Wi-Fiセキュリティの基本——ゲストネットワークの分離とWPA3、公衆Wi-Fiの危険性

社内のファイアウォールやウイルス対策には気を配っていても、オフィスのWi-Fiルーターの設定は導入時のまま手を付けていない、というケースは珍しくありません。Wi-Fiは社内ネットワークへの入口の一つであり、暗号化方式の選び方やネットワークの分け方次第で、リスクの大きさが変わります。あわせて、出張先やカフェで使う公衆Wi-Fiの危険性についても整理します。

暗号化方式の基本——WPA2からWPA3へ

Wi-Fiの暗号化方式には、古いものから順にWEP・WPA・WPA2・WPA3があります。WEPはすでに実用上ほぼ無意味なほど脆弱で論外ですが、多くのオフィスで今も使われているWPA2にも弱点があります。WPA2は「4ウェイハンドシェイク」と呼ばれる接続時のやり取りを傍受し、それをもとにパスフレーズをオフラインで総当たり攻撃される脆弱性（KRACKなど）が知られており、単純なパスフレーズを使っていると突破されるリスクがあります。

WPA3では、SAE（Simultaneous Authentication of Equals）という新しい認証方式が採用され、通信を傍受してもオフラインでの総当たり攻撃がしにくい設計に強化されています。現在販売されているルーター・アクセスポイントの多くはWPA3に対応しているため、古い機器を使い続けている場合は、買い替えのタイミングでWPA3対応機器への切り替えを検討する価値があります。

ゲストネットワークの分離

来客・取引先向けに貸し出すWi-Fiと、社内の業務PCやサーバーが接続するWi-Fiを、同じSSID・同じネットワークで運用している企業は少なくありません。この状態だと、来客の端末がマルウェアに感染していた場合、そこから社内の機器へ被害が広がる経路が生まれてしまいます。

対策はシンプルで、ゲスト用のSSIDを社内用とは別に用意し、VLANでネットワークを分断するで扱った要領で、論理的に別のセグメントとして扱うことです。多くのビジネス向けルーターには、ゲストSSID単体で社内ネットワークへのアクセスを遮断し、インターネット接続のみを許可する設定があらかじめ用意されています。

公衆Wi-Fiが危険な理由

出張先やカフェで使う公衆Wi-Fiには、オフィスのWi-Fiとは異なる種類のリスクがあります。

同じネットワーク上の通信を盗み見られるリスク：暗号化されていない、あるいは誰もが同じ共通パスワードでアクセスできるアクセスポイントでは、同じネットワークに接続している他の利用者の通信内容を、専用のツールで傍受（パケットスニッフィング）できてしまう場合があります。HTTPS化されていない通信や、暗号化に対応していないアプリの通信は、この方法で内容を読み取られる可能性があります。

なりすましアクセスポイント（Evil Twin）：正規の店舗名によく似た名前のアクセスポイントを、攻撃者があらかじめ用意しておく手口です。利用者が本物と気づかずに接続すると、その通信はすべて攻撃者を経由することになり、盗聴や、偽サイトへの誘導による改ざんが可能になります。

WPA3の「Enhanced Open」による改善：WPA3の拡張仕様であるOWE（Opportunistic Wireless Encryption、通称Enhanced Open）を使うと、パスワードなしで接続する公衆Wi-Fiでも、利用者ごとに個別の暗号化がかかるようになります。ただし対応しているアクセスポイントはまだ限られており、「公衆Wi-Fiだから安全」と判断できる状況にはなっていません。

実務での対策：業務上重要な操作（社内システムへのログイン、機密情報を含むメールの送受信など）を公衆Wi-Fi経由で行う場合は、VPNの種類を理解するで扱った経路を使い、通信を暗号化した上で行うのが基本です。あわせて、端末側で「自動的にWi-Fiに接続する」設定をオフにしておくと、意図しないアクセスポイントへの接続を防げます。

中小企業が最初にやるべきこと

Wi-Fi周りの対策として優先度が高いのは、次の3点です。

ゲスト用SSIDと社内用SSIDを分離し、ゲスト側から社内ネットワークへの通信を遮断する
社内で使うSSIDの暗号化方式をWPA3（対応機器がない場合は最低でもWPA2以上）に統一する
ルーター・アクセスポイントのファームウェアを定期的に更新する

いずれも専門知識がなくても着手できる設定変更が中心です。導入を依頼する外部業者を選ぶ際にも、これらの対応状況を確認材料にできます。

まとめ

Wi-Fiのセキュリティは、暗号化方式（WPA2からWPA3へ）とネットワークの分離（ゲストと社内を分ける）という2つの基本を押さえるだけで、リスクを大きく下げられます。あわせて、出先で使う公衆Wi-Fiには、盗聴やなりすましアクセスポイントといった固有のリスクがあることを踏まえ、重要な操作はVPN経由で行うという習慣を持つことが実務的な対策になります。