公共Wi-Fiは危険？スマホのセキュリティ対策とVPNの選び方

2026年10月18日

スマホ保険ラボの編集長D部長です。

カフェや駅、ホテルの無料Wi-Fiにつなぐとき、「このWi-Fiでログインや買い物をしても大丈夫？」「VPNって入れたほうがいいの？」と手が止まる方は多いです。

先に答えを書くと、危ないのは公共Wi-Fiそのものより、「どこの誰が用意したWi-Fiか分からないまま、IDやカード番号を入力すること」です。総務省のマニュアルも、つなぐ前にネットワーク名を確かめることと、HTTPS通信かどうかを確かめることを基本の対策に挙げています。
そこに上乗せして、通信をまるごと暗号化したいときに使うのがVPNです。

この記事では「公共Wi-Fiで注意したい被害の手口」、「スマホで今日からできる設定」、「VPNで守れる範囲と守れない範囲」、「VPNサービスの選び方」までまとめました。

公共Wi-Fiで起きる被害は「盗み見」と「なりすまし」

総務省の「公衆Wi-Fi利用者向け簡易マニュアル」（2025年2月改定）は、対策をせずに使うと「通信内容が盗み見られる（傍受）」、「ID・パスワードを盗用されて使われる（なりすまし）」といった被害にあう危険性があると説明しています。

Wi-Fiは電波でやり取りするので、周りにいる第三者でも通信を受信できてしまいます。ケーブルでつなぐ回線と違って、物理的に割り込まなくても届いてしまう。ここが公共Wi-Fiの弱いところです。

公衆Wi-Fi利用者向け簡易マニュアル（総務省）

いつも使っているネットワーク名でも偽物のことがある

マニュアルがとくに注意を促しているのが「偽の公衆Wi-Fi」です。SSID（ネットワーク名）は誰でも自由に付けられるため、よく知っている（使ったことがある）SSIDであっても、偽の公衆Wi-Fiが設置されていることがあると書かれています。

マニュアルの被害シナリオでは、暗号化キーなしでつながるWi-Fiに接続し、SNSのログイン画面をまねた偽の入力画面でIDとパスワードを盗まれる流れが紹介されています。スマホは一度つないだネットワークに自動で再接続するので、名前と暗号化キーが同じ偽物にも、気づかないうちにつながってしまうことがあります。

パスワード付きのWi-Fiでも安心はできない

店内にパスワードが貼り出されているWi-Fiなら大丈夫、とは言い切れません。公衆Wi-Fiでは利用者全員が同じ暗号化キーを知っている状態なので、条件がそろえば通信を解読されたり、同じ名前とキーで偽のWi-Fiを置かれたりします。

そのため総務省は、WPA2パーソナル（WPA2-PSK）方式の公衆Wi-Fiは、暗号化されていない場合と同様に留意して利用する必要があるとしています。しかもWi-Fiの暗号化で守られるのは、スマホとWi-Fiルーターのあいだの無線区間だけ。ルーターから先は守られません。

スマ子

じゃあ、アドレス欄に鍵マークが出ているサイトなら安心ですか…？

編集長

鍵マークは、そのサイトとの通信が暗号化されている印です。公共Wi-Fiでは大事なチェックポイントになります。

ただ、フィッシング対策協議会は「フィッシングサイトでも簡単に証明書を取得できるため、鍵マークが表示されてしまうことがある」と注意しています。鍵マークは「通信が守られている」印で、「相手が本物」という証明ではありません。

URLを最後まで確かめるか、いつもの公式アプリやブックマークから開くのが確実です。

公共Wi-Fiにつなぐ前にスマホでやっておく設定

ここからは、スマホ側で先に済ませておける対策です。どれも数分で終わり、費用もかかりません。

よく使うWi-Fi以外は自動接続をオフにする

総務省のマニュアルは、スマホに自動接続の機能がある場合について「自宅や職場のWi-Fiなど日常的に利用するSSID以外は自動接続する設定を無効化しましょう」と呼びかけています。出先で一度つないだだけのWi-Fiが残っていると、同じ名前の偽物が近くにあったときに勝手につながってしまうからです。

iPhoneは「設定」→「Wi-Fi」→右上の「編集」で、これまでにつないだネットワークの一覧が出ます。対象の横にある詳細情報ボタンから「自動接続」をオフにするか、「このネットワーク設定を削除」で消せます。
Androidも、一度つないだネットワークは「保存済み」になり、近くに来ると自動で接続されます。設定画面の項目名は機種によって違うので、保存済みネットワークの一覧から使わないものを削除しておきます。

iCloudキーチェーンを同じApple Accountで使っている場合、1台で削除したネットワーク設定は、ほかのデバイスからも消えます。自宅のWi-Fiなど残したいものまで消さないよう気をつけてください。

iPhoneの手順は、Appleが画面の説明つきでまとめていますので、そちらをご確認ください。

iPhoneで自動接続をオフにする方法（Appleサポート）

プライベートWi-Fiアドレスはオンのままにしておく

iPhoneには「プライベートWi-Fiアドレス」、Android 10以降には「ランダムMACアドレス」という機能があります。ネットワークごとに別の識別番号を使うことで、どこのWi-Fiに出入りしたかを結び付けられにくくする仕組みです。

ただし、これは追跡されにくくするための機能で、通信の中身を暗号化するものではありません。オンにしておけば安心、というものではない点は押さえておきましょう。

パスワードやカード番号の入力はモバイル回線に切り替える

総務省は、アドレスが「http://」で始まるサイトや、ブラウザに「保護されていない通信」「安全ではありません」と出るサイトでは、パスワードや個人情報を入力するのは危険だとしています。

ネットバンキングのログインやカード決済は、Wi-Fiを切ってモバイル回線で済ませるのがいちばん手軽な対策です。IPA（情報処理推進機構）が2016年に公表した資料でも、外出先で重要な情報を入力する必要があるときは、携帯電話回線を使うなど通信の中身に応じて公衆無線LANを使うかどうか判断するよう勧めています。

D部長オススメのスマホ保険紹介

【元修理屋が厳選】スマホ保険おすすめランキング2025【AppleCare比較】スマホ保険徹底比較2025 - スマホ保険ラボスマホ保険ラボの編集長D部長です。私は過去に大手スマホ修理店の社員を7年間務め、何千台というバキバキに割れたiPhoneや、...

VPNで守れること・守れないこと

VPNは、スマホとVPN事業者のサーバーのあいだを、暗号化したトンネルでつなぐ仕組みです。公共Wi-Fiの無線区間だけでなく、Wi-Fiルーターから先のインターネット上の区間も、VPNサーバーまではまとめて暗号化されます。

同じIPAの資料も、VPN通信を使えば万が一偽のWi-Fiにつながってしまっても、通信の中身を盗み見られにくくなる点を挙げています。HTTPSに対応していないサイトを開いたときも、Wi-Fiの区間で中身を読まれる心配が減ります。

ただし万能ではありません。国のサイバーセキュリティポータルで公開されている「インターネットの安全・安心ハンドブック」は、VPNで暗号化されるのは出口のサーバーまでで、その先の目的のサイトまでは暗号化されない区間が残るとして、「VPNさえあればすべて安全というわけではない」と書いています。
なお、総務省のマニュアルによると、HTTPS通信のサイトならアクセス先のサーバーまで暗号化されるので、VPNの出口から先もHTTPSで守られます。

困りごと	VPNの効果
公共Wi-Fiでの通信の盗み見	防ぎやすい（スマホからVPNサーバーまで暗号化）
偽のWi-Fiにつながったときの盗聴	防ぎやすい
偽サイトにIDやパスワードを入力する	VPNの暗号化だけでは防げない
不正なアプリのインストール	VPNの暗号化だけでは防げない
スマホ本体の盗難・故障	防げない

偽サイトの場合、入力した情報は暗号化されたまま偽サイトに届いてしまいます。通り道をどれだけ固めても、届け先が偽物なら意味がない、ということです。
なお、VPNサービスによっては危険なサイトへのアクセスを警告する機能を別に用意しているものもあります。

同じハンドブックは、だれが運営しているのか分からないWi-Fiは、VPNを使えるとしても積極的には使わないよう勧めています。VPNを入れたから、どのWi-Fiにつないでもいい、とはならないわけです。

スマホ向けVPNサービスの選び方

VPNを使うと、スマホの通信はすべてVPN事業者のサーバーを通ります。Wi-Fiの運営者の代わりに、VPN事業者を信頼して通信を預ける形です。
だから選ぶときのいちばんの軸は「どこに預けるか」になります。

○選ぶときに確認したいポイント

通信の記録（ログ）を残さない方針で、第三者機関の検証を受けているか
運営会社と所在地が公開されているか
iPhone・Androidの公式アプリがあり、手持ちのスマホのOSに対応しているか
スマホ・タブレット・パソコンを何台まで同時に使えるか
VPNの接続が切れたときに通信を止める「キルスイッチ」があるか
返金保証の有無と条件
日本語のヘルプや問い合わせ窓口があるか

運営元が分からない無料VPNアプリは入れない

アプリストアには無料のVPNアプリも並んでいますが、運営会社や収益の仕組みがはっきりしないものもあります。

通信をまるごと預ける以上、提供元が確かめられないアプリは入れないのが無難です。インストール前に、提供元の会社名とプライバシーポリシーには目を通しておきましょう。

NordVPNを候補にするなら確認したいこと

上のポイントに当てはめて確認しやすいのがNordVPNです。2012年に設立され、パナマで運営されています。親会社のNord Securityはリトアニアに本社を置いています。

スマートフォンで公共Wi-Fiを使う機会が多い方は、個人情報や通信の安全を守る対策として、スマホ向けVPNサービスの活用も検討してみてください。

○NordVPNの主な仕様（2026年10月時点の公式サイト・ヘルプセンターの記載）

同時接続：1アカウントで最大10台まで
対応OS：iOS 17.0以降のiPhone、Android 9以降のスマホ
サーバー：225以上のロケーションに7,100台以上
ノーログ方針：公式サイトでは、PwC（2018年・2020年）とデロイト（2022年・2023年・2024年）による2018〜2024年の計5回の第三者検証が確認できる
キルスイッチ：iOS・Androidのアプリで利用可能
返金保証：新規購入から30日間
サポート：24時間のライブチャットとメール（電話窓口はなし）、日本語のヘルプセンターあり

返金保証の対象は初回の購入だけで、更新後の支払いは対象外です。App Storeや販売代理店を通して購入した場合は、それぞれの窓口への申請になります。料金はプランと契約期間で変わり、公式サイトでも随時更新されているため、申し込む前に最新の金額を確認してください。

スマ子

VPNを入れたら、公共Wi-Fiでネットバンキングをしても平気になりますか？

編集長

盗み見られるリスクは、かなり下げられます。

ただ、さっきの表のとおり、偽サイトに自分で入力してしまえば情報は渡ってしまいます。VPNは「通り道を守る」道具です。

URLの確認や、大事な手続きのときはモバイル回線に切り替える習慣と組み合わせて使ってください。

Wi-Fi以外にも見直したいスマホのセキュリティ対策

スマホを狙う手口は、Wi-Fiの盗み見だけではありません。フィッシング対策協議会に寄せられたフィッシングの報告は、2026年8月だけで82,338件ありました。

警察庁によると、2025年のネットバンキングの不正送金は4,747件・被害総額は約103億9,700万円で、その手口の約9割がフィッシングでした。2026年上半期は発生件数253件、被害総額は約20億7,000万円で、被害総額は前年同期より51％減りました。それでも警察庁は、AIで文章が自然になり、見抜きにくいフィッシングが増えていると注意を呼びかけています。

SMSやメールのリンクからログインしない

報告されているSMSの文面には、東京電力や水道局、Apple、クレジットカード会社、ECサイトをかたるものがあります。

フィッシング対策協議会がすすめているのは、ログインするときは「いつもの」公式アプリか、ブックマークした公式サイトから開く習慣です。この習慣がつけば、本物そっくりのメールやSMSが届いても、リンクを押さずに済みます。

手口の例と見分け方は、フィッシング対策協議会がまとめていますので、そちらをご確認ください。

フィッシングとは（フィッシング対策協議会）

パスワードの使い回しをやめて二要素認証を設定する

ID・パスワードを使い回していると、1つ盗まれただけで被害がほかのサービスにも広がります。総務省のマニュアルも使い回しを避け、生体認証などと組み合わせた「二要素認証」を設定できるサービスでは積極的に使うよう勧めています。

アプリは公式ストアから入れ、更新も設定画面から行う

フィッシング対策協議会は、アプリのアップデートやインストールはスマホの設定や公式アプリストアから行い、メールのリンクから直接ダウンロードしないよう注意しています。
Androidなら「Google Play プロテクト」が、有害な可能性のあるアプリを見つけて警告してくれます。初期状態でオンになっていて、Googleも常に有効にしておくことをすすめています。

iPhoneのアップデートのあとに動作がおかしくなったときの対処法は、こちらで解説しています。