フリーWi-Fiは危険？公衆Wi-FiでVPNが必要な場面と、駅・カフェ・ホテル・空港での安全な使い方

総務省の「公衆Wi-Fi利用者向け 簡易マニュアル」（2025年2月版）は、旅行中に見知らぬフリーWi-Fiにつないだ人の事例を紹介しています。Wi-Fiを使う際にSNSでの認証を求められ、IDとパスワードを入力したところ、数日後にそのアカウントでなりすまし投稿をされたというものです。原因は、悪意のある第三者が設置した偽のWi-Fiにつないだことでした。

• 偽のアクセスポイント（Wi-Fiの電波を出す機器）。本物と同じネットワーク名（SSID）を名乗り、偽のログイン画面でIDやパスワードをだまし取ります。
• 暗号化なしのWi-Fi。通信が暗号化されず、誰でも接続できます。総務省は、通信内容が周囲に見られても構わない使い方に限るよう勧めています。
• パスワードを共有するWi-Fi。店内に掲示されたパスワードで使うWPA2パーソナル方式のWi-Fiでは、利用者全員が同じ暗号化キーを知っていることになります。
• 自動接続。IPAによると、以前つないだWi-Fiの情報が端末に残っていると、同じ名前と暗号化キーを設定した偽のWi-Fiに自動でつながってしまうおそれがあります。

総務省によると、WPA2パーソナル方式の公衆Wi-Fiは、条件が整えば通信内容を比較的容易に解読できます。同じネットワーク名と暗号化キーを設定すれば、偽のWi-Fiを置くことも難しくありません。そのため総務省は、暗号化されていないWi-Fiと同じように注意して使うよう求めています。

HTTPS（ウェブの通信を暗号化する仕組み）を確かめる習慣も、まだ広まっていません。総務省が2026年2月に行った調査では、HTTPSで通信しているかを確認している公衆無線LANの利用者は約3割にとどまりました。

国家サイバー統括室（旧NISC）の「インターネットの安全・安心ハンドブック」は、VPNの個人利用を、個別の対策を重ねる代わりに通信を一括して暗号化する方法として紹介しています。VPNは、端末とVPNサーバーの間に暗号化された通り道を作る仕組みです。ハンドブックによると、途中の公衆Wi-Fiが暗号化されていなくても、盗聴される心配は少なくなります。

IPAも2016年の報告書で、公衆無線LANを安全に使うポイントの一つ目にVPNの利用を挙げています。VPNを使うと接続先サイトの情報（URLなど）や入力内容がすべて暗号化の対象になり、偽のアクセスポイントにつないだ場合の盗聴にも有効だとしています。ただし報告書は、当時すべてのサイトがHTTPSに対応していたわけではないことを理由の一つにしています。10年以上前の資料なので、その点は割り引いて考える必要があります。

VPNがなくても困らない場面

• 携帯電話会社のSIM認証のWi-Fiや、OpenRoaming対応のWi-Fiを使う場合。SIM認証はSIMの情報を鍵にして認証と暗号化を行う方式、OpenRoamingは一度登録すれば対応するWi-Fiに設定なしでつながる国際的な仕組みです。総務省はこれらを安全性の高い方式として挙げています（暗号化されるのは無線区間だけ）。
• HTTPSのサイトを閲覧するだけで、ログインや個人情報の入力をしない場合。
• 自分のスマホのモバイル回線や、テザリング（スマホを親機にしてパソコンなどをつなぐこと）でインターネットを使う場合。

VPNでも防げないこと

• 運営者がわからないWi-Fiの危険。ハンドブックは、誰が運営しているかわからないアクセスポイントは攻撃の手段が予測できないとして、VPNを使えても積極的な利用は勧めていません。
• VPNをつなぐ前の入力。Wi-Fiのログイン画面はVPNの接続前に表示されるため、そこで入力した情報はVPNでは守れません。
• VPNサーバーから先の区間。VPNが暗号化するのは出口サーバーまでで、その先はサイト側のHTTPSが頼りです。
• 偽サイトやウイルス。偽サイトにだまされて入力した情報や、危険なファイルを開いたことによる被害は、VPNに接続していても防げません。

このログイン画面は、キャプティブポータルと呼ばれます。Appleの説明では、キャプティブネットワークはユーザー登録や通信料の支払いが必要な公共のネットワークで、つなぐとしばらくしてログイン画面が表示されます。メールアドレスの入力や利用規約への同意を求められることもあります。

1. 1VPNアプリの自動接続をオフにしてから、Wi-Fiにつなぐ。
2. 2Kill Switchを一時的にオフにし、VPNを切断する。
3. 3表示されたログイン画面で、URLが提供者のものかを確かめてから登録や同意を済ませる。
4. 4ブラウザでほかのサイトが開くことを確かめる。
5. 5VPNに接続し、Kill Switchと自動接続をオンに戻す。

NordVPNの日本語ヘルプも、ホテルや空港、カフェのログインページについて、この順番で操作するよう案内しています。ログイン画面が出ないときや警告が出るときの対処は、下の表にまとめました。

公衆Wi-Fiでよくある症状と対処

VPNアプリがどうしてもつながらない場合の切り分けは、VPNが繋がらないときの直し方で詳しく説明しています。

総務省のマニュアルによると、00000JAPANは東日本大震災をきっかけに進められた取り組みです。地震や風水害のほか、携帯電話会社の大規模な障害のときにも、避難所などで公衆Wi-Fiが無料開放されています。2024年の能登半島地震でも開放されました。

同じマニュアルは、00000JAPANが利便性を最優先して、一切の認証なし・暗号化なしで提供されると明記しています。各機関が挙げている注意点は次のとおりです。

• 総務省：情報を得るための利用にとどめ、必要最小限で使う。
• 国家サイバー統括室のハンドブック：使えるなら自分の携帯電話回線やテザリングを優先する。暗号化なしのネットワークを使うときは、流出して困る重要な情報を送らない。
• 無線LANビジネス推進連絡会：安否確認や情報収集など最小限の利用にとどめる。やむを得ずIDやパスワードを入力したり、金融系のサービスを使ったりする場合は、HTTPSやVPNなどで自ら対策するよう勧めている。

ハンドブックは、暗号化なしの災害用Wi-Fiを使う場合にもVPNが役立つと説明しています。一方で00000JAPANは各社が同じ名前で提供するため、利用者からは提供者を見分けにくいと、無線LANビジネス推進連絡会のガイドラインは指摘しています。平時なのに表示される00000JAPANや、つなぐと個人情報の入力画面が出るものは、使用を避ける例として挙げられています。VPNを使う場合でも、入力する情報を絞るという原則は変わりません。

出かける前

• 自宅と職場以外のWi-Fiへの自動接続をオフにし、使わないネットワークを削除する。
• パソコンのファイル共有をオフにし、Windowsはパブリック ネットワークにしておく。
• VPNを使う場合は、信頼していないWi-Fiでの自動接続とKill Switchを設定しておく。
• パスワードを使い回さず、二要素認証（パスワードに加えて別の確認を行う仕組み）を設定しておく。

つなぐとき

• 掲示や公式案内と同じネットワーク名かを確かめる。
• 提供者がわからないWi-Fiにはつながない。
• ログイン画面が出る場合は、URLを確かめてからログインし、その後VPNをつなぐ。

つないだあと

• IDやパスワードを入力する前に、URLが「https://」で始まり、全体が正しいかを確かめる。
• 警告が出るサイトでは何も入力しない。
• ネットバンキングなど重要な操作は、モバイル回線に切り替えるかVPNを使う。
• 使い終わったら、旅行先やホテルのネットワーク設定を削除する。

日本国内で使うVPNの選び方や各社の違いは、日本向けのおすすめVPNで比較しています。