公共Wi-Fiは危険？接続前に知っておくべきセキュリティの基本

公共Wi-Fiで確認するのは、ネットワークの運営者、通信の暗号化、開いたサイト、これから行う操作です。名前が見慣れたWi-Fiでも、接続先のサイトが本物だとは限りません。逆に、公共Wi-Fiに接続しただけで、HTTPSで送る内容が必ず盗まれるという説明も正確ではありません。

1. HTTPSとサイトの信頼性を分ける

米国FTCの公共Wi-Fi案内は、現在のWebサイトでは暗号化が広く使われていることと、詐欺サイトも通信を暗号化できることを分けています。HTTPSは接続先へ送る通信を保護する仕組みです。相手が正規の銀行や通販事業者かを認定するものではありません。

ブラウザに証明書の警告が出た場合は、警告を無視して進まず、URLと接続方法を確認します。ログイン先は、メール内のリンクから急いで開くより、保存済みの公式ブックマークや正規アプリから開き直すと、比較する基準を持てます。

次の3例は、判断の違いを示すための架空の場面です。いずれも駅の掲示でSSIDを確認して接続したあと、とします。

普段読むニュースサイトをブックマークから開き、HTTPSで表示され、証明書警告も出ていません。この確認と、会員情報や決済情報の入力は分けます。読んでいる途中に別ページでログインを要求されたら、要求元を確認します。

SMSのリンクを開き、普段と違うURLでパスワードと確認コードを要求されました。この場合は入力を止め、正規アプリから確認します。Wi-Fiをモバイル回線へ切り替えても、そのページの運営者が本物になるわけではありません。

社内資料を送る場面では、所属先が指定する回線・VPN・端末のルールを先に確認します。HTTPSで接続できることと、組織がその経路での送信を許可していることは別です。許可が不明なら送信を待ちます。

施設の掲示やスタッフの案内で正式なSSIDを確認します。同じ名前の候補がある場合、名前だけを根拠に正規の接続先だと判断しません。
開くサイトは公式アプリや保存済みURLで確認し、HTTPSと証明書警告の有無を見ます。接続用ページが追加アプリや証明書の導入を要求する場合は、施設の公式案内と照合します。
入力する情報と利用規則を確認します。回線や施設の運営を確認できないなら、モバイル回線など確認できる経路へ切り替えます。送信先の確認も別に行います。
利用後は、自動接続を続ける必要があるかを見直し、不要なら端末のWi-Fi設定からそのネットワークを削除します。設定名はOSと版によって異なります。

VPN接続や接続元IPの変化は、フィッシングサイトの見分け方にはなりません。IP表示で分かるのは、その確認先から見えた接続元です。SSIDが施設の正規のものか、送信先が本物か、ログイン情報を入力してよいかは、この値から判定できません。

疑わしいページにパスワードを入力した場合は、公式サイトや正規アプリから変更し、使い回している他のアカウントも見直します。カード情報や送金が関係する場合は、カード会社や金融機関の正規窓口へ連絡します。単にWi-Fiを切っただけで、すでに相手へ渡した情報を取り消せるとは考えないでください。