大型連休で失敗しない!無料Wi-Fiの不正手口と対策の紹介

IT・IT製品TOP > Key Conductors > 村上 正彦(スペクトラム・テクノロジー株式会社) > 大型連休で失敗しない!無料Wi-Fiの不正手口と対策の紹介
この記事をtweetする このエントリーをはてなブックマークに追加

IT現場の道先案内人 Key Conductors

大型連休で失敗しない!無料Wi-Fiの不正手口と対策の紹介

ネットワーク機器 2016/04/19

 これから大型連休を迎え、国内外に旅行する人が増えると思いますが、無料Wi-Fiの利用方法について、最新の情報窃取の不正手口とその対策を混じえて紹介します。

 現在、日本人の観光地での公衆無線LAN(無料Wi-Fi)の利用は約8割で、その3割がSNSやECサイトへ接続しています(図1参照)。

 結論的には、空港や観光地の無料Wi-Fiは必ずVPN接続で利用する、ホテルのセキュリティ設定されているWi-FiもVPNで接続することをお勧めします。

図1 観光地での公衆無線LANの利用実態

※会員登録いただくと図をご覧いただけます。
会員登録はこちら(無料)

図1 観光地での公衆無線LANの利用実態

1.無料Wi-Fiを使った不正手口

 無料Wi-Fiを使った不正手口には、大きく2つのパターンがあります。ハニーポット・アクセスポイント(注1)を使って積極的に情報を窃取するトラップ型と既存のアクセスポイントから情報を窃取するリスナー型の2つになります。気を付けていても誰もがだまされる状況です。

(注1)ハニーポットとは蜂蜜のツボを使っておびき寄せるように、無料のWi-Fiを使って人をおびき寄せて情報を窃取することです。

トラップ型情報窃取

 図2にトラップ型の手口を示します。主に空港、観光地などの人が多く集まる場所に仕掛けられます。その攻撃力は絶大で、ECサイトからSNSまでほとんどの情報窃取が可能です。

 SNSなどの接続時に再度IDとパスワードの入力を要求されるくらいで見分けがつきません。最近では、 インターネットバンキングのワンタイムパスワードも窃取されている例も報告されています。

図2 無料Wi-Fiにおける情報窃取の手口

※会員登録いただくと図をご覧いただけます。
会員登録はこちら(無料)

図2 無料Wi-Fiにおける情報窃取の手口

 ハニーポット・アクセスポイントを使った被害例を図3に示します。エフ・セキュア社が英国の国会議員の許可を得て行った、公衆無線LANでのハッキング実験の様子をまとめた動画を紹介します(ポリティカル・ハック(ショート版))。この動画では、FacebookのIDとパスワードが窃取されています。

図3 公衆無線LANのハッキング実験

※会員登録いただくと図をご覧いただけます。
会員登録はこちら(無料)

図3 公衆無線LANのハッキング実験

リスナー型情報窃取

 図4にリスナー型の手口を示します。ホテルなどの比較的安全で、セキュリティのかかったアクセスポイントで起こります。ECサイトなどの限られたサイトの個人情報が窃取されます。

 対策の取られているホテルも一部あります。部屋番号とパスワードを入力する場合は安全である可能性が高いのですが、その他はまったく分かりません。そのため非常に発見が難しいのです。

図4 リスナー型情報窃取

※会員登録いただくと図をご覧いただけます。
会員登録はこちら(無料)

図4 リスナー型情報窃取

2. 無料Wi-Fiで情報窃取されないための対策

 表1に無料Wi-Fiで情報窃取されないための対策を示します。

(1)通信キャリアの公衆無線LANを利用

 まずは、通信キャリアの提供する公衆無線LANサービスを使って下さい。混雑する場合がある以外は、安全性、使い勝手など問題ありません。

(2)VPN接続

 無料Wi-Fiを使う場合は、VPNで接続して下さい。

表1 無料Wi-Fiのセキュリティ対策

※会員登録いただくと図をご覧いただけます。
会員登録はこちら(無料)

表1 無料Wi-Fiのセキュリティ対策

 図5にVPNの概要を示します。VPNソフトはいろいろ出ておりますが、今回はHotspot Shield(Anchor Free社)の設定画面を図6に示します。通信速度が低下するのが難点ですが、無料で個人情報のやりとりができるので、我慢して使いましょう。旅行に行く前に一度、設定、試験して下さい。

 無料Wi-FiをVPN接続しないで使うことは非常に危険です。個人情報を窃取されても文句は言えません。個人の責任になります。

図5 VPNの概要

※会員登録いただくと図をご覧いただけます。
会員登録はこちら(無料)

図5 VPNの概要

図6 VPN設定方法

※会員登録いただくと図をご覧いただけます。
会員登録はこちら(無料)

図6 VPN設定方法


3. BYOD時代に向けて、社員が無料Wi-Fiを使う場合の対策

社員に対する教育

 これから企業においては、BYOD(Bring your own devices)の導入がますます増えてくると思います。スマートフォンは使い勝手もよく、1台で仕事とプライベートで使えると非常に便利です。

 セキュリティ面では、個人がBYOD端末を無料Wi-Fiを使う際にハニーポット・アクセスポイントに接続する可能性があります。上記で示したように個人情報が窃取される可能性があります。

 また、標的型メールなどを使いその個人情報を踏み台にして企業のネットワークに入ることが可能になります。その初期潜入を防ぐことが非常に重要となります。

図7 PCに侵入された例

※会員登録いただくと図をご覧いただけます。
会員登録はこちら(無料)

図7 PCに侵入された例

 社員への徹底的な教育とVPN接続をする癖をつけることが重要になります。参考までに、PCに潜入された場合の侵入例を図7に示します。PCのハードディスクの中身、Webカメラでの画像撮影、キーボード入力などが全て明らかになります。

無線LAN侵入試験の実施

 防止するには、現状を把握することが重要で、無線LAN侵入試験による定期的な検査を行って下さい。当社の「WiFi Pen Testサービス」を例に概要を図8に示します。

 無線LANは外部から直接アクセスされるため、これまでの有線系の対策は通用しません。企業においてもエンドポイントの対応の見直しが必須となります。

図8 無線LAN侵入試験

※会員登録いただくと図をご覧いただけます。
会員登録はこちら(無料)

図8 無線LAN侵入試験

4. 最後に

 2020年の東京オリンピック・パラリンピックに向けてWi-Fiは重要なインフラになってくると思います。上手に使い、セキュリティインシデントの発生しない素晴らしい大会になることを目指し、各企業、各個人が日頃からVPN接続による利用を心がけましょう。それでは、安全で素晴らしい休暇になることを祈念します。

会員限定で「読者からのコメント」が読み書きできます! 「読者からのコメント」は会員限定の機能。会員登録を行い、ログインすると読者からのコメントが読み書きできるようになります。

会員登録(無料)・ログイン

Myリストへ 印刷用ページへ

この記事をtweetする このエントリーをはてなブックマークに追加


この寄稿記事に掲載している情報は、掲載日時点での情報となります。内容は変更となる場合がございますのでご了承下さい。また、「Key Conductors」の寄稿記事及び当該記事に寄せられたコメントについては、執筆者及びコメント投稿者の責任のもと掲載されているものであり、当社が、内容の最新性、真実性、合法性、安全性、適切性、有用性等を保証するものではありません。


30008854


IT・IT製品TOP > Key Conductors > 村上 正彦(スペクトラム・テクノロジー株式会社) > 大型連休で失敗しない!無料Wi-Fiの不正手口と対策の紹介

このページの先頭へ

キーマンズネットとは
大手通信会社で、マイクロ通信、衛星通信の運用管理を8年間行い、その後、法人営業で主に製造、金融系のLAN/WAN、音声ソリューションの営業、構築を20年以上行いました。現在、無線LANの電波診断、セキュリティ診断を行う会社を起業し、中堅中小のお客様に無線の可視化により快適な無線環境の提供を目指している。

ページトップへ