HTTPSが普及した今も、VPNが役立つ範囲は残っている
HTTPSとVPNは競合する機能ではありません。守る区間と、まとめて保護する範囲が違います。
HTTPSは、ブラウザーや対応アプリと相手のサービスとの間で通信を暗号化します。米国FTCも、多くのWebサイトが暗号化を使う現在、公共Wi-Fiの利用は通常安全になってきたと案内しています。アドレスバーのHTTPSや鍵の表示は重要ですが、これは『接続先との通信が暗号化されている』ことを示すもので、表示しているサイトの運営者が必ず信頼できることまでは保証しません。フィッシングサイトもHTTPSを使えるため、ドメイン名とアクセス経路を別に確認します。
VPNは、端末から選んだVPNサーバーまで暗号化された経路を作ります。ブラウザーだけでなく、VPNへルーティングされるメール、同期、メッセージなどをまとめて保護できる点が違いです。公共Wi-Fiの管理者からは、通常はVPNサーバーとの通信、通信時刻、データ量などは分かり得ますが、トンネル内の通信内容や個別の接続先は読み取りにくくなります。ただし、分割トンネルで除外したアプリ、VPN接続前の通信、VPNが切れた後の通信は範囲外になることがあります。
VPNを使うと、信頼の置き場所がWi-Fi提供者からVPN事業者へ移る側面があります。運営会社、プライバシーポリシー、保存する接続データ、公式アプリ、切断時保護を確認できるサービスを選びます。『無料だから危険』『有料なら安全』と料金だけで決めず、説明と設定を確認してください。
- HTTPS：対応サイト・アプリとの通信を保護する基本
- VPN：端末からVPNサーバーまで、対象通信をまとめて保護
- モバイル回線：施設のローカルネットワークを避ける選択肢
- どの方法でも、偽サイト・古い端末・漏れたパスワードは別対策が必要
最初の防御は、施設が案内するSSIDへつなぐこと
似た名前のアクセスポイントへ誤接続すると、その先でVPNを使えても、偽の同意画面へ誘導される可能性が残ります。
空港名やホテル名に『Free』『Guest』『5G』を足したSSIDが並んでいても、もっとも電波が強い回線が本物とは限りません。案内板、客室カード、公式アプリ、スタッフなど、Wi-Fi一覧とは別の情報で綴りと接続方法を確かめます。QRコードを使う場合も、施設が管理する掲示かを確認し、読み取り後に表示されたSSIDを見ます。
パスワードがある公共Wi-Fiでも、不特定多数が同じパスワードを知る場合があります。パスワードの有無だけで安全と断定せず、正しいSSID、HTTPS、更新済み端末、必要に応じたVPNを重ねます。WindowsがWEPやTKIPなど古い方式について警告を出した場合、Microsoftは別の信頼できる回線への切り替えを案内しています。管理できない施設のルーター設定を自分で変更することはできないため、モバイル回線を選びます。
Apple製品のプライベートWi-FiアドレスやWindowsのランダム ハードウェア アドレスは、ネットワークをまたいで同じMACアドレスから追跡されにくくする機能です。多くの場合は有効のまま使います。ただし、これらは通信内容をVPNのように暗号化する機能ではありません。プライバシー機能、自動参加、VPNは目的が異なるため、一つをオンにして他の確認を省略しません。
- SSIDは施設の別資料で一文字ずつ確認
- パスワード付きでも共有回線であることは変わらない
- 古いセキュリティ方式の警告が出たら別回線へ
- プライベートアドレスは追跡抑制であり、VPNの代替ではない
同意画面が開かないときも、保護を全部外さない
公共Wi-Fiは、最初のWebアクセスを利用同意画面へ転送することがあります。VPNが先に動くと画面を表示できない場合があります。
まずOSのWi-Fi設定から正しいSSIDへ接続し、システムが表示するログイン画面を開きます。画面が出なければ、Wi-Fiを一度切ってつなぎ直し、施設の案内にあるポータル手順を確認します。VPN提供元が公式ヘルプで一時停止を案内している場合は、クラウド同期やメールを閉じ、ポータル手続きだけを行い、完了後すぐVPNへ戻します。証明書警告を回避したり、不明な構成プロファイルを追加したりしてはいけません。
同意画面は通常、利用規約への同意、部屋番号、チケット番号、メールアドレスなどを求めますが、必要項目は施設によって異なります。事前案内と比べて過剰な情報を求める、突然アプリのインストールを促す、端末の管理者パスワードを求める、ドメインが不自然といった場合は中止します。分からなければスタッフへ画面を見せ、URLと項目が正しいか確認します。
VPN接続後は、通知領域やOSのVPN表示だけでなく、VPN公式アプリ側でも接続先を確認します。接続確認のために出所不明の『IP確認アプリ』を追加する必要はありません。VPN事業者の公式確認ページか、アプリの状態表示で十分です。接続できない状態が続くなら重要な操作を始めず、モバイル回線へ移ります。
VPNを使っていても、してはいけない5つのこと
VPNの接続表示は『すべて安全』の印ではありません。回線以外のリスクを切り分けます。
第一に、証明書警告を無視しません。第二に、メールやSMSのリンクから銀行・決済へログインしません。第三に、施設の共用PCへ個人アカウントを入力しません。第四に、会社端末の構成プロファイルや会社指定VPNを個人向けVPNへ置き換えません。第五に、速度を上げるためファイアウォール、Kill Switch、OSの保護機能を止めたままにしません。
VPNは、偽サイトへ入力した情報、端末内のマルウェア、推測されやすいパスワード、使い回した認証情報、サービス側からの情報漏えいを防ぐものではありません。OS更新、パスワード管理、多要素認証、公式アプリ、ブラウザーの警告を併用します。仕事の接続は、会社のセキュリティ担当が指定したVPNやゼロトラスト接続を使い、利用できない場合は自己判断で迂回せず問い合わせます。
公共Wi-Fiの速度が遅い場合、VPNを切れば改善することはありますが、保護が必要な作業をそのまま続ける理由にはなりません。近いVPNサーバーや自動プロトコルを試す、作業を軽くする、モバイル回線へ切り替える順で判断します。動画視聴など機密性の低い用途と、顧客情報を扱う仕事を同じ基準で扱わないことが大切です。
- 証明書警告を無視して続行しない
- 通知やメール内のリンクから重要サービスへ入らない
- 共用PCへ自分のアカウントを入力しない
- 会社指定の接続方法を自己判断で置き換えない
- 保護機能を止めたまま速度だけを優先しない
iPhone・Android・Windowsで確認する設定
設定名はOSの版や端末メーカーで変わります。表示が違う場合は、OSベンダーの公式ヘルプを検索します。
iPhone・iPadでは、Wi-Fi名の横にある情報ボタンから『自動接続』と『プライベートWi-Fiアドレス』を確認できます。Appleは、接続済みネットワークへの自動参加を止めたい場合、ネットワーク設定を削除するか自動接続をオフにするよう案内しています。利用後に今後不要な公共Wi-Fiを削除すると、同名の回線へ意図せず戻る可能性を減らせます。VPNは設定画面と公式アプリの両方で接続状態を確認します。
Androidでは『ネットワークとインターネット』『インターネット』などから接続中Wi-Fiの設定を開き、自動接続、プライバシーまたはランダムMAC、VPNの常時接続を確認します。項目名はPixel、Galaxyなどで異なります。プライベートDNSは名前解決を保護する機能ですが、VPNやHTTPSの代わりではありません。会社が管理する端末は変更できない設定があっても正常です。
Windowsでは、カフェや空港の回線を『パブリック ネットワーク』として扱い、Microsoft Defender Firewallを有効にします。Microsoftは、プライベートとパブリックで他端末から検出される範囲が異なると説明しています。ランダム ハードウェア アドレスを使える端末では、ネットワークごとまたは全体で設定できます。ファイル共有が必要な自宅回線まで一律に変更せず、接続先ごとに扱います。
- iPhone・iPad：自動接続とプライベートWi-Fiアドレス
- Android：自動接続、ランダムMAC、VPNの常時接続
- Windows：パブリック ネットワーク、Firewall、ランダムアドレス
- 会社管理端末：管理者の手順を優先
怪しいWi-Fiへつないだ後にすること
接続しただけで、直ちに全アカウントの変更が必要とは限りません。何を入力・許可したかで対処を決めます。
SSIDを間違えただけで、証明書警告を無視せず、認証情報も入力していないなら、回線を削除し、OSとセキュリティソフトを更新して様子を見ます。見慣れないアプリ、構成プロファイル、ルート証明書を追加した場合は、自分で闇雲に削除せず、端末メーカーまたは会社管理者へ追加内容を伝えて確認します。業務端末なら、実害が分からなくても早めに報告します。
パスワードを入力した疑いがある場合は、信頼できる別回線から公式サイトや公式アプリを開き、該当パスワードを変更します。同じパスワードを使っている他サービスも個別のものへ変更し、既存セッションからログアウトし、多要素認証を確認します。多要素認証の承認通知が届いても、自分が操作していなければ拒否します。
カード番号や銀行情報を入力した、身に覚えのない送金や請求がある場合は、画面に表示された番号ではなくカード裏面、銀行公式アプリ、公式サイトの窓口へ連絡します。VPN契約を変えることより、漏れた可能性のある情報を無効化し、取引を止める方が先です。日時、場所、SSID、表示されたURL、入力した項目をメモすると相談しやすくなります。