1. 接続前にSSIDと提供者を公式表示で照合する

公衆Wi-FiのSSIDは、店内掲示、施設の公式サイト、受付で確認します。名前が施設名に似ているだけでは正規のアクセスポイントとは限りません。総務省の一般利用者向け資料は、知らないアクセスポイントへ接続しないこと、事業者の検索やステッカー等で本当に提供されているかを確認することを勧めています。

パスワード不要のネットワークや、同名SSIDが複数表示される場合は特に注意します。受付で聞いたパスワードがあることだけでは、接続先の正当性を保証しません。接続前にモバイルデータ通信で公式案内を開き、SSIDの文字、大文字・小文字、認証方法、利用規約の入口を確認します。分からなければ接続しない選択をします。

  • 施設の掲示・公式サイト・職員からSSIDを確認
  • 一文字違い、末尾違い、同名の接続先に注意
  • 利用規約と運営者・問い合わせ先を確認
  • 確認できない場合は携帯回線を使用

2. Wi-Fi区間の暗号化とログイン画面を確認する

Wi-Fi一覧で鍵の表示がないネットワークは、アクセスポイントと端末の間が暗号化されていない場合があります。鍵があっても、利用者全員が同じパスワードを知る方式では、社内・家庭の個別管理されたネットワークと同じ安全性とは限りません。接続方式と暗号化の有無を確認し、機密性の高い作業は避けます。

接続直後に施設のログイン画面が表示されることがあります。URLと運営者を確認し、OSやブラウザーが電子証明書エラーを表示したらID・パスワードを入力しません。総務省資料も、証明書エラー時は接続せず事業者へ問い合わせるよう案内しています。警告を無視するための証明書や構成プロファイルを、出所を確認せず導入しないでください。

3. HTTPSと警告表示を取引ごとに確認する

ウェブサイトでは、アドレスが意図した公式ドメインで、HTTPSが有効かを確認します。HTTPSは端末とそのウェブサイト間の通信を暗号化し、改ざんや盗み見のリスクを下げますが、フィッシングサイト自体がHTTPSを使うこともあります。鍵表示だけで相手の正当性を判断せず、メールやQRコードからではなく公式アプリや保存済みURLから開きます。

証明書警告、接続は安全ではないという表示、突然の再ログイン、普段と異なる多要素認証要求が出たら操作を止めます。ネットバンキング、証券、決済、行政手続、仕事の管理画面などは、可能なら信頼できる携帯回線や管理された回線へ切り替えます。通信の暗号化は、画面ののぞき見や端末の盗難を防ぐものではありません。

  • 公式ドメインを一文字ずつ確認
  • HTTPS・証明書警告を無視しない
  • パスワード使い回しを避け、多要素認証を使う
  • 重要操作は携帯回線等へ切り替える

4. 自動接続とファイル共有をオフにする

過去に接続したSSIDへ自動接続する設定があると、同名の不正なアクセスポイントへ意図せず接続するリスクがあります。公衆Wi-Fiでは自動接続をオフにし、接続中のSSIDを確認します。利用目的が終わったら切断し、保存済みネットワークから削除します。Bluetoothや近距離共有も、不要な間は受信不可にします。

IPAは、公衆Wi-Fi利用時にパソコンのファイル共有機能をオフにするよう案内しています。OSがネットワークの種類を尋ねる場合は、公衆ネットワークとして扱い、共有や探索を許可しません。OS、ブラウザー、VPNアプリ、セキュリティソフトは出発前に更新し、公衆Wi-Fi上で出所不明の更新通知からソフトを入れないでください。

5. VPNの守備範囲と提供者を理解する

VPNは、端末からVPN接続先までの通信をまとめて暗号化する仕組みとして利用されます。IPAは公衆Wi-Fi利用時に必要に応じて信頼できるVPNを使うよう案内し、国家サイバー統括室のハンドブックも無線LAN暗号化とVPNの守備範囲を説明しています。勤務先の指定VPNがある場合は、接続が完了したことを確認してから業務を始めます。

VPNを使っても、偽サイトへ自分で情報を入力した場合、端末がマルウェアに感染している場合、画面を見られた場合は防げません。また、通信の出口をVPN提供者へ預けるため、運営者、プライバシーポリシー、ログ、更新、サポートを確認する必要があります。出所不明の無料VPNや構成プロファイルを安全対策の名目だけで導入しないでください。

  • 勤務先・学校が指定するVPNと利用ルール
  • 提供者、アプリ配布元、更新、プライバシー方針
  • 切断時に通信を止める機能の有無
  • VPNでも防げない偽サイト・端末感染・のぞき見

6. 重要作業には別回線と物理的な対策を使う

公衆Wi-Fiで安全設定を重ねても、運営や周囲の利用者を自分で管理することはできません。個人情報、決済、機密資料、大量の顧客情報を扱う作業は、携帯回線のテザリング、組織が支給した回線、管理された宿泊施設の有線接続などへ切り替えます。通信量と費用を事前に確認し、予備手段を用意します。

公共の場所では、背後や反射面からののぞき見、会話の聞き取り、端末や紙資料の置き忘れにも注意します。画面ロックを短時間に設定し、席を離れるときは端末を携帯します。ウェブ会議ではイヤホンを使っても自分の声は周囲に聞こえるため、会議内容に適した場所かを判断します。

7. 利用後に切断し、不審時は別端末から対処する

利用後は公衆Wi-Fiを切断し、自動接続をオフにした上で保存済みSSIDを削除します。施設のログインページからログアウトできる場合は行い、VPNの接続状態も確認します。ブラウザーやアプリのログイン履歴、セキュリティ通知を確認し、共有設定を戻し忘れていないか点検します。

偽アクセスポイントへの接続、証明書警告の無視、パスワード入力などが疑われる場合は、そのネットワークから切断します。信頼できる別回線・別端末から対象サービスの公式ページを開き、パスワード変更、セッション終了、多要素認証、利用明細確認を行います。会社の情報を扱った場合は、自己判断で隠さず、組織の緊急窓口へ速やかに連絡します。

  • 切断、自動接続オフ、保存済みSSID削除
  • ログイン履歴、決済・通信明細、警告通知の確認
  • 信頼できる別回線から認証情報を変更
  • 勤務先・サービス提供者・相談窓口へ報告