公共Wi-Fiの偽ログイン画面に注意｜Microsoftが警告した手口と対策

ホテルや空港の公共Wi-Fiにつないだ瞬間、ログイン画面が勝手に開く——旅先ではおなじみの光景です。ところが、その接続画面そのものが偽物にすり替えられていたとしたら、どうでしょうか。

Microsoftは2026年7月31日、ホテルや会議場などのWi-Fi設備を悪用する攻撃「CaptiveCrunch」を公表しました。日本では2026年8月4日にPC Watchが報じています。

やっかいなのは、定番だった「怪しい名前のWi-Fiにはつながない」という心がけだけでは防ぎにくい点です。正しいWi-Fiにつないだのに危ない、というのが今回の新しさになります。

この記事では、何が起きたのか、従来の偽Wi-Fiと何が違うのか、今日からできることまでを整理します。

公共Wi-Fiで何が起きた？Microsoftが警告した「CaptiveCrunch」とは

CaptiveCrunchとは、ホテルなどのWi-Fi設備を乗っ取り、接続時に開く画面を偽サイトへ差し替えて利用者をだます攻撃キャンペーンのことです。Microsoftのセキュリティブログが2026年7月31日に公表しました。

ここで言う接続画面は、キャプティブポータル（＝公共Wi-Fiにつないだときに自動で開く、規約への同意や部屋番号の入力を求めるあの画面）と呼ばれます。ふだん何も考えずに「同意する」を押している画面です。

Microsoftによれば、この画面を悪用した活動は2026年5月初旬から確認されています。狙われているのは宿泊・共用施設のネットワークで、出張中のビジネス利用者のアカウントが目的だと説明されています。

攻撃者についてMicrosoftは「Storm-2945」と呼び、「Midnight Blizzard」の下位グループだと記しています。ここでは利用者としての備えに絞って進めます。

よくある疑問：日本のホテルでも被害が出ているの？

公表資料は対象を「複数の国」と記すのみで、具体的な国名は挙げていません。2026年8月時点で、日本国内の施設が名指しされた発表は確認できていません。ただし旅行者を広く狙う性質上、無関係と考えるのも早計です。

従来の「偽Wi-Fi」と今回の攻撃は何が違うのか

これまでよく紹介されてきたのは、攻撃者が本物そっくりの名前でアクセスポイントを立てる手口でした。紛らわしい名前を用意し、つないだ人の通信をのぞき見たり偽サイトへ誘導したりする方式です。

この場合の対策は分かりやすいものでした。フロントで案内された名前と一致するか確認し、自動接続を切っておけば多くは避けられたからです。

今回のものは一段進んだ形です。施設の正規のWi-Fi設備そのものが侵害され、通信が攻撃者の用意した経路を通るように書き換えられます。名前は本物、機器も本物、そのうえで中身だけがすり替わっている状態です。

具体的には、DNS（＝サイト名を実際の住所に変換する仕組み）やWeb通信が書き換えられます。そしてPCが自動で行う「インターネットにつながっているか」の確認に細工した応答を返し、偽サイトへ強制的に飛ばします。

比べる点	従来の偽Wi-Fi	今回のCaptiveCrunch
電波の出どころ	攻撃者が持ち込んだ機器	施設の正規の機器
Wi-Fiの名前	本物に似せた別名が多い	本物と同じ
接続前の見分け	名前の確認である程度防げる	接続前には見分けがつかない
主な狙い	のぞき見・偽サイト誘導	偽の更新画面からの実行とアカウント乗っ取り
効く対策	名前の確認、自動接続オフ	接続後に出る画面を信用しない

つまり、「フロントで聞いた名前と一致していれば安全」という従来の助言だけでは足りなくなりました。名前の確認は今も有効ですが、それは入口の話です。今回の攻撃はつないだ後に出てくる画面で仕掛けてきます。

従来から言われてきた危険も消えたわけではない

公共Wi-Fiが以前から注意されてきた理由は、大きく3つでした。同じ電波を共有する相手に通信の中身をのぞき見られること、偽サイトへ誘導されること、そして不正なプログラムをつかまされることです。

見落とされがちなのが、接続画面そのものが入力フォームになっている点です。部屋番号や氏名、メールアドレス、有料プランなら支払い情報まで求める画面もあります。その画面が偽物なら、打ち込んだ内容はそのまま攻撃者の手に渡ります。

接続画面で必要以上の情報を入力しないこと、アドレス欄の鍵マークとサイト名を確かめること、公共Wi-Fiでは買い物の決済や大事なログインを避けること。この基本は今も有効です。ただし、これらだけでは今回の偽の更新画面は防げません。

手口①ブラウザやWindowsの更新を装う偽画面と「ClickFix」

偽サイトへ飛ばされた利用者に表示されるのは、ブラウザの更新、Windows Update、DirectXの導入などを装った画面だとMicrosoftは説明しています。見た目は本物の更新案内に寄せてあり、慌てていると気づきにくい作りです。

覚えておきたい判断基準はひとつだけです。

Wi-Fiの接続画面から更新やインストールを促されたら、それは偽物です。正規の更新がWi-Fiのログイン画面から案内されることはありません。

さらに「ClickFix」と呼ばれる手口も使われます。これは画面の指示に従わせて、利用者自身にコマンド入力画面を開かせ、貼り付けた命令を実行させる方式です。「ドライバーの修復ツール」など、もっともらしい文面が使われると報じられています。

つまり防御ソフトをすり抜けるというより、利用者の手を借りて動く設計です。報道でも、感染には利用者自身のダウンロードや実行の操作が必要とされています。

よくある疑問：実行してしまうと、何を盗まれるの？

Microsoftは使われるプログラムとして、遠隔操作型の「CornFlake」と情報窃取型の「ChocoShell」を挙げています。扱われる情報は次のとおりです。

• キー入力と画面：打ち込んだ文字の記録、画面の撮影
• カメラとマイク：映像や音声の取得
• ブラウザの中身：ログイン状態を保つCookie、保存したパスワード
• 仕事用アカウント：Microsoft 365のサインインに使われる認証情報
• Wi-Fiの認証情報：接続に使う資格情報

特に重いのがブラウザに保存したパスワードとログイン状態です。ここを取られると、パスワードを知られなくてもログイン済みの状態ごと持ち出されるおそれがあります。出どころの分からない案内は触らないという点では、モニターに突然セキュリティソフトの広告が出る問題と考え方は同じです。

手口②「デバイスコード認証」の悪用で二段階認証もすり抜ける

「二段階認証をかけているから乗っ取られない」と考えている方は多いはずです。ところがMicrosoftは、2026年7月16日以降、その前提を崩す手口が加わったと報告しています。

使われるのはデバイスコード認証（＝画面に出たコードを別の端末で入力してサインインする方式）です。この仕組み自体は攻撃用の道具ではなく、Microsoftが提供している本物の機能です。

流れはこうです。偽の誘導ページが、利用者を本物のMicrosoftのサインイン画面へ案内します。そこで入力を求められるコードだけが攻撃者の用意したものです。利用者は正しい画面で、正しくパスワードと二段階認証を通します。

結果として、本人が二段階認証まで済ませたログイン権限が、そのまま攻撃者の手元に渡ります。画面もURLも本物なので、見た目で見破るのは困難です。

だから判断は「画面が本物かどうか」ではなく「その操作を自分から始めたかどうか」で行ってください。自分がログインしようとしていないのに現れたコード入力の要求には応じない。これだけで、この手口はほぼ空振りになります。

会社支給のPCなら、この方式を管理者側で制限できる場合があります。アカウントを守る考え方は、AIチャットに個人情報を入力して大丈夫かを整理した記事も参考になります。

今日からできる自衛策｜公共Wi-Fiとの付き合い方

Microsoftが公表した推奨事項を、個人の利用者が実行できる形へ落としたものが以下です。順番に確認すれば今日から実践できます。

従来から言われてきた基本も引き続き有効です。

やること	ねらい	今回の攻撃に効くか
案内された名前か確認する	偽アクセスポイントを避ける	入口対策として有効（単独では不十分）
自動接続をオフにする	意図しない接続を防ぐ	有効
鍵マークとサイト名を確認	のぞき見・偽サイト対策	有効（偽の更新画面は防げない）
決済や重要ログインをしない	資格情報の露出を減らす	有効
テザリングを使う	信頼できない設備を通さない	もっとも確実
接続画面からの更新を実行しない	不正プログラムの起動を防ぐ	今回の要

VPNにも触れておきます。通信を暗号化してのぞき見を防ぐ効果はありますが、偽の更新画面を自分でクリックして実行してしまう手口は防げません。万能の盾ではなく、対策のひとつと考えてください。

もし操作してしまったと感じたら、まずネットワークから切断します。そのうえで別の安全な回線からパスワードを変更し、主要サービスのサインイン履歴に見覚えのない記録がないか確認してください。会社のPCなら自己判断で消さず、担当部署への連絡が先です。

まとめ｜正規のWi-Fiでも「接続後の画面」は信じない

今回のCaptiveCrunchが示したのは、Wi-Fiの名前が正しくても安心はできないという現実でした。攻撃の入口が、つなぐ前からつないだ後へ移ったと考えると分かりやすいはずです。

• 接続画面から促される更新は実行しない。更新はOSの正規の画面から自分で確認する
• コマンド入力画面を開かせる指示は攻撃だと判断する。正規の接続で求められることはない
• 自分から始めていない認証やコード入力には応じない。画面が本物でも、コードが他人由来なら危険

逆に言えば、こちらが余計な操作をしなければ成立しない攻撃でもあります。過度に怖がる必要はありません。旅先でノートPCを開くときだけ、この3点を思い出してください。

この記事はMicrosoftのセキュリティブログ（2026年7月31日公表）とPC Watchの報道（2026年8月4日）に基づく、2026年8月4日確認時点の情報です。状況は変わる可能性があるため、最新は公式の発表で確認してください。

スマホやタブレットでも同じ被害に遭いますか？

接続画面が差し替えられる仕組みは、つないだ端末の種類を問いません。報道ではAndroid向けのアプリファイルへ誘導される例も伝えられています。表示された画面から案内されるアプリの導入は、スマホでも行わないでください。

カフェや新幹線のWi-Fiも危ないのですか？

Microsoftが名指ししているのは、ホテル・会議場・空港など宿泊や共用施設のネットワークです。ただし接続画面が出るWi-Fi全般に共通する注意点なので、どこでも「接続後の更新案内には従わない」を守っておくと安全です。

VPNを使えば完全に防げますか？

防げません。VPNはのぞき見対策として役立ちますが、偽の更新画面に自分で従ってしまう手口や、コード入力を求める手口には効きません。VPNの有無にかかわらず、接続後に現れる指示に従わないことが基本です。

日本のホテルでも被害は出ていますか？

Microsoftの公表資料は「複数の国」と記すのみで、具体的な国名は挙げていません。2026年8月時点で日本が名指しされた発表は確認できていません。

Wi-Fiにつないだだけで感染しますか？

報道では、感染には利用者自身がファイルをダウンロードしたり実行したりする操作が必要とされています。つないだ瞬間に自動で感染する形ではありません。だからこそ、表示された画面の指示に従わないことが最大の防御になります。

関連記事