公衆Wi-Fiサービス提供者が取り組むべきセキュリティ対策とは？

security_top

はじめに

リモートワーカーや外国人旅行者の増加などに伴い、私たちの生活に広く普及することになった公衆Wi-Fi。便利である一方、使っていて安全なのかと多くの方がリスクを気にしています。

現在公衆Wi-Fiサービスを提供している（もしくは検討中の）事業者の方の中には、セキュリティ対策をどう進めればよいのか、指針となる情報を必要としている方もいるのではないでしょうか？

このコラムでは「公衆Wi-Fi提供にはどのようなリスクがあるのか」「具体的にどのような対策を取ればいいのか」といったことを、2024年3月に総務省が公表した「公衆Wi-Fi提供者向けセキュリティ対策の手引き」の内容を元にご紹介します。

皆さまが実際の環境に応じたセキュリティ対策を取るための参考にしていただけると幸いです。

総務省のガイドラインの内容とは？

総務省が掲載しているガイドライン資料は「自宅Wi-Fi利用者用」と「公衆Wi-Fi利用者用」、「公衆Wi-Fi提供者用」に分冊されていますが、このコラムでは「公衆Wi-Fi提供者用」の要点にフォーカスして解説します。

利用者用ガイドラインは本人がWi-Fi利用時に気を付けるべきポイントを簡潔にまとめた内容となっていますが、提供者用ガイドラインは、気を付けるべきポイントを「利用者のための対策」と「提供者（自身）のための対策」に分けて記載した内容となっています。

公衆Wi-Fiに潜む脅威・リスク

hacker

ガイドラインでは、提供者側がWi-Fiのセキュリティ対策を行わなかった場合にどのような被害にあう危険性があるのかを脅威シナリオの例を挙げながら紹介しています。

【例１】設定不備による情報漏えいのリスク

アクセスポイントに接続した端末同士の通信が可能な状態のまま公衆Wi-Fiサービスを提供していたため、サービスを利用したら知らない人からパソコンの中のファイルを覗き見られしまった。

【例２】ネットワーク未分離による不正アクセスのリスク

経費を抑えるためにホテルの業務用ネットワークを用いて公衆Wi-Fiサービスを提供していたところ、宿泊者からホテル事務室のコピー機に保存したファイルが見える状態となっていると報告を受けた。

これらの例のように、適切なセキュリティ対策を行っていない状況下では、公衆Wi-Fiの利用者・提供者（自身）ともにサイバー攻撃等の被害を受けるリスクが高まるとガイドラインでは述べられています。

利用者のための対策

wifi_pc

セキュリティガイドラインでは、公衆Wi-Fi利用者の安全を確保することを目的として、利用者を守るための対策方法がまとめられています。

利用者のための対策という観点では、大きく下記4点について確認しましょう。

利用者への適切な情報提供
Wi-Fi部分の暗号化
偽アクセスポイント対策
端末同士の通信の禁止

利用者への適切な情報提供

提供者や提供条件が明らかにされていない公衆Wi-Fiでは、利用者はサービスを利用するのに不安を感じてしまうでしょう。

公衆Wi-Fiを提供する際は、例えば、提供者の情報、料金などの利用条件、SSID、Wi-Fi部分の暗号化方式などのセキュリティ対策、偽アクセスポイントなどの危険性と利用者が取ることのできる対策などをあらかじめ利用者に提示することが重要です。

Wi-Fi部分の暗号化

Wi-Fi部分を暗号化することで、通信を盗み見られるリスクを下げることができます。

暗号化を行う場合はWEP等の古いセキュリティ方式を使わないようにし、WPA2またはWPA3による暗号化を設定しましょう。

Wi-Fi部分の暗号化を行った場合には、暗号化に必要となるパスワードの伝達方法にも注意しなければなりません。

誰でもパスワードを知ることができる状況では、不正アクセスや情報を漏えいする可能性が高くなってしまうため、利用者にのみパスワードを記載した紙を個別に配布する、パスワードを定期的に変更するといった対応を取るようにしましょう。

偽アクセスポイント対策

悪意のある第三者が正規のアクセスポイントと同じSSIDをもつ偽アクセスポイントを設置し、接続してきた利用者を偽の認証画面に誘導して、入力されたID・パスワードやメールアドレスを騙し取ったり、通信内容を盗み見たりする事例が発生しています。

公衆Wi-Fiの提供者が取るべき対策としては、利用者に対して正規のアクセスポイントであることを認識してもらえるようにすることが重要です。

例えば、利用者が偽アクセスポイントでないかどうか判断できるように、公衆Wi-Fiの認証画面をHTTPS化し、そのURLを周知するといった方法が考えられます。

端末同士の通信の禁止

不特定多数の人が接続する公衆Wi-Fiでは、アクセスポイントを介して端末同士の通信が可能になっていると、悪意のある第三者が、公衆Wi-Fiを通して、他の利用者の端末に対して侵入や情報の窃盗などを行う可能性があります。

一般的なアクセスポイントは相互通信を禁止にする機能を持っていますので、公衆Wi-Fiのアクセスポイントに接続した端末同士が通信を行うことができないように、機器の設定を確実に行いましょう。

提供者（自身）のための対策

modem

提供している公衆Wi-Fiがネットワークの不正アクセスにあったり機器を乗っ取られたりすると、多くの利用者が被害に巻き込まれる恐れがあるため、セキュリティガイドラインでは提供者（自身）を守るための対策方法についてもポイントがまとめられています。ここでは次の4点について確認しましょう。

業務用ネットワークとの分離
公衆Wi-Fi提供用機器の適切な設定・管理
利用者情報の適切な確認
アクセスログの記録・保存

業務用ネットワークとの分離

業務用ネットワークを利用して公衆Wi-Fiを提供することは避けるようにしましょう。悪意のある第三者が公衆Wi-Fiを通して業務用の端末やサーバーに対して不正アクセスを行う可能性があります。

対策としては物理的に異なるネットワークを構築するか、VLAN技術等を用いて論理的に別のネットワークを構築することで、業務用ネットワークと公衆Wi-Fi提供用ネットワークを分離することが挙げられます。また、インターネット接続回線を共用する場合は、ファイアウォール等を設置してインターネット接続部でのネットワークの分離を行うことも重要です。

公衆Wi-Fi提供用機器の適切な設定・管理

公衆Wi-Fiを提供するためには、アクセスポイントやルーターといった機器を設置し、適切に設定管理することが必要です。

これらの機器の「機器管理用のパスワード」が未設定であったり簡単なものであったりすると、悪意のある第三者に機器を乗っ取られ、通信内容やアクセスログを盗み見られたり、乗っ取られた機器が別のサイバー攻撃に悪用され、他のネットワーク・端末にも被害が生じたりする危険性が高まります。「機器管理用のパスワード」は第三者に推測されにくい複雑なものを設定するようにしましょう。

また、これらの機器のファームウェアの管理も重要です。ファームウェアは脆弱性への対応等のために更新版が提供されることがあります。更新版の提供有無を定期的に確認し、常に脆弱性が修正された最新のファームウェアが機器内で稼働しているようにしましょう。

利用者情報の適切な確認

利用者情報の確認や認証の仕組みを導入していれば、事件や事故が発生したときに誰が公衆Wi-Fiを使用していたのか追跡することができ、不正利用防止につながります。

確認・認証の方式には代表的なものとして「メール認証」「SNSアカウントを利用した認証」「SMS連携認証」があります。

①メール認証	メールアドレスを登録し、送付されるメールに記載されたURLにアクセスして認証を行う方式。
②SNSアカウントを利用した認証	SNSにログインすることで認証を行う方式。
③SMS認証	電話番号を登録し送付されるSMSに記載のコードにより認証を行う方式。

利用者の利便性を確保する観点では、①と②を利用者が選べるなど、多くの認証方式を利用可能であることが望まれます。

尚、レストランやカフェの店舗内など目視や監視カメラで利用者を特定しやすい環境では、利用者情報の確認・認証は必ずしも必要ではありません。

アクセスログの記録・保存

公衆Wi－Fiを提供するために設置するアクセスポイントやルーターといった機器はアクセスログを記録することができますが、アクセスログはどの端末がいつどこでアクセスしたのかがわかる点で高いプライバシー性を有するものです。このためアクセスログを記録する際は、機器にトラブルが発生したときの通信情報の把握等、目的に照らして必要最小限の範囲内での記録にとどめなければなりません。

また業務上の必要性から保存したアクセスログであっても利用者の同意なくマーケティング目的に使うことや、第三者に提供すること等のないよう、十分に注意して扱いましょう。