メインコンテンツへスキップ
← ブログ一覧
セキュリティその他

フリーWi-Fiを仕事で使って大丈夫？ホテルやカフェで必要な7つの対策

ホテルやカフェの公衆Wi-Fi、そのまま仕事に使っていませんか？

正規のWi-Fiでも、無条件には信用しない

出張先のホテルへ到着し、部屋でパソコンを開く。

Wi-Fiの案内を見つけ、指定されたネットワークへ接続する。

受付番号や部屋番号を入力すると、すぐにインターネットが使える。

移動の多い人にとって、公衆Wi-Fiはありがたいサービスです。

私自身も、出先で通信環境が必要になったとき、ホテルや施設のWi-Fiがあると助かると感じます。

しかし、業務用のパソコンを接続する場合は
「ホテルが提供しているWi-Fiだから安全だろう」
と考えない方がよい状況になっています。
先日Microsoftが公表した攻撃を例に、フリーWi-Fiの危険性について触れていきます。

マイクロソフトが確認した「CaptiveCrunch」

2026年7月31日、Microsoft Threat Intelligenceは、ホテルや会議施設などのゲストネットワークを狙った「CaptiveCrunch」と呼ばれる攻撃について公表しました。

攻撃者は、ホテルなどでWi-Fi接続時に表示されるログイン画面「キャプティブポータル」に関係するネットワークを侵害し、利用者の通信を偽サイトへ転送していました。

確認された手口には、次のようなものがあります。

  • Microsoftを装った偽のログイン画面へ誘導する
  • 正規のMicrosoft認証画面で、攻撃者の認証コードを入力させる
  • ブラウザーやWindowsの更新を装ったファイルをダウンロードさせる
  • PowerShellやWindows Terminalへ命令を貼り付けさせる
  • マルウェアを感染させ、パスワードやファイルを盗む

感染後のマルウェアには、キーボード入力、クリップボード、画面、マイク、カメラ、保存されたパスワード、ブラウザーのセッション情報などを収集する機能が確認されています。

Windowsだけでなく、Android端末へAPKファイルをインストールさせようとする兆候も報告されています。

本物のホテルWi-Fiでも安全とは限らない

これまで公衆Wi-Fiの注意点として、よく挙げられてきたのは「偽物のWi-Fiへ接続しないこと」でした。

例えば、ホテルの正規SSIDが次の場合を考えます。

Hotel-Free-WiFi

攻撃者が、よく似た次のSSIDを用意することがあります。

Hotel_Free_WiFi

このような「なりすましWi-Fi」へ接続しないことは、現在も重要です。

しかし、今回の事例では、正規の施設やWi-Fiサービスが使用するネットワーク設備側が侵害された可能性があります。

つまり、受付で教えてもらった正しいSSIDへ接続していても、通信先を偽サイトへ転送される可能性があるということです。

マイクロソフトは、ホテル、空港、会議施設などのゲストネットワークを、信頼できないものとして扱うよう案内しています。

最も安全なのは、モバイル回線を使うこと

出張先で業務を行う場合は、次の回線を優先します。

  • スマートフォンのテザリング
  • モバイルWi-Fiルーター
  • eSIMや携帯電話会社のデータ通信
  • 会社が管理する通信機器

マイクロソフトも、公衆Wi-Fiより、モバイルホットスポットやeSIMなどの私的な接続手段を優先するよう勧めています。

通信容量や追加料金は発生します。

しかし、顧客情報、メール、契約書、クラウドストレージへ接続する業務では、通信費を安全対策の一部として考えることも必要です。

特に次の作業は、可能な限り公衆Wi-Fiを避けるべきです。

  • 業務メールの確認
  • Microsoft 365やGoogle Workspaceへのログイン
  • 顧客情報の閲覧
  • 契約書や見積書の送受信
  • 会計サービスの利用
  • サーバーやWordPressの管理
  • 管理者アカウントでの操作
  • オンラインバンキングや決済

公衆Wi-Fiを使う場合の7つの対策

公衆Wi-Fiをすべて禁止すると、業務上困る場合もあります。

やむを得ず使用する場合は、最低限、次の対策を行います。

1．SSIDを施設へ確認する

Wi-Fi一覧に表示された名前だけで判断せず、館内案内、公式サイト、受付などで正しいSSIDを確認します。

提供元が分からないWi-Fiや、鍵マークのないネットワークへ安易に接続しないことが基本です。

ただし、SSIDが正しくても安全が保証されるわけではありません。

2．自動接続をオフにする

過去に接続したWi-Fiへ自動接続する設定は、なりすましWi-Fiへ接続する原因になります。

必要なときだけ手動で接続し、利用後は端末からネットワーク情報を削除します。

3．Windowsでは「パブリックネットワーク」にする

公衆Wi-Fiへ接続した際は、Windowsのネットワーク設定を「パブリック」にします。

あわせて、ファイル共有とネットワーク探索を無効にします。

IPAも、公衆Wi-Fiを利用する際は、パソコンのファイル共有機能をオフにするよう案内しています。

4．信頼できるVPNを利用する

VPNを使用すると、端末からVPN接続先までの通信を暗号化できます。

公衆Wi-Fi上で通信を盗み見られたり、改ざんされたりするリスクを下げる対策になります。

IPAも、公衆Wi-Fiで重要な情報を扱う場合は、VPNの利用を推奨しています。

ただし、VPNを使っていても、利用者自身が偽サイトへパスワードを入力したり、偽の更新ファイルを実行したりすれば防げません。

VPNは重要な対策ですが、それだけで完全に安全になるわけではありません。

5．Wi-Fi接続画面からソフトを入れない

ホテルのWi-Fiへ接続した直後に、次のような表示が出ても実行しないでください。

  • ブラウザーの更新が必要
  • Windowsの修復が必要
  • ネットワークドライバーを更新してください
  • セキュリティ確認のためコマンドを実行してください
  • 証明書をインストールしてください
  • APKファイルをダウンロードしてください

Windowsの更新はWindows Updateから行います。

ブラウザーやアプリも、公式の更新機能や正規ストアから更新します。

マイクロソフトも、キャプティブポータルや予期しない画面から、更新プログラム、証明書、修復ツール、セキュリティソフトなどをダウンロードしないよう警告しています。

6．会社のパスワードを入力しない

Wi-Fiの利用登録画面へ、会社のメールアドレスと同じパスワードを入力してはいけません。

施設用の登録情報と、Microsoft 365、Google Workspace、社内システムの認証情報は完全に分けます。

重要なアカウントでは、パスキーや多要素認証も有効にします。

ただし、突然表示された認証コードや承認通知を、内容を確認せず承認してはいけません。

今回の攻撃では、正規のMicrosoft認証画面を悪用し、攻撃者側のログインを利用者に承認させる手口も確認されています。

7．重要な作業は回線を切り替える

公衆Wi-Fiで資料を閲覧していた場合でも、顧客情報の入力や管理者操作を行う前には、テザリングなどへ切り替えます。

「閲覧だけなら公衆Wi-Fi、重要な操作はモバイル回線」と、利用目的で線を引く方法も現実的です。

HTTPSの鍵マークがあれば安全なのか

現在、多くのWebサイトはHTTPSで通信を暗号化しています。

そのため、公衆Wi-Fiへ接続しただけで、すべてのパスワードや通信内容がそのまま見えるわけではありません。

しかし、HTTPSの鍵マークだけで安全とは判断できません。

偽のログインサイトでも、HTTPSを使用して鍵マークを表示できます。

また、今回のように、偽の更新画面や正規の認証手続きを悪用する攻撃では、通信が暗号化されていても利用者が騙される可能性があります。

見るべきなのは鍵マークだけではなく、次の点です。

  • なぜ今ログインを求められているのか
  • 表示されたドメインは正しいか
  • 本当に更新が必要なのか
  • なぜコマンドの実行を求められているのか
  • 認証通知は自分の操作によるものか

違和感があれば、操作を止めて回線を切り替えます。

不審な画面が出た場合の対応

公衆Wi-Fiへ接続した直後に、偽の更新画面や不審な認証画面が表示された場合は、次のように対応します。

  1. ファイルをダウンロードしない
  2. コマンドをコピー・実行しない
  3. パスワードや認証コードを入力しない
  4. Wi-Fiを切断する
  5. 可能であれば画面をスマートフォンで撮影する
  6. 会社のIT担当者や保守事業者へ報告する

既にパスワードを入力した場合は、安全な回線へ切り替え、速やかにパスワードを変更します。

あわせて、サインイン履歴、認証済み端末、アクティブなセッションを確認します。

ファイルを実行したり、PowerShellなどへ命令を貼り付けたりした場合は、そのまま業務を続けず、端末をネットワークから切り離して専門家へ相談してください。

会社として出張時のルールを決める

従業員一人ひとりへ
「気を付けて使ってください」
と伝えるだけでは、判断が分かれます。

最低限、次の内容を社内ルールとして決めておくと安心です。

  • 業務ではモバイル回線を優先する
  • 公衆Wi-Fiの使用条件を決める
  • 使用時は会社指定のVPNへ接続する
  • 管理者作業や機密情報の取扱いを禁止する
  • 偽の更新画面からソフトを入れない
  • 不審な認証通知を承認しない
  • 問題発生時の連絡先を明確にする
  • 出張者へモバイルルーターや通信容量を用意する

安全性を高めるためには、禁止事項だけでなく、安全に仕事ができる代替手段を会社側が用意することも重要です。

TrusKiteが支援できること

TrusKiteでは、公衆Wi-Fiを使わないよう注意するだけではなく、外出先でも安全に業務を継続できる環境を整えます。

  • 公衆Wi-Fi利用ルールの作成
  • モバイルルーターや通信方法の選定
  • VPNの導入と設定
  • Windowsのネットワーク設定確認
  • ファイル共有やネットワーク探索の見直し
  • 多要素認証とパスキーの導入
  • Bitwardenによるパスワード管理
  • 不審なログイン履歴の確認
  • 出張用パソコンのセキュリティ確認
  • 問題発生時の初動相談

公衆Wi-Fiは、便利だから危険なのではありません。

誰が管理しているか分からない通信経路へ、会社の重要な情報を無条件に通してしまうことが問題です。

ホテルやカフェでWi-Fiを見つけたとき、すぐに接続する前に一度立ち止まる。

重要な仕事をするときは、モバイル回線へ切り替える。

不審な更新画面では、何も実行しない。

少しのルールと準備があれば、外出先でも便利さと安全性を両立できます。

※本記事は、2026年7月31日にMicrosoft Threat Intelligenceが公表した情報を基に、一般的な公衆Wi-Fi利用時の対策を整理したものです。

※VPN、多要素認証、セキュリティソフトなどを利用しても、すべての不正アクセス、マルウェア感染、情報漏えいを防止できるものではありません。

← 一覧へ戻る