カフェや駅、空港などで見かける「無料Wi-Fi」の表示。つい繋いでしまう人は多いと思いますが、アクセスポイントによっては通信内容が暗号化されないまま送受信されていることがあります。結論から言うと、公衆Wi-Fiのリスクの大部分は「暗号化方式の弱さ」と「なりすましアクセスポイント」の二つに集約されます。接続先の見分け方と、HTTPSやVPNといった対策を組み合わせれば、公衆Wi-Fiを使うこと自体は過度に恐れる必要はありません。この記事では、公衆Wi-Fiの暗号化の仕組みからリスクの内訳、アクセスポイントの選び方、日常的にできる対策までを整理して解説します。
公衆Wi-Fiとは何か
公衆Wi-Fiとは、商業施設や交通機関、宿泊施設、自治体などが不特定多数の利用者に向けて提供する無線LANサービスの総称です。使われている無線技術自体は自宅用のWi-Fiルーターと同じで、多くの機器は業界団体Wi-Fi Allianceが策定する規格に準拠しています。自宅のWi-Fiと異なるのは、接続相手が不特定多数であること、そして暗号化方式やパスワードの管理方針が施設ごとにばらばらである点です。
暗号化方式の違い:WPA2・WPA3・暗号化なし
公衆Wi-Fiのアクセスポイントには、主に次の3つのパターンがあります。
- WPA2:WPA3の前の世代にあたる暗号化規格で、Wi-Fi AllianceはWPA3の発表時(2018年)に、WPA2が10年以上にわたって広く普及してきたと述べている。総務省のマニュアルでも「現在主流のセキュリティ方式」とされている。パスワードを知らない第三者が通信内容を読み取ることは基本的に難しいが、旧式の脆弱性が指摘されたこともあり、対応機器の設定次第では安全性に差が出る
- WPA3:Wi-Fi Allianceが2018年に発表した後継規格。総務省のマニュアルは、新しい暗号鍵の交換ロジックや管理フレームの暗号化などでセキュリティ面が強化され、WPA2で報告されていた脆弱性も解消されていると説明している。Wi-Fi Allianceも、WPA3-Personalではパスワードを推測する攻撃への保護が強まるとしている。ただし同じマニュアルが「対応機器の普及が進んでいる」と書く段階で、公衆Wi-Fiの現場ではWPA2の運用もまだ多く残っていると考えられる
- 暗号化なし(オープンネットワーク):パスワード入力なしで誰でも接続できるアクセスポイント。通信が暗号化されずにやり取りされることがあり、同じアクセスポイントに接続している第三者から内容を読み取られる可能性がある
公衆Wi-Fiに潜むリスクの分解
公衆Wi-Fi特有のリスクは、大きく分けると「通信内容を読み取られるリスク」と「偽の接続先に誘導されるリスク」の2系統に整理できます。
なりすましアクセスポイント
総務省の「公衆Wi-Fi 利用者向け 簡易マニュアル」は、偽の公衆Wi-Fiによる被害の流れを「脅威シナリオの例」として紹介しています。要点を3段階に整理すると次のとおりです。
| 段階 | マニュアルのシナリオ | マニュアルが挙げる対策 |
|---|---|---|
| 1 見知らぬ公衆Wi-Fiの利用 | 旅先で、使ったことのないSSIDだったが、暗号化キーなしで繋がったので利用した | 接続する公衆Wi-Fiをよく確認する。SSIDが提供者の案内と同じかを確かめる |
| 2 ID・パスワードの安易な入力 | SNSでの認証を求められ、入力画面のURLをよく確かめずにIDとパスワードを入力した | 正しいURLでHTTPS通信をしているかを確認する |
| 3 なりすまし被害 | 数日後、自分の名前で覚えのない投稿が見つかり、IDとパスワードが盗まれて不正アクセスされていたと分かった | ID・パスワードを使い回さない。二要素認証が使える場合は積極的に使う |
マニュアルは、この被害の原因を「悪意をもって設置された偽の公衆Wi-Fiに接続してしまったこと」と説明しています。よく知っているSSIDでも偽の公衆Wi-Fiが設置されていることがある、という注意も添えられています。
中間者攻撃(Man-in-the-Middle)
中間者攻撃とは、利用者とアクセス先のサーバーとの通信経路の途中に第三者が割り込み、情報の窃取や内容の改ざんを行う攻撃全般を指します。なりすましアクセスポイントは中間者攻撃を成立させるための手段の一つで、ほかにも暗号化されていないアクセスポイント上で通信を傍受する手口があります。「公衆Wi-Fiに繋いだ瞬間に攻撃される」と誤解されがちですが、実際には暗号化されていない通信の中身が読み取られること、あるいは偽の接続先に誘導されることがリスクの本質です。
| リスク | 内容 |
|---|---|
| 通信の盗聴 | 暗号化されていないアクセスポイントでは、送受信される内容が経路上の第三者に読み取られる可能性がある |
| なりすましアクセスポイント | 正規のサービス名に似せたアクセスポイントを用意し、接続してきた利用者の通信を横取りする手口 |
| 中間者攻撃 | 通信経路の途中に第三者が割り込み、情報の窃取や改ざんを行う攻撃 |
| 不正なアプリ・ファイルの誘導 | 接続後に表示される案内画面を装い、不審なアプリやファイルのダウンロードを促す手口 |
| ファイル共有機能の悪用 | パソコンの共有フォルダなどが有効なままだと、同じネットワーク上の第三者からアクセスされる可能性がある。端末同士の通信を禁止していない公衆Wi-Fiもあるため、総務省のマニュアルは共有フォルダの無効化などを求めている |
リスクレベル別に見る公衆Wi-Fiの分類
公衆Wi-Fiは提供形態によってリスクの度合いが変わります。すべてを一律に危険視するのではなく、次のような目安で分類しておくと判断しやすくなります。
| リスクレベル | 該当するアクセスポイント | 目安 |
|---|---|---|
| 高い | パスワード不要で誰でも接続できるオープンネットワーク | 通信内容が暗号化されない状態で送受信される可能性がある。重要な操作は避けたい |
| 中程度 | 共通パスワードを掲示・配布しているWPA2のアクセスポイント(カフェ・商業施設など) | 暗号化はされているが、パスワードを知っている人であれば同じネットワークに参加できる |
| 比較的低い | 宿泊者ごとに個別発行されるパスワード、WPA3対応のアクセスポイント | 接続者が限定され、暗号化強度も高いため相対的にリスクは下がる。ただし絶対的な安全を保証するものではない |
駅や空港のように利用者数が多い場所は、接続台数の多さに加えてなりすましアクセスポイントが紛れ込みやすい環境でもあります。ホテルの宿泊者専用Wi-Fiや自治体のログイン制Wi-Fiは利用者が限定される分、管理が行き届きやすい傾向にありますが、あくまで相対的な傾向であり、絶対的な安全を保証するものではありません。
WPA2でも、共通のパスワードで使うWi-Fiは要注意とされている
総務省の「公衆Wi-Fi 利用者向け 簡易マニュアル」(令和7年2月版)は、WPA2パーソナル(WPA2-PSK)という方式について、自宅や個人での利用なら十分な安全性がある一方、公衆Wi-Fiでは事情が違うと説明しています。この方式は接続する全員が同じ暗号化キー(パスワード)を共有するため、不特定多数が使う場所では、利用者全員がキーを知っている状態になります。そのため通信内容は、条件が整えば比較的容易に解読され得るとされています。キーが分かれば、同じ名前とキーで偽のアクセスポイントを設置することも可能になります。マニュアルは、この方式の公衆Wi-Fiを暗号化されていない場合と同様に留意して使うよう求めています。カフェの壁に貼られた共通パスワードで接続するタイプが、これにあたります。
同じマニュアルは、安全性が高い方式の例として、携帯電話事業者のSIM認証を使う公衆Wi-Fi、暗号化キーなしで個別の鍵を使うWi-Fi CERTIFIED Enhanced Open、国際的なローミング基盤のOpenRoamingを挙げています。接続の手間が少ない反面、対応する場所や端末は限られるため、利用できるときに選ぶ、という位置づけです。なお、マニュアルはこれらもWi-Fiの無線区間だけの暗号化方式である点に留意するよう書き添えています。
このうちEnhanced Openについて、Wi-Fi Allianceは、カフェや、空港・ホテルなどのWebポータル付きゲストネットワークのように、利用者の認証をしない場面向けの仕組みと説明しています。提供されるのは「認証を伴わないデータ暗号化」で、保護のない従来のオープンネットワークよりは改善されたもの、という位置づけです。パスワードなしでも暗号化される場合がある一方、接続先が正規のものかを確かめる仕組みではないため、SSIDの確認は引き続き欠かせません。
Wi-Fiの暗号化が守る範囲と、HTTPSが守る範囲は違う
マニュアルによると、Wi-Fiの暗号化で守られるのは、端末からWi-Fiルーターまでの無線区間だけです。ルーターより先は守られません。一方、HTTPS通信は端末のブラウザからアクセス先のサーバまでを暗号化するため、Wi-Fi側が暗号化されていない場合でも、通信内容を第三者から保護できるとされています。ただし、HTTPSでも本物のURLに似せた偽サイトがあり得るため、URLの全体を確認するよう注意されています。
災害時に開放される「00000JAPAN」
大規模な災害や通信障害の際には、SSIDが「00000JAPAN」(ファイブゼロ・ジャパン)の公衆Wi-Fiが無料開放されることがあります。マニュアルによると、2011年の東日本大震災で通信事業者が公衆Wi-Fiを無料開放したことをきっかけに進められた取組で、近年も2024年の能登半島地震などの際に避難所などで開放が行われています。暗号化キーなしで誰でも接続できる仕組みですが、マニュアルの注記によれば、利便性を優先して認証も暗号化もない状態で提供されます。安否確認や情報の入手にとどめ、限られた通信手段を譲り合う観点からも、必要最小限の利用が求められています。
暗号化方式の公式な位置づけと、公的機関の注意点を出典別に整理
ここでは、総務省・IPA・内閣サイバーセキュリティセンター(NISC、現在は国家サイバー統括室)の公開資料と、Wi-Fi Alliance・Appleの公式説明から、確認できた事実だけを表にまとめます。いずれも確認日は2026年10月4日です。なお、Appleのページは公衆Wi-Fiの利用者向けではなく、Wi-Fiルーターやアクセスポイント側をどう設定するかの推奨です。接続先を選ぶときの目安として読み替えて参照しています。表示の名前や画面の場所はOSのバージョンによって変わることがあるため、手元の端末の画面とあわせて確認してください。
総務省の「公衆Wi-Fi利用者向け 簡易マニュアル(令和7年2月版)」は、セキュリティ方式がWEPからWPA、WPA2、WPA3と時代を追って強化されてきたと説明しています。また、表示が「セキュリティ(暗号化)なし」や「WEP」の場合は、個人情報やログイン情報の入力など周囲に見られては困る使い方を避けるよう求めています。WPA2で「TKIP」と「AES」を選べる場合はAESを選ぶよう案内しています。TKIPには脆弱性が見つかっているためです。NISCのハンドブックは、Wi-Fi一覧に出る鍵のアイコンは暗号化されているかどうかを示すだけで、アクセスポイントが信頼できることを示すものではないと注意しています。
| 方式・端末 | 公式資料に書かれている内容 | 出典 |
|---|---|---|
| セキュリティ(暗号化)なし | 通信が暗号化されず、誰でも接続できる。Appleは、セキュリティを無効にする設定(「なし」「オープン」など)は使わないよう強く勧めている。 | 総務省マニュアル p.5、Apple |
| WEP | 暗号を短時間で解読する方法が知られており、今では容易に解読される。Appleは避けるべき設定として挙げている。 | 総務省マニュアル p.5、Apple |
| WPA | WEPの弱点を補った方式だが一部に脆弱性があり、今は推奨されていない。Appleも「WPAパーソナル」と「WPA/WPA2混合モード」を避けるべき設定として挙げている。 | 総務省マニュアル p.5、Apple |
| WPA2 | 現在主流の方式。KRACKsという脆弱性が見つかったが、各メーカーが対処したファームウェアを配布しており、更新すれば使えるとされている。Appleは、より安全なモードが使えない場合の選択肢として「WPA2パーソナル(AES)」を挙げている。 | 総務省マニュアル p.5、Apple |
| WPA3 | Wi-Fi Allianceが2018年6月25日に発表。WPA3-PersonalはSAEという方式で、パスワードを推測する攻撃への耐性を高めている。WPA2機器とつなぐための移行(Transitional)モードがある。Appleは「WPA3パーソナル」を、Wi-Fi機器で使えるものの中で現時点で最も安全で最新のプロトコルと説明している。 | Wi-Fi Alliance、Apple |
| Android(確認方法) | 接続中のアクセスポイントをタップすると「セキュリティ」の項目で暗号化方式を確認できる(NISC)。総務省マニュアルにも、Android 13の画面で接続中のSSIDと暗号の利用状況を確かめる例が載っている。メーカーやバージョンで表示が違う場合がある。 | NISCハンドブック 第5章、総務省マニュアル p.4 |
| iPhone(確認方法) | NISCのハンドブックは、iOSには暗号化方式を簡単に確かめる手段がないとしている。 | NISCハンドブック 第5章 |
次の表は、公的機関が利用者向けに挙げている注意点を出典別に並べたものです。
| 出典 | 主な注意点 |
|---|---|
| 総務省「公衆Wi-Fi利用者向け 簡易マニュアル」(令和7年2月版) | ・ID・パスワードの入力画面では、「https://」や鍵マークに加えて、URLが正しいかを全体まで確認する。スマートフォンでは初期状態でURL全体が表示されないことがある ・鍵マークの代わりに「!」が出たり「接続が安全ではありません」などと表示されたりする場合は、正しいサイトではない可能性が高く、入力は危険。通信の中断でも起きるので、再読み込みやWi-Fiのオフ・オンでやり直し、変わらなければ利用しない判断も必要 ・ID・パスワードを使い回さず、二要素認証を使えるときは使う ・パソコンのメールソフト(SMTP・POP・IMAP)やFTPは暗号化する設定に変える。分からなければ外出先ではブラウザのWebメールに限る |
| IPA テクニカルウォッチ「公衆無線LAN利用に係る脅威と対策」(2016年3月30日) | ・脅威を「盗聴」「悪意のAP」「なりすまし」「不正利用」に分け、対策ごとの効果を表で整理している ・暗号化キーを不特定多数で共有するAPでは、AES(CCMP)でも解読できるとしている ・まとめとして「VPN通信を利用する」「第三者に知られては困る情報は入力および表示をしない」の2点を挙げている(2016年公開の資料で、評価は当時のもの) |
| NISC「インターネットの安全・安心ハンドブック」Ver 5.10(令和7年3月11日)第5章 | ・「暗号キー」を見知らぬ他人と共用する方式はすべて危険とし、WPA2-EAP(エンタープライズ)、IEEE 802.1X、SIM認証などの方式を手がかりに、安全に接続できる公衆無線LANを探すよう案内している ・VPNが暗号化するのは出口サーバまでで、その先は暗号化されない区間が残る ・運営者がよく分からないアクセスポイントには攻撃者がいる可能性があり、VPNが使えても積極的な利用は推奨されていない |
出典(いずれも2026年10月4日確認):総務省「公衆Wi-Fi利用者向け 簡易マニュアル(令和7年2月版)」https://www.soumu.go.jp/main_content/000989921.pdf / IPA「公衆無線LAN利用に係る脅威と対策」https://www.ipa.go.jp/security/reports/technicalwatch/201600330.html / NISC「インターネットの安全・安心ハンドブック Ver 5.10」第5章 https://security-portal.cyber.go.jp/guidance/pdf/handbook/handbook-05.pdf / Wi-Fi Alliance「Wi-Fi Security」https://www.wi-fi.org/discover-wi-fi/security / Apple「Wi-FiルーターとWi-Fiアクセスポイントの推奨設定」https://support.apple.com/ja-jp/102766
安全なアクセスポイントの選び方
接続先を選ぶ段階で気をつけるだけでも、なりすましアクセスポイントに引っかかるリスクはかなり減らせます。
- 施設の公式掲示やレシート、スタッフへの確認などで、正式なアクセスポイント名を把握してから接続する
- 暗号化方式(WPA2やWPA3など)が明記されているアクセスポイントを優先する
- 会員登録やメールアドレス入力を求められる場合、運営元の名称と連絡先が明示されているか確認する
- 同じ場所に似た名前のアクセスポイントが複数表示される場合は、接続前にスタッフへ確認する
- 自宅や職場など日常的に使うSSID以外は自動接続を無効にし、それ以外の接続先は都度手動で選ぶ
| 偽アクセスポイントに見られやすい特徴 | 注意点 |
|---|---|
| 店名に似た紛らわしい名前 | 正規の名称と一文字だけ異なるなど、見た目で気づきにくい偽装が使われることがある |
| パスワードなしで簡単に繋がる | セキュリティ設定が甘い、または悪意を持って設置された可能性がある |
| 接続後すぐに個人情報の入力を求める | 正規のサービスでは不要な情報まで要求してくる場合は警戒する |
公衆Wi-Fi利用時にできる実践的な対策
接続先を選ぶだけでなく、利用中や利用後の習慣も安全性を左右します。よく「公衆Wi-Fiは全部危険だから使わないほうがいい」と言われますが、実際にはHTTPS対応の確認や自動接続オフといった基本的な対策を積み重ねることで、リスクをかなり下げた状態で利用できます。
- パスワード入力や決済など、重要な操作は公衆Wi-Fi上ではできるだけ避ける
- 日常的に使うSSID以外は自動接続を無効にしておく(総務省マニュアルの推奨)
- アドレスバーの表示がHTTPS(暗号化された通信)になっているかを確認する
- パソコンは共有フォルダを無効にしておく(総務省マニュアルの推奨)。スマートフォンの近くの端末とのファイル共有機能も、外出先ではオフにしておくと安心
- 信頼できる提供元のVPNを併用し、通信経路全体を暗号化する
- 利用後は接続履歴から不要なアクセスポイントの登録を削除する
HTTPSで保護された通信であれば、公衆Wi-Fi経由であっても通信内容自体は暗号化されるため、盗聴による情報漏えいのリスクは大幅に下がります。ブラウザによってはHTTPS非対応のサイトで警告を表示する機能もあるため、こうした表示を見逃さないことも大切です。ただしHTTPSは通信経路の暗号化を保証するものであって、接続先そのものが偽サイトでないことまでは保証しません。URLやサイトの見た目に違和感がないかも合わせて確認しておくと安心です。
VPNを利用すると端末とVPNサーバー間の通信経路が暗号化され、アクセスポイント側での盗聴リスクをさらに下げられます。VPNの仕組みや選び方については別記事で詳しく解説していますので、ここでは公衆Wi-Fi対策としての位置づけだけ触れておきます。金融機関のアプリや個人情報を扱うサービスに公衆Wi-Fi経由でアクセスする可能性がある人は、信頼できるVPNサービスの利用を検討する価値があります。
公衆Wi-Fiのリスクをそもそも避けたい場合は、スマートフォンのテザリング機能や契約しているモバイルWi-Fiルーターを使うという選択肢もあります。自分だけが利用する回線であるため、公衆Wi-Fiに比べて盗聴やなりすましアクセスポイントのリスクは低くなります。データ通信量を消費する点はデメリットですが、重要な情報を扱う作業では、あえて公衆Wi-Fiを使わずこうした代替手段に切り替えるのも一つの判断です。
よくある質問
HTTPSであれば公衆Wi-Fiでも完全に安全ですか。
HTTPSは通信内容の暗号化には有効ですが、接続先自体が偽サイトである可能性など、別のリスクは残ります。アクセスポイントの選択とあわせて総合的に注意する必要があります。
VPNを使えば必ず安全になりますか。
信頼できる提供元のVPNであれば安全性は高まりますが、VPN自体の運営元が通信履歴を収集していないかを確認することも重要です。無料VPNの中にはプライバシーポリシーが不明瞭なものもあるため、提供元の実績や評判を確認してから利用してください。
パスワードなしのWi-Fiはすべて危険ですか。
必ずしも危険というわけではありませんが、暗号化されていない可能性が高く、重要な操作は避けたほうが無難です。
WPA3対応のアクセスポイントなら安心して良いですか。
WPA2に比べて暗号化強度は高くなりますが、絶対に安全というわけではありません。なりすましアクセスポイントの手口は暗号化方式に関わらず成立するため、接続先の名前を確認する習慣は引き続き必要です。
自動接続をオフにするとどのような不便がありますか。
よく利用する信頼できるWi-Fiにも手動で接続する必要が出てきますが、意図しないアクセスポイントへの接続を防げる利点のほうが大きいとされています。
公衆Wi-Fi経由で銀行アプリを使うのは避けたほうがよいですか。
可能であればモバイル通信回線やVPN経由での利用が推奨されます。どうしても公衆Wi-Fiを使う場合は、HTTPS対応の確認とVPNの併用を心がけてください。
スマートフォンのファイル共有設定は公衆Wi-Fi利用時に見直すべきですか。
近くの端末とのファイル共有機能がオンになっていると、同じネットワーク上の意図しない相手からアクセスされる可能性があるため、外出先では設定をオフにしておくと安心です。
フリーWi-Fiとモバイルルーターはどちらを使うべきですか。
個人情報や決済を扱う操作にはモバイルルーターやテザリングのほうが安全性は高くなります。動画視聴など重要度の低い通信では、フリーWi-Fiを状況に応じて使い分けるとよいでしょう。
公衆Wi-Fiに一度接続すると次回から自動で繋がりますが、これは問題ありませんか。
端末が過去の接続履歴を記憶していると、同じ名前の偽アクセスポイントに自動接続してしまう可能性があります。定期的に接続履歴を見直し、使わなくなったアクセスポイントの登録は削除しておくとよいでしょう。
まとめ
公衆Wi-Fiのリスクは、暗号化方式の弱さとなりすましアクセスポイントという二つの要因に大きく起因しています。WPA2やWPA3といった暗号化規格の違いを知ったうえで、アクセスポイント名の確認、自動接続のオフ、HTTPS表示のチェックといった基本行動を積み重ねれば、公衆Wi-Fiを使うこと自体を過度に避ける必要はありません。重要な操作をする場面ではVPNやモバイル回線への切り替えも選択肢に入れながら、状況に応じて安全な利用方法を選んでいきましょう。
自宅と外出先を通した対策の全体像は家庭のセキュリティ対策 10大脅威2026を30分・今週・習慣の3段階に置き換えるにまとめています。
出典・参考情報
Wi-Fi Allianceが策定する無線LAN規格および暗号化規格。WPA3は2018年6月25日にWi-Fi Allianceが発表しました。WPA2については、同団体がWPA3の発表時に「10年以上にわたって広く普及してきた」と説明しています／総務省が公開している公衆無線LANの安全な利用に関する呼びかけ。暗号化の有無や通信内容の取り扱いに注意するよう示されています(2026年時点の公開情報)／独立行政法人情報処理推進機構(IPA)が公表する情報セキュリティ10大脅威では、インターネット上のサービスへの不正ログインやフィッシングによる個人情報等の詐取が個人向けの脅威として継続して挙げられています。接続先の名称が正規のものかどうかは利用者側から確実に判別できない場合があるため、重要な通信は避けるという考え方が基本になります。／総務省「公衆Wi-Fi 利用者向け 簡易マニュアル 公衆Wi-Fiの安全な利用に向けて」(令和7年2月版)、総務省「安全な無線LANの利用」(国民のためのサイバーセキュリティサイト)。WPA2パーソナルの留意点、Wi-Fiの暗号化とHTTPSの保護範囲の違い、00000JAPANの注意点を参照しました。
