Microsoftも警告、ホテルWi-Fiで「M365」が狙われる？ 安全になったはずの公衆Wi-Fiで起きている異変：半径300メートルのIT

「公衆Wi-Fiは危険」という常識は、この10年で「HTTPSがあるから大丈夫」へと書き換わりました。ところが今、ホテルでWi-Fiにつないだ一瞬にMicrosoft 365のアカウントを奪われる攻撃が観測されています。どうすれば安全に利用できるのでしょうか。

[宮田健，ITmedia]

　個人によるセキュリティ対策の難しいところは、時間がたつと常識も変化していくことにあると思っています。これまでは十分だとされていたものが、いつの間にか常識が変化し、不十分なものになります。その対策がプラスからゼロになるならまだしも、マイナスになることすらあり得るのがセキュリティの世界。

　本連載もスタートから非常に長い期間がたちました。特に変わったのは「パスワード」の作り方かもしれません。連載当初は私も「基本パスワード文字列にサービスの頭文字2文字くらいを付けて管理しよう」と書いていた記憶がありますが、いまではこれは推奨できるものではありません。

　「3つ程度の関連のない単語をつなげてパスフレーズを作りましょう」「複雑でなくても長いパスワードにしましょう」というのが常識となり、おそらく次は「パスワード管理ソフトが生成するものをそのまま使い、個別のパスワードを覚えるのはやめましょう」というのが常識になっていくはずです。過去私も本コラムを基にした書籍を出版しましたが、セキュリティに関連した書籍は陳腐化が早く、本当に悩ましいです。

　そして、また常識が書き換わりそうな事件が明らかになりました。「公衆Wi-Fiは使っていいのか？」という問いへの答えを、私たちは考え直さないといけないかもしれません。

公衆Wi-Fiを使うな→最近は大丈夫では、という変化

　携帯キャリアの回線を使ってのデータ通信が高価だった頃、街中ではさまざまな場所に「公衆Wi-Fi」が登場しました。カフェなどではオーナーの好意で、Wi-Fiが解放されていることもありました。これが登場した頃は、公衆Wi-Fiの利用はセキュリティ的には問題があり、使うべきではないとされていた時代があります。

　この背景には幾つかの理由があります。例えば、無線LANが暗号化されていなかったり、パスワードが設定されていても暗号化方式がWEPなどの古くて弱いものだったりすると、通信を第三者に傍受されてしまうというのが理由でした。その頃はメールもPOP3を利用している場合もあり、パスワードそのものが傍受されるリスクを無視できなかったため、「公衆Wi-Fiは使うな」ということが半ば常識として伝えられていました。

　しかし、時代は変わります。2017年頃から、Webブラウザで見るサイトがHTTPSを使う「常時SSL化」が本格的に進みます。もはや「クレジットカード情報を送信するときには、錠のマークでSSL利用を確認しましょう」ということを言う人はいません（既に錠のマークすら表示されなくなりました）。

　そのため、もし公衆Wi-Fiが盗聴可能だったとしても、HTTPSの通信の中身を“盗聴”できず、セキュリティ識者も「公衆Wi-Fiのリスクはそこまで高くない」と判断するようになりました。POP3のようなパスワードがそのまま通信路を通るプロトコルも廃れました。公衆Wi-Fiは常識が変化し、安全と見なされるようになっていった一つの例といえるでしょう。

　そこに、また状況の変化が現れます。

ReliaQuestが公開した「ホテルWi-Fiの危険性」

　2026年7月23日、セキュリティベンダーのReliaQuestが、「DNS Poisoning Tactics Expand to Hospitality Wi-Fi」と題するブログ記事を公開しました。これはホテルなどが提供する公衆Wi-Fiを侵害する攻撃を観測したというもので、常識を変化させるにふさわしい、手の込んだ内容となっています。

DNS Poisoning Tactics Expand to Hospitality Wi-Fi（出典：ReliaQuestのブログ記事）

　概要をざっくりとまとめると、攻撃者が狙ったのは、公衆Wi-Fiにつなぐと表示される「キャプティブポータル」というゲートウェイのページです。皆さんも公衆Wi-Fiにつないだとき、最初にログインや利用規約が表示されたという経験があるのではないかと思います。それがキャプティブポータルです。

　キャプティブポータルを経由して、公衆Wi-Fiにつないだ端末がネットワーク利用可能となるのですが、今回の攻撃ではWi-Fiゲートウェイの設定をひそかに変更し、DNSポイズニングと呼ばれる攻撃を実行します。これにより、Wi-Fiを経由して例えば「Microsoft 365」など正規のサービスにアクセスしようとしたとき、攻撃者が用意した偽のログインページにリダイレクトし、認証情報を奪うという攻撃シナリオが実行されます。

　問題は、これが単なるフィッシング的な偽ページ表示ではなく、利用者が正規のサービスを開いたつもりでも、攻撃者が登録したそっくりのドメインへ運ばれてしまうことです。DNSポイズニングとは、「住所録のすり替え」のようなもので、ドメイン名とサーバーIPアドレスの対応表そのものを侵害するため、自分でリンクを踏んだ自覚がない分、利用者が疑うきっかけを持てません。マルウェア感染も不要で、フィッシングURLをクリックさせるわけでもなく、ホテルのWi-Fiを使って仕事をしようとしたときに、巧妙なソーシャルエンジニアリングを使って認証情報が奪われるというシナリオです。

「CaptiveCrunch」手法への対策は

　これに合わせ、Microsoftも公式ブログで記事「CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theft」を公開しています。

CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theft（出典：Microsoftのセキュリティブログ）

　Microsoftはこのキャプティブポータルへの攻撃に加え、マルウェア感染を含めた攻撃を観測していると報告しています。Wi-Fi接続時の通信を傍受した後、攻撃者は被害端末に「ドライバーの修復が必要です」や「ブラウザのアップデートが必要です」といった偽の警告画面を表示し、そこに示した手順を利用者自身に実行させようとします。

　これは「ClickFix」と呼ばれる手口そのもので、利用者の心理を操作してマルウェア感染を狙います。これにより、「CornFlake」と呼ぶ遠隔操作ツールが端末に居座り、PowerShellベースのインフォスティーラーである「ChocoShell」がメモリ上で実行されます。

　Microsoftも、これに国家支援型のハッカー集団が関与していると述べています。これらの手法を用い、攻撃者は認証情報とPCの遠隔操作権限を手に入れます。この集団が従来標的としてきたのは、政府機関や外交関連の組織、NGO、ITサービス事業者などです。おそらくは、スパイ活動としての攻撃ではないかと推測できます。

　こうしたDNSポイズニング対策として、PCやスマホにGoogleのパブリックDNS「8.8.8.8」をあらかじめ設定しているから大丈夫、と考える人もいるかもしれません。しかし、通常のDNSリクエストは暗号化されない平文で送信されます。通信経路の関門であるWi-Fiゲートウェイ自体が乗っ取られている場合、攻撃者は8.8.8.8への問い合わせを横取りし、8.8.8.8になりすまして偽のIPアドレスを返答できてしまいます。これを防ぐには、平文への切り替えを許さない厳格（Strict）モードの暗号化DNSにするか、全てのDNSリクエストをゲートウェイに触れさせない「フルトンネル型VPN」を強制する必要があります。

常識が変わりつつあるいま、公衆Wi-Fi利用はやめるべき？

　対策としてReliaQuestは、DNSリクエストを含めて全ての通信を対象とした「フルトンネル構成で常時VPNオンを強制する」ことを提示しています。その他、プロキシ認証ログを監査し疑わしいログを探すこと、必要でない場合、Windowsの自動プロキシ検出機能「Web Proxy Auto-Discovery」（WPAD）を無効とすること、認証情報を入力する前にサイトを確認すること、そしてMicrosoft Entra IDの条件付きアクセスでデバイスコード認証フローをブロックすることを提案しています。

　システム管理者やセキュリティ管理者は、今回挙げた2つのブログをぜひチェックいただければと思います（生成AIを使いサマリーをチェックしつつ、要点を会話形式で絞っていくとよいでしょう）。

　利用者レベルでは、まずは組織の指示に従うこと。まだ指示がアップデートされていないという場合は、

• 可能な限りスマホのテザリングを使い、ひとまずは公衆Wi-Fiを利用しない
• 公衆Wi-Fiを使う場合は、接続前にフルトンネル型VPNを常時オンにして使う
• Wi-Fi接続直後に何らかの警告が出てきたとしても、それは無視しすぐに切断する

　ことを心がけてください。

　個人的には、今回の件が明らかになったことで、公衆Wi-Fiのリスクレベルを少し高めて使う必要があるとは感じていますが、公衆Wi-Fiそのものが使い物にならなくなったというわけではないと思います。

　事件が明らかになる前でも、DNSリクエストを含むフルトンネル型VPNの利用は推奨されていたと思いますし、ClickFix的な攻撃がいついかなる時もあなたを狙っていたことに変わりはありません。公衆Wi-Fi＝危険というより、インターネットにつながるビジネスパーソンが狙われており、どんな場所にもリスクがあることを理解していただければと思います。

　そして、ITセキュリティの世界は常に変化し、常識は変化するということだけは覚えておいてください。常にアップデートを！

著者紹介：宮田健（みやた・たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門　「木曜日のフルット」と学ぼう！〈漫画キャラで学ぶ大人のビジネス教養シリーズ〉』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる。