無料Wi-Fiはなぜ危ないと言われる？カフェで何が見えるのか

無料Wi-Fiで気をつけたいのは、誰が提供する接続先か、通信が保護されているかを自分で確かめにくいことです。正常なHTTPS接続なら、ページの内容や入力したパスワードは途中から通常読み取れません。ただし、偽のWi-Fiや偽サイト、証明書の警告を無視するリスクは残ります。

施設が案内する接続先か分からないときは、つながないで確認します。ブラウザの警告が出たら先へ進まず、入力を止めてください。必要ならWi-Fiを切り、モバイル回線へ切り替えます。回線を替えても、入力先が本物かどうかの確認は必要です。

では、通信の中身が守られるなら、何が残るのでしょうか。ラボでは、通信の内容と、その外から分かる情報を分けて考えます。

HTTPSと証明書が途中の通信をどう守るかは、第53話「SSL/TLSは通信路をどう守る？ 鍵付きの通路を進もう」で場面として先に見られます。

「無料Wi-Fiは危ない」の中身を先に

公共のWi-Fiにつないだだけで、すべての内容がほかの利用者に見えるわけではありません。Webの通信がHTTPSで保護されているかが、一つの分かれ目です。

以前は、暗号化されていない通信が普通にありました。ログイン情報がそのまま流れる場面もありました。今は多くのWebサイトがHTTPSに対応し、ブラウザは暗号化されていないページに警告を出すようになっています。

そのため、無料Wi-Fiで心配する対象は移りました。

• 減ったこと：通信の中身がそのまま読まれる
• 残っていること：偽の電波につながされる
• 残っていること：提供元がわからない電波に自動でつながる
• 残っていること：警告を無視して先へ進んでしまう
• 残っていること：更新されていない古い機器を使い続ける

同じ「危ない」でも、接続先を選ぶ場面と、ページへ情報を入力する場面では、確かめるものが違います。

ユイ

カフェの無料Wi-Fiは使わない方がいい、って本当ですか

マコト

危ない、で終わらせたくないな。何が見えて、何が見えないかを分けよう

ピコ

通信の中身と、どこへ送っているかは別なんだ。見る場所を分けよう

公園のベンチにたとえて考える

知らない人もいる公園のベンチで、誰かと話している場面を思い浮かべてください。周りの人には、話していることや長さが分かる場合があります。ただし、暗号化された通信は、小声で話すこととは違います。

小声なら、近づけば聞き取れてしまいます。暗号化は、決められた鍵がなければ内容を読み取れない形に変える仕組みです。HTTPSでは、その保護をブラウザと接続先が担います。利用者が周りを見回したり、画面を暗くしたりすることとは別です。

このたとえで押さえるのは、内容が読めなくても、通信していることまで隠れるとは限らないという違いです。実際には、誰がどこから通信を見るかによっても、分かる情報が変わります。

何が見えて、何が見えないのか

次の表は、端末や接続先に問題がなく、証明書の警告を無視していない正常なHTTPS接続を前提にしています。Wi-Fiの提供者と、隣の席で同じWi-Fiを使う人が、同じ情報を見られるわけではありません。

封筒で考えるなら、中身と配送に使う宛先は別です。ただし「宛先としてどこまで分かるか」は一定ではありません。隣の利用者が、あなたの閲覧履歴を必ず一覧で見られるという意味ではありません。

HTTPのまま保護されずに送る内容は、はがきのように途中で読み取られるおそれがあります。また、HTTPSでも証明書などの問題で警告が出ることがあります。「警告がある＝HTTP」とは限りませんが、警告を無視して入力しないという行動は共通です。

ユイ

中身が読めないことと、通信したことが分かるかは別なんですね。

ピコ

うん。隣の人と、通信を中継する提供者とでも、見える範囲が違うよ。

HTTPSの接続表示が示すこと、示さないこと

アドレス欄のhttpsや接続情報の表示は、正常に接続できているとき、主に2つのことを示します。アイコンの形はブラウザや版によって異なります。

1. その通信が暗号化されていること
2. 相手が、証明書で示された相手であること

HTTPSは、途中の誰かに中身を読まれたり、こっそり書き換えられたりするのを防ぐ助けになります。詳しい仕組みはHTTPSとはで扱っています。

ただし、HTTPSの接続表示が保証しないものもあります。ここを混ぜると危険な方向へ勘違いします。

• 相手が「善良かどうか」は示しません。詐欺サイトもHTTPSを使えます
• あなたがどのサイトへ行ったかは、隠しきれないことがあります
• 端末そのものが乗っ取られていた場合は、別の話になります
• 偽サイトへパスワードを送れば、途中が暗号化されていても、その受取先には渡ります

HTTPSの接続表示は「この相手までの道を封じています」という確認です。「その相手が善良です」という評価ではありません。

それでも残るリスクの例

中身が守られていても、無料Wi-Fiで気をつける場面はあります。代表的なものを挙げます。

• 偽のアクセスポイント：本物と似た名前の電波を出し、つながせる手口があります。名前だけでは本物か判断しにくい場合があります
• 自動接続：一度つないだ名前と同じ電波に、端末が自動でつながることがあります。知らない場所で、意図せずつながる場合があります
• 証明書の警告：ブラウザが警告を出したときに「先へ進む」を押すと、暗号化の前提が崩れることがあります
• 古いまま使う機器：修正が提供されていない機器やアプリでは、既知の弱点が残っている場合があります
• 画面の覗き見：技術以前の話ですが、実際にはこれがいちばん近い距離にあります

偽のアクセスポイントにつながったからといって、正常なHTTPS通信が直ちに解読されるわけではありません。ただ、偽の接続画面へ誘導したり、警告を無視させたりする入口になり得ます。SSIDというネットワーク名を施設の案内と照合し、不明な場合は確認してから使います。

パソコンでは、公共のネットワーク向けの設定を使い、不要なファイル共有を無効にすることも大切です。こうした端末側の設定とHTTPSを整えたうえで、さらに通信の見える範囲を変える仕組みがVPNです。

よくある誤解と、VPNという選択肢

よく聞く話を、いくつか一つずつ確かめます。

外出先で使う暗号化VPNは、端末からVPNサーバーまで、対象の通信をまとめて包みます。その中を通る通信の行き先はWi-Fi提供者から見えにくくなりますが、VPNに接続していることや通信量まで必ず隠せるわけではありません。設定によってVPNを通らない通信もあります。

VPNの先へ通信を渡す事業者も、信頼できるか確かめる必要があります。無料・有料だけで決めず、運営元や情報の扱いを確認します。仕事では組織が認めた回線・端末・VPNのルールを優先してください。仕組みとHTTPSとの分担はVPNとはで扱っています。

つなぐ前の3つの確認とクイズ

カフェでノートパソコンを使うなら、次の3つを順に確認します。接続先を選ぶ前と、情報を入力する前の両方で見ることがあります。

1. 提供元：Wi-Fiの名前を、店内の掲示やレシートと見比べる。似た名前が複数あるときは、店の人に聞く
2. HTTPS：アドレス欄と接続情報を確認する。安全でない接続や証明書の警告が出たら、進まずに閉じる
3. 扱う情報：仕事の機密情報など、この環境で扱ってよいか確認する。接続先や設定を確かめられない場合は、モバイル回線へ切り替えるか、確認できる環境まで待つ

通信を終えたら、不要な自動接続設定も見直します。調べ物なら無条件に安全、送金なら一律に禁止という分け方ではなく、使う接続先とサービス、端末、組織のルールから判断します。

Q1. 無料Wi-Fiでは、入力したパスワードは読まれてしまいますか？

A. 正常なHTTPS接続なら、途中の第三者からは通常読み取れません。ただし証明書の警告を無視した場合や、端末に問題がある場合は別です。送った先のサイトには内容が届くため、入力先の確認も必要です。

Q2. HTTPSなら、そのサイト自体も信用できますか？

A. 別の話です。HTTPSは通信を暗号化し、証明書で示された相手との接続を確かめる仕組みですが、相手が善良である証明ではありません。

Q3. 無料Wi-Fiで、いちばん気をつけることは何ですか？

A. 提供元がはっきりしない電波や、本物に似た名前の電波につながないことです。あわせて、警告が出たら先へ進まないことです。

無料Wi-Fiの注意から進む記事

何が見えて何が見えないかを分けられたら、封筒と鍵の中身へ進むと、判断の根拠が自分のものになります。

• HTTPSとは：HTTPSの接続表示が何を守っているのかを確かめます。
• VPNとは：通信をまとめて包む選択肢を見ます。
• WPA2とWPA3の違い：Wi-Fiの電波区間そのものを守る方式を比べます。
• 暗号化とは：読めなくする仕組みの土台を押さえます。

ユイが最初に迷っていたのは、無料Wi-Fiを使うかどうかでした。今は、施設の案内、接続の警告、扱う情報を別々に確認できます。分からないところが残れば、つながずに待つ選択もできます。

無料Wi-Fiでは、接続先と警告を先に見る

正常なHTTPS通信なら途中から内容を読まれにくくなりますが、偽のアクセスポイント、証明書警告、危険な端末や相手サイトまでは解決しません。施設が案内するSSIDか、ブラウザに警告が出ていないかを確認し、不安なら重要な操作はモバイル回線へ戻します。

ここまで分けると、もう一つ気になる点があります。HTTPSで本文を守れるのに、VPNを足すと何が変わるのでしょうか。VPNとはで、端末・VPNの出口・目的のサイトを並べ、保護する区間の違いを確かめてみてください。