旅先のセキュリティ:公衆 Wi-Fi が最大のリスクである理由と対策

長いフライトを終えて、いま着陸したところです。疲れていて、方向感覚も曖昧で、無事に着いたと誰かに伝えたくてたまらない。空港に無料の Wi-Fi があります —— 「Airport_Free_WiFi」—— そして何も考えずにつなぎます。メールを開き、口座の残高を確認し、SNS にログインする。

その3分のあいだに、あなたは見知らぬ誰かにメールのパスワード、銀行の認証情報、個人データを手渡してしまったかもしれません。

これは被害妄想ではありません。2026年における公衆 Wi-Fi のセキュリティの現実です。そして旅行者は、最も無防備な標的です。

公衆 Wi-Fi が危険な理由

公衆 Wi-Fi は、自宅や職場のネットワークとは根本的に異なるセキュリティ環境にあります。その理由を理解するには、Wi-Fi の仕組みを少し見る必要があります。

Wi-Fi につなぐと、端末は電波でデータをやりとりします。自宅のルーターのような、暗号化された私的なネットワークでは、そのデータはかき混ぜられていて、端末とルーターだけが読めます。ところが多くの公衆ネットワークでは、その暗号化が弱いか、そもそも存在しません。

つまり、電波の届く範囲 —— 数十メートルに及ぶこともあります —— にいる誰もが、端末とルーターのあいだを流れるデータを傍受しうるということです。混雑した空港やカフェなら、それは数千人になりえます。

根っこにある問題

認証が要らない。 ほとんどの公衆 Wi-Fi は、つなぐのに本人確認を求めません。つまり攻撃者も、あなたと同じくらい簡単に同じネットワークに入れます。

暗号化されていない通信。 2026年になってなお、多くの公衆ネットワークは WPA3 の暗号化を義務づけていません。そうしたネットワークを流れるデータは、平文のまま捕まえられます。

ネットワークを共有する環境。 同じ公衆ネットワークにいる全員が、同じローカルネットワーク空間を共有します。この近さが、きちんと分離・分割されたネットワークでは不可能な各種の攻撃を可能にします。

誰も監視していない。 脅威を能動的に監視する企業ネットワークとは違い、公衆 Wi-Fi にはたいていセキュリティの見張りがまったくいません。怪しい動きを見ている人は、誰もいないのです。

旅行者を狙う代表的な攻撃

サイバー犯罪者は、公衆 Wi-Fi の利用者を狙うために、洗練された手口を編み出してきました。最も蔓延している脅威を挙げます。

悪魔の双子(Evil Twin)攻撃

悪魔の双子攻撃とは、正規のものを装った偽の Wi-Fi を立てる手口です。攻撃者は、本物と同じか、よく似た名前のアクセスポイントを作ります —— たとえば「Hilton_Guest」に対する「Hilton_Guest_WiFi」のように。

偽のネットワークにつなぐと、あなたのインターネット通信はすべて攻撃者の機器を通ります。訪れたすべてのサイト、入力したすべてのログインフォーム、暗号化されていない経路で送ったすべてのメッセージが、相手に見えます。

悪魔の双子攻撃は、驚くほど簡単に実行できます。基本的な構成なら、ノートパソコンと無料のソフトウェアがあれば足ります。もっと手の込んだものは、電波を増幅する機材を使って偽のネットワークを本物より強く見せ、端末を自動的につながせます。

旅行者がとくに危ない理由: 見知らぬ場所では、どのネットワーク名が正しいのか判断のしようがありません。自宅なら自分のネットワーク名を正確に知っています。外国のどこかの空港やカフェでは、あなたは当て推量をしているのです。

中間者(MITM)攻撃

中間者攻撃では、攻撃者があなたと接続先のあいだにひそかに割り込みます。あなたがウェブサイトやサーバーと通信しているつもりのとき、実際には攻撃者にデータを送っていて、攻撃者がそれを本来の宛先へ転送しています。

これによって攻撃者は次のことができます。

• 送受信するすべてを 読む
• 通信中のデータを 書き換える(たとえば送金先の口座番号を差し替える)
• 閲覧しているページに悪意ある内容を 注入する
• ログイン情報、クレジットカード番号、個人情報を 奪う

中間者攻撃がとりわけ危険なのは、目に見えないからです。ブラウザではサイトが普通に読み込まれます。エラーも出ません。すべて正常に見えます —— しかしデータの一バイトずつが、第三者を経由しているのです。

パケット盗聴

パケット盗聴とは、ネットワーク上を流れるデータパケットを捕まえて解析する行為です。暗号化されていない公衆 Wi-Fi では、パケット盗聴で驚くほどの情報が取れます。

• 訪問したすべてのサイトの URL
• メールの内容(暗号化されていないメールプロトコルを使っている場合)
• HTTPS ではなく HTTP で送られたログイン情報
• 暗号化されていないメッセージアプリのやりとり
• ファイル転送の中身

HTTPS の暗号化が最近のサイトの中身を守ってはいますが、パケット盗聴はいまもメタデータを明かします —— どのサイトを、いつ、どれくらいの頻度で見たか。この情報だけでも、狙い撃ちのフィッシングを仕掛けたい攻撃者には価値があります。

セッションハイジャック

サイトにログインすると、サーバーはセッショントークンを作ります —— サイト内を移動するあいだログイン状態を保つための固有の識別子です。暗号化されていないネットワークでは、攻撃者がこのトークンを盗み、あなたになりすませます。

セッショントークンさえあれば、攻撃者はパスワードを知らなくてもあなたのアカウントに入れます。あなたが見ているものをすべて見られます。あなたとして行動できます —— メールを送る、買い物をする、アカウントの設定を変える、といったことが。

DNS スプーフィング

DNS(ドメイン名システム)は、サイトの名前を IP アドレスに変換します。DNS スプーフィング攻撃では、攻撃者がこの変換を操作して、あなたを偽サイトへ誘導します。

ブラウザに「yourbank.com」と入力する。すると本物の銀行ではなく、攻撃者が管理する寸分違わぬ複製に飛ばされます。そこでログイン情報を入力すると、それはそのまま犯罪者の手に渡ります。

Moza のヒント: 旅の前に、大事な金融サイトやメールのサイトは URL を手で打つのではなく、ブラウザにブックマークしておきましょう。これですべての DNS 攻撃を防げるわけではありませんが、綴りを間違えてフィッシングサイトに着地する危険は減ります。ブラウザの「HTTPS のみ」モードを有効にすることも検討してください。

実際に起きた事件:これは机上の話ではない

公衆 Wi-Fi の危険は、現実の事件によってよく記録されています。

オーストラリアの空港 Wi-Fi 攻撃(2024年): オーストラリア連邦警察は、複数の国内空港で偽の Wi-Fi を立てていた人物を起訴しました。この悪魔の双子ネットワークは、乗り継ぎ中につないだ乗客からメールと SNS の認証情報を収集していました。数十人の被害者がアカウントを乗っ取られました。

ホテルチェーンでの通信傍受: 複数の大手ホテルチェーンが、攻撃者が宿泊客向け Wi-Fi を悪用して出張者のデータを傍受した事案を公表しています。これらの攻撃は、社内メールや内部システムにアクセスするビジネス旅行者を狙い撃ちにしていました。

カフェでの認証情報の収穫: セキュリティ研究者は、混んだカフェに座り、無料で手に入るパケット盗聴ツールを使うだけで、数時間のうちに数百件のログイン情報を捕まえられることを何度も実演してきました。セキュリティ会議 DEF CON では、こうした手法の実演が、その簡単さと効果の高さで毎回参加者を驚かせています。

公共充電と Wi-Fi の合わせ技: FBI は、無料 Wi-Fi と併設されていることの多い公共の USB 充電スタンドでの「ジュースジャッキング」について注意喚起を出しました。空港で電源と通信の両方を求める旅行者は、二重に無防備です。

これらの事件には共通の糸があります。慣れない環境にいる旅行者が、確かめようのないネットワークにつなぐ。しかも、慎重に見極める余裕を奪う時間の圧力のもとで。

モバイルデータが本質的に安全な理由

公衆 Wi-Fi が問題なら、モバイルデータは解の大きな部分です。携帯回線が根本的により安全である理由を見ていきましょう。

標準で暗号化されている

携帯ネットワークは既定でデータを暗号化します。現代の 4G LTE と 5G は、端末と基地局のあいだのデータを守る堅牢な暗号方式を使います。暗号化が任意で、しばしば存在しない公衆 Wi-Fi とは違い、携帯回線の暗号化は必須でプロトコルに組み込まれています。

ローカルネットワークを共有しない

公衆 Wi-Fi では、つないでいる全員とローカルネットワークを共有します。携帯回線では、あなたの接続は隔離されています。ほかの利用者があなたの通信を盗み見たり、データの流れにパケットを注入したりすることはできません。仕組みがそれを許さないのです。

キャリアによる認証

携帯ネットワークにつなぐには、SIM または eSIM を通じた認証が必要です。この双方向の認証によって、端末とネットワークが互いの正体を確認します。攻撃者がカフェでノートパソコン1台を使って立てられる「悪魔の双子」基地局に相当するものは存在しません。(国家レベルの高度な主体は IMSI キャッチャーを使ってきましたが、これは高価で専門的な機材が要り、ふつうの犯罪者にとって現実的な脅威ではありません。)

不正なアクセスポイントが作れない

悪魔の双子攻撃 —— 公衆 Wi-Fi で最も多く、最も効果的な脅威のひとつ —— は、携帯回線にはそもそも当てはまりません。市販の機材で基地局を偽ることはできません。携帯インフラを攻撃する敷居は、Wi-Fi を攻撃するそれより桁違いに高いのです。

ネットワークの監視

携帯キャリアは、自社のネットワークの脅威、異常、侵入を能動的に監視しています。この専門的な見張りは、ありがちな空港やカフェの Wi-Fi にはまったく存在しないセキュリティの層です。

Moza のヒント: 新しい国に着いたとき、最大のセキュリティ上の強みは、最初からモバイルデータが使えることです。eSimphony なら、出発前に eSIM プロファイルでインストールをタップしておけます —— 飛行機が着陸した瞬間にデータ接続が有効になるので、素性の分からない空港の Wi-Fi に頼る必要がまったくありません。

旅のサイバーセキュリティ・チェックリスト

どの旅でも身を守れるよう、この実用的なチェックリストを使ってください。

出発前

• すべての端末を更新する。 最新の OS とアプリの更新を入れましょう。セキュリティ修正は、攻撃者が突く穴をふさぎます。
• 重要なアカウントで二要素認証を有効にする —— メール、銀行、SNS、クラウドストレージ。可能なら SMS ではなく認証アプリを使いましょう。
• 信頼できる VPN を入れる。 旅の前に設定して動作を確かめておきます。NordVPN、ExpressVPN、ProtonVPN、Mullvad などが選択肢です。
• eSIM を用意する。 旅行用データプランを入れて、到着した瞬間から携帯回線が使える状態にしておきます。
• 端末をバックアップする。 完全なバックアップがあれば、端末が侵害されたり盗まれたりしても復旧できます。
• 端末の暗号化を有効にする。 iOS も Android も端末全体の暗号化に対応しています。有効になっているか確認しましょう。
• アプリの権限を見直す。 不要な権限は外します。とくにめったに使わないアプリの位置情報とネットワークへのアクセスを。
• 遠隔消去を設定する。 iPhone の「探す」も Google の「デバイスを探す」も、盗まれた端末を遠隔で消去できます。

旅のあいだ

• モバイルデータを既定の接続にする。 公衆 Wi-Fi はできるかぎり避けましょう。
• Wi-Fi の自動接続を切る。 端末が勝手に開いたネットワークに入らないようにします。
• 公共の場では Bluetooth と AirDrop を切る。 これらは不正アクセスに悪用されることがあります。
• Wi-Fi につながざるをえないときは VPN を使う。 公衆ネットワークで何かをする前に、必ず VPN を有効にしましょう。
• 公衆ネットワークで機微な取引をしない。 ネットバンキングも、ネット通販も、医療記録の閲覧も Wi-Fi では行わないこと。
• ネットワーク名を確かめる。 どうしても Wi-Fi を使うなら、正確な名前をスタッフに確認しましょう。既定で最も強い電波につながないこと。
• 終わったらログアウトする。 共有の端末やネットワークで、メール、銀行、SNS にログインしたままにしないこと。
• HTTPS を確認する。 どのサイトでも鍵のアイコンが出ていることを確かめましょう。HTTP のページで認証情報を入力してはいけません。

旅のあと

• パスワードを変更する —— 旅のあいだ公衆ネットワークでアクセスしたすべてのアカウントについて。
• アカウントの利用履歴を確認する —— メール、銀行、SNS。身に覚えのないログインや取引がないか見ましょう。
• 旅で保存した Wi-Fi を削除する。 保存済みネットワークの一覧を開いて消します。
• セキュリティスキャンを実行する —— 旅で使ったすべての端末で。

どうしても公衆 Wi-Fi を使わなければならないとき

公衆 Wi-Fi が避けられないこともあります。データプランを使い切ってしまった、電波の入らない地下にいる、データ量を食う大きなファイルを転送する必要がある。そんなときは、次の厳しい手順を守ってください。

最低限の安全手順

1. ネットワーク名をスタッフに直接確認する。 正確な名前とパスワードを尋ねましょう。
2. すぐに VPN につなぐ —— ブラウザやアプリを開く前に。
3. HTTPS だけを使う。 HTTPS に対応していないサイトは、公衆 Wi-Fi では使わないこと。
4. やることを絞る。 閲覧はやむをえないとしても、アカウントへのログインは避けましょう。
5. 終わったらすぐ切断する。 接続を開けたまま放置しないこと。
6. あとでそのネットワークを削除する。 自動再接続を防ぐため、保存済みネットワークから消しておきましょう。

公衆 Wi-Fi で絶対にやってはいけないこと

VPN があっても、公衆ネットワークではリスクが高すぎる行為があります。

• ネットバンキングや金融取引 —— 傍受されたときの結果が重すぎます
• 医療記録や法的書類の閲覧 —— きわめて機微な個人情報です
• クレジットカード情報の入力 —— 信頼できるサイトであっても
• 仕事のメールや社内システムへのログイン —— 勤務先のセキュリティを危険にさらします
• 暗号資産ウォレットへのアクセス —— 盗まれたら、暗号資産の取引は取り消せません

VPN:第二の防衛線

仮想プライベートネットワーク(VPN)は、端末と遠隔のサーバーのあいだに暗号化されたトンネルを作ります。公衆 Wi-Fi で誰かがデータを傍受しても、見えるのは暗号化された意味不明の文字列だけです。

VPN が守ってくれるもの

• パケット盗聴 —— 暗号化されたデータは盗聴者の役に立ちません
• 中間者攻撃 —— 暗号化されたトンネルが傍受を阻みます
• DNS スプーフィング —— 多くの VPN は自前の DNS サーバーを使います
• 通信事業者による追跡 —— 閲覧履歴がネットワーク提供者から隠されます

VPN が守ってくれないもの

• すでに端末にあるマルウェア —— VPN はウイルスを検査しません
• フィッシング —— 悪意あるリンクをクリックすれば、VPN は止めてくれません
• キーロガー —— 端末そのものが侵害されていれば、VPN は助けになりません
• 偽ログインページによる認証情報の窃取 —— VPN は通信を暗号化しますが、偽サイトにパスワードを入力すれば、それは攻撃者に渡ります

旅向けの VPN の選び方

旅行用の VPN を選ぶときは、次の点を見ましょう。

• 渡航先の国にサーバーがあること —— 速度が出やすくなります
• ノーログ方針 —— 第三者監査で検証されているもの
• キルスイッチ —— VPN が切れたときにインターネットを遮断する機能
• 複数端末対応 —— スマホ、タブレット、パソコンで使えること
• 規制の厳しい国での安定性 —— VPN の通信を遮断する国もあります

旅先での実績が高い定番としては、ProtonVPN(スイス拠点、プライバシー重視)、NordVPN(サーバー網が大きく速度が安定)、ExpressVPN(規制の厳しい地域でもよく動く)、Mullvad(プライバシー重視、匿名決済に対応)が挙げられます。

eSIM を第一のセキュリティ層に

核心の主張はこうです。最も安全な Wi-Fi は、一度もつながない Wi-Fi です。

旅のあいだ、モバイルデータを主たる接続手段にすれば、公衆 Wi-Fi の脅威の大半にさらされずに済みます。悪魔の双子もなし。パケット盗聴もなし。不正なアクセスポイントもなし。ネットワーク共有に伴う脆弱性もなし。

eSIM がそれを現実的にする理由

かつては、海外でモバイルデータを使うということは、天文学的なローミング料金を払うか、行き先ごとに現地の SIM カードを探すかのどちらかでした。その事情が、旅行者を経済的な必要から無料 Wi-Fi へ追い込んでいたのです。

eSIM はこの計算式を変えます。

• 手頃なデータプラン —— ほぼどの行き先でも、費用という壁がなくなります
• ワンタップの有効化 —— 着陸前にデータが用意できるので、つなぐために空港の Wi-Fi を使う必要がありません
• 複数国のカバレッジ —— 物理カードを差し替えずに、旅の全行程で携帯回線を保てます
• 物理 SIM カードがない —— なくしたり盗まれたりするものが、ひとつ減ります

eSimphony なら、旅行用データの準備は数分で終わります。端末でインストールをタップし、渡航先のプランを選べば、接続の準備は完了です。着陸したその瞬間から安全な携帯回線に乗っていて、タクシーを呼ぶためやホテルを探すために、素性の分からない Wi-Fi に賭ける必要はありません。

セキュリティの費用

考えてみてください。アメリカ司法省によれば、なりすまし被害からの回復にかかる費用は平均1400ドル超、そして200時間以上の個人の時間です。旅行用データプランは、そのごく一部の金額です。単なる便利さではなくセキュリティへの投資として見れば、手頃なモバイルデータは、旅行者が取りうる最も費用対効果の高い防御策のひとつです。

Moza のヒント: 出張で機微な会社のデータを扱うなら、ホテルの Wi-Fi ではなくモバイルデータを使うことは、良い習慣というだけでなく、会社のセキュリティ規定で義務づけられている場合もあります。出発前に情報システム部門に確認し、無防備なネットワークに追い込まれずに済む渡航先別の eSIM プランを Moza に聞いてみてください。

旅の多い人のための高度な対策

頻繁に旅をして機微な情報を扱うなら、次の追加の防御も検討しましょう。

ハードウェアセキュリティキー

YubiKey のような物理的なセキュリティキーは、最も強力な二要素認証です。フィッシングに強く、たとえパスワードを盗まれても、物理的な鍵がなければアカウントには入れません。

プライバシー重視の DNS

Cloudflare の 1.1.1.1 や Quad9 の 9.9.9.9 のような暗号化 DNS を使うよう端末を設定しましょう。これらは DNS の問い合わせを暗号化するので、侵害されたネットワーク上でも、どのサイトを解決したかを攻撃者に見られません。

旅行専用の端末

旅の多い人のなかには、旅行だけに使う別のスマホやパソコンを持っている人もいます。この端末には機微な個人データも、(旅に必要な分を超える)保存済みパスワードも、社内システムへのアクセスも入っていません。侵害されても、被害は封じ込められます。

暗号化されたメッセージ

旅先での機微なやりとりには、端末間で完全に暗号化されるメッセージアプリ —— Signal、WhatsApp、iMessage —— を使いましょう。これらは端末を出る前にメッセージを暗号化するので、どのネットワーク(Wi-Fi でも携帯回線でも)でも傍受は無意味になります。

ネットワーク監視アプリ

Fing、GlassWire、NetGuard のようなアプリを使えば、端末のネットワーク活動を監視できます。怪しい接続、想定外のデータ送信、アプリが見知らぬサーバーと通信しようとする動きを知らせてくれます。

旅のセキュリティのこれから

旅のサイバーセキュリティは、脅威とともに進化しています。いくつかの流れが、この分野の形を決めつつあります。

パスキーがパスワードに取って代わる。 Apple、Google、Microsoft が対応するパスキー技術は、パスワードを完全になくします。代わりに、端末が生体認証(指紋や顔)で本人を確認します。パスキーはフィッシングにも傍受にも、Wi-Fi 攻撃による窃取にも耐えます。

Wi-Fi 7 と WPA3。 新しい Wi-Fi の規格には、必須の暗号化と個別のデータ保護が含まれます。ただし公共の場での普及には何年もかかり、古いネットワークは脆弱なまま残ります。

5G の拡大。 より速く、より広く使える 5G は、公衆 Wi-Fi の必要性を下げます。5G のカバレッジが世界に広がるほど、旅行者が無防備なネットワークにつなぐ理由は減っていきます。

ゼロトラスト・アーキテクチャ。 企業のセキュリティは、どのネットワークも —— 自社のものでさえ —— 自動的には信頼しないゼロトラストのモデルへ向かっています。この考え方は旅行者にとって追い風です。社内のアプリやサービスが、接続のたびに独立して検証を行うからです。

最後に

公衆 Wi-Fi はなくなりませんし、使わざるをえない場面もあります。しかしリスクを理解することは、あなたを狙いやすい標的から、狙いにくい標的へ変えます。サイバー犯罪者も、あらゆる捕食者と同じく、楽な獲物を好むのです。

旅先の通信セキュリティの序列ははっきりしています。

1. モバイルデータ(eSIM) —— 日常でいちばん安全な選択
2. モバイルデータ + VPN —— 機微な操作のための最大限の防御
3. 私的な、または信頼できる Wi-Fi + VPN —— 携帯回線が使えないときに許容できる線
4. 公衆 Wi-Fi + VPN —— 最後の手段。やることは絞ること
5. VPN なしの公衆 Wi-Fi —— 完全に避けること

旅のあいだのデータの安全は、結局のところ準備と習慣に尽きます。出発前に eSIM を用意する。VPN を入れて試しておく。すべてに二要素認証をかける。そして公衆 Wi-Fi は、誰かが見ているものとして扱う —— 実際に見られている可能性は、決して低くないのですから。

旅は、発見と冒険と新しい経験のためのものであるべきです —— なりすまし被害から立ち直るためのものではありません。いま対策を取っておけば、あとは二度と考えずに済みます。

---

このガイドの最終更新は2026年4月です。サイバーセキュリティの脅威は絶えず変化します。自国のサイバーセキュリティ機関(米国の CISA、英国の NCSC、オーストラリアの ACSC など)の最新の勧告を、常に確認してください。