すものではないと注意しています。

安全性が高い方式もあります

すべての公衆Wi-Fiが同じではありません。総務省は、次の方式を安全性が高いものとして挙げ、使えるなら積極的に使うよう案内しています。ただし、いずれも守るのはWi-Fiの無線の区間だけです。

• 携帯電話会社が提供するSIM認証（EAP-SIM/EAP-AKA）の公衆Wi-Fi
• 暗号鍵が個別に設定される Wi-Fi CERTIFIED Enhanced Open
• 企業向けのWPA2/WPA3エンタープライズ（利用者ごとにIDを設定し、相互に認証する方式）
• 通信の暗号化と偽のWi-Fiの防止の技術が使われている OpenRoaming 対応のWi-Fi

接続先の暗号化の方式が「セキュリティなし」や「WEP」と表示されている場合、総務省は、個人情報やログイン情報を扱う使い方は避け、見られても構わない場合に限って使うよう案内しています。

04HTTPSが守る範囲と守らない範囲

Wi-Fiの暗号化とHTTPSは、守る区間が違います。総務省のマニュアルをもとに整理すると、次のとおりです。

総務省は、HTTPS通信なら、仮にWi-Fiが暗号化されていなくても、悪意のある第三者から通信内容を守れると説明しています。そのうえで、電波を使うWi-Fiはリスクが高いので、HTTPS通信は必須と考えるよう案内しています。

一方で、HTTPSでも防げないことがあります。総務省は、HTTPS通信をしていても本物に巧妙に似せた偽URLの場合があるので、URL全体を確かめるよう注意しています。スマホでは、最初の設定だとURL全体が表示されないことがあります。つまり、鍵マークは「通信が暗号化されている」印で、「本物のサイトである」印だけにはなりません。

ブラウザ以外の通信は見分けにくい

パソコンのメールソフト（SMTP・POP・IMAP）やファイル転送（FTP）は、暗号化の設定が別に必要です。分からなければ、外出先ではブラウザのWebメールだけにする方法を総務省は挙げています。スマホのアプリの通信がHTTPSかどうかは利用者には判断しにくいものの、大半のアプリはHTTPS通信を行っているとも説明しています。心配なら、外出先のWi-Fiではブラウザだけにとどめます。

警告が出たら入力しない

鍵マークの代わりに「！」が出る、「接続が安全ではありません」と出る。こうした場合、総務省は正しいサイトではない可能性が高く、IDなどの入力は大変危険だとしています。通信が途切れただけでも出ることがあるので、再読み込みやWi-Fiの入れ直しを試します。それでも同じなら、そのWi-Fiを使わない判断も必要です。

接続の画面でエラーが出るとき

Wi-Fi事業者の一部は、まだ認証していない人にログイン画面を強制的に出す仕組みを使っています。総務省によると、ブラウザの最初のページが「https://」で始まっていると、これがエラーと判断されることがあります。つまり、エラーがすべて攻撃というわけではありません。ただ、自分では見分けにくいので、入力の前に止まることが大切です。

05カフェ・駅・ホテルで違うところ

場所ごとの見方を、図鑑で整理しました。どこでも基本は同じで、「誰が提供しているか」を確かめることが出発点です。

同意画面や認証画面が出たら、そこにセキュリティの説明が書かれていることも多く、総務省は理解してから使うよう案内しています。公衆Wi-Fi事業者の接続アプリには、偽のWi-Fiへつながないための工夫がされているものもあり、これを使うのも一つの方法です。

災害時に開放される「00000JAPAN（ファイブゼロ・ジャパン）」は、利便性を優先して認証も暗号化もなしで提供されます。総務省は情報の入手にとどめるなど注意し、必要最小限の利用にとどめるよう案内しています。

06使っていいこと・避けることを場面別に

総務省は、暗号化なしのWi-Fiは「通信内容が周囲に見られても構わない場合」に限って使うよう案内し、IPAは「第三者に知られては困る情報は入力も表示もしない」ことを挙げています。これを場面に当てはめた図鑑の目安です。

IPAの資料は2015年度の調査をもとにした少し前のものですが、考え方は今の総務省のマニュアルとも重なります。その調査では、公衆無線LANでネットショッピングなどをする人が32.4%、インターネットバンキングなどをする人が11.3%いました。「便利だからつい」は昔からあることで、回線を切り替える癖を付けるのが現実的です。

07フリーWi-Fiでしてはいけないこと

• 提供者が分からないWi-Fiにつなぐ。暗号化キーなしでつながっても、不審なものには接続しません。
• 接続のためにSNSやメールのパスワードを入れる。求められたら、URLが本物かを確かめます。少しでも変なら、やめます。
• 警告が出ているサイトでIDやカード番号を入れる。「保護されていない通信」と出るサイトも同じです。
• ネットバンキングや買い物の決済をする。IPAは、第三者に知られては困る情報は入力も表示もしないこと、重要な入力が必要なら携帯電話回線を使うことを挙げています。
• 共有フォルダをオンのまま接続する。パスワードなしの共有は特に避けます。
• 同じパスワードを使い回す。総務省は、だまし取られたときに被害が広がるとしています。二要素認証が使えるなら設定します。

08つなぐ前に確認すること：公式のSSIDと提供者

1. 店内の掲示やステッカー、案内の紙で、提供者とサービス名、セキュリティの説明を見る。
2. 端末に出ているSSIDが、案内と同じか見る。よく知っている名前でも、偽物が置かれていることがあります。
3. 暗号化の方式を見る。「なし」「WEP」なら、見られても構わない使い方だけにする。
4. ID・パスワードの入力画面が出たら、URLが本物か、「https://」か鍵マークがあるか、エラーが出ていないかを見る。
5. 不審な点が一つでもあれば、つなぐのをやめる。

暗号化の方式の見方は機器で違います。ハンドブックによると、Androidは接続したアクセスポイントをタップすると「セキュリティ」の項目で確かめられますが、WindowsとmacOSは少し手間がかかり、iOSでは簡単に確かめる手段がありません。分からなければ、「方式が不明なWi-Fi」として扱うのが無難です。

総務省の手順を短くしたものです。名前が同じだけでは本物と言い切れないので、4番目まで合わせて見てください。これで偽物を完全に見分けられるわけではないので、大事な操作は次の節以降の方法に分けます。

09自動接続を切る手順

総務省は、自宅や職場など日常的に使うSSID以外は自動接続を無効にするよう案内しています。ハンドブックは、新しいスマホでは携帯会社の公衆無線LANの自動接続設定がまとめて入っていることがあるので、安全でない方式のものは削除するよう案内しています。

iPhone

「設定」を開いて「Wi-Fi」をタップし、画面の隅の「編集」をタップします。対象のネットワークの横にある詳細情報ボタンをタップして、「自動接続」をオフにします。もう使わないなら「このネットワーク設定を削除」をタップします。同じApple AccountのiCloudキーチェーンを使っている機器では、1台で削除すると、ほかの機器でも削除されます。

Mac

Appleメニューから「システム設定」を選び、サイドバーの「Wi-Fi」をクリックして、下にスクロールして「詳細設定」をクリックします。ネットワークの横の詳細情報ボタンから「自動接続」をオフにするか、「リストから削除」を選びます。

Android

設定アプリを開いて、[ネットワークとインターネット]、[インターネット]の順にタップします。保存済みネットワークを長押しして、[削除]をタップします。Googleのヘルプによると、一度つなぐと「保存済み」になり、近くにあってWi-Fiがオンなら自動で接続します。メーカーや機種によって画面は異なります。

新しいスマホを買ったとき

ハンドブックは、接続される可能性のあるアクセスポイントの方式を調べ、安全でないと分かったら切断して設定を削除するよう案内しています。知らないWi-Fiに勝手につながっていたときも同じです。切断して設定を消し、次から自動でつながらないようにします。

10パソコンの共有設定を見直す

総務省の事例では、カフェのWi-Fiにつないでいる間に、共有フォルダの家族の写真を第三者に見られました。公衆Wi-Fiの提供者には端末同士の通信を禁止することが推奨されていますが、すべてのWi-Fiが禁止しているとは限りません。

Windows 11

Microsoftによると、ネットワークに初めて接続すると既定でパブリックに設定され、PCはネットワーク上の他の機器から見えなくなります。設定を変えた覚えがあれば、[ネットワーク & インターネット 設定]で[Wi-Fi]を選び、接続中のネットワークを選んで、[ネットワーク プロファイルの種類]が[パブリック ネットワーク (推奨)]になっているか見ます。Microsoftもコーヒーショップの Wi-Fi をパブリック ネットワークの例に挙げています。

Mac

アップルメニューから「システム設定」を選び、サイドバーの「一般」、「共有」とクリックします。「コンテンツとメディア」の下の「ファイル共有」がオンなら、外出先では切っておきます。

11テザリングとVPN、どちらを使うか

大事な操作をするときの選び方を表にしました。ハンドブックは、手軽で安全な方法として、携帯電話回線、パソコンならスマホをルーター代わりにするテザリングをすすめています。

テザリングは、iPhoneでは「インターネット共有」、Androidでは「アクセス ポイント」「テザリング」と呼ばれます。Androidのヘルプでは、[セキュリティ]で[なし]を選ぶとパスワードなしにできますが、そうすると今度は自分のスマホが誰でもつなげるWi-Fiになるので、選ばないでください。

IPAは、盗聴の対策としてVPN通信をすすめています。VPNを使えば、Wi-Fiの暗号化やサイトの対応を気にしなくても盗聴対策ができ、接続先の情報（URLなど）も含めて暗号化の対象になります。万が一、偽のWi-Fiにつないだ場合の盗聴にも有効だとしています。

ただし、ハンドブックは注意点も挙げています。サービスによっては誤ったアクセスポイントに誘導されたり、VPNが切れると暗号化されない状態で通信を続けたりするものがあります。また、誰が運営しているか分からないWi-Fiは、VPNが使えても積極的な利用はすすめていません。VPNを選ぶなら、運営者と切断時の動作を確かめましょう。図鑑のVPNの一覧で比べられます。悩み別には公衆Wi-Fi・通信ののぞき見にまとめています。

12仕事で使うときのルール

仕事のパソコンでは、自分の情報だけでなく、お客さまや会社の情報も一緒に守ることになります。まず会社のルールを優先し、ルールがなければ次を決めておきます。

• つなぐ回線を決める。会社のスマホのテザリングや、会社が用意したVPNを基本にします。IPAのガイドラインも、テレワークで機密性の高いデータをやり取りするときのVPNの利用を例に挙げています。
• ファイル共有を切る。IPAの「5分でできる！情報セキュリティ自社診断」は、外出先でフリーWi-Fiを使うときはパソコンのファイル共有をオフにすることを対策例に挙げています。総務省も、公共の場では必ず解除するよう案内しています。
• 重要な情報を扱わない。ログイン情報やカード番号など、やり取りするなら暗号化を確かめ、できれば回線を変えます。
• 画面ののぞき見にも気をつける。自社診断には、離席時に画面をのぞかれない工夫も入っています。カフェで席を立つときは、持ち歩くか画面をロックします。
• おかしいと思ったらすぐ報告する。何かを入力した、警告が出たといったことは、自分で抱えずに担当者へ伝えます。

会社で社外からの接続を整えるなら、テレワーク・社外からの接続や法人VPN・リモートアクセスを見てください。社内につなぐVPN機器そのものの管理はVPN機器の脆弱性と対策で扱っています。自宅のWi-Fiが心配ならルーターの乗っ取りを確かめる方法へどうぞ。

13パスワードを入力してしまったときにやること

1. そのWi-Fiを切り、携帯回線など別の回線に切り替える。
2. 入力したサービスの公式アプリか、自分で開いた公式サイトからパスワードを変える。同じパスワードを使っている別のサービスも変える。
3. 2段階認証を設定し、ログイン履歴に覚えのないものがないか見る。
4. カード番号や口座の情報を入れたなら、カード会社や金融機関にすぐ連絡する。
5. 会社の機器やアカウントなら、担当者に報告する。

これは図鑑がまとめた一般的な流れです。入られたかどうかの見分け方はハッキングされたか確かめる方法にまとめています。共有フォルダを見られた疑いがあるときは、総務省の事例にならって共有を解除し、セキュリティソフトを更新して検査します。個人情報を書き込まれるなどの被害があれば、警察への相談も考えます。

14お店や施設がWi-Fiを提供している方へ

総務省は、提供する側に向けて「公衆Wi-Fi提供者向け セキュリティ対策の手引き（令和7年2月版）」を公開しています。飲食店や小売店、宿泊施設、医療機関なども対象です。利用者向けのマニュアルでも、提供者には端末同士の通信を禁止することが推奨されていると書かれています。Wi-Fiの名前（SSID）を店内に分かりやすく掲示しておくことは、利用者が偽物と見比べる手がかりになります。お店の業務用のパソコンと、お客さま用のWi-Fiを同じ回線に混ぜていないかも、この機会に見直してください。機器そのものの管理はルーターの記事が参考になります。

15困ったときの相談先

16よくある質問