ホテルや空港、駅、カフェなどで利用できる公衆Wi-Fi。

いまでは珍しいものではありません。

スマートフォンやパソコンを開けばWi-Fiが見つかり、パスワードを入力するだけでインターネットへ接続できます。

一方、公衆Wi-Fiの危険性については以前から繰り返し注意喚起されてきました。

「通信内容を盗み見られる可能性がある」

「偽のWi-Fiアクセスポイントへ接続してしまう可能性がある」

そのため、HTTPSを利用する、重要な通信を避ける、VPNを利用して通信を暗号化するといった対策を聞いたことがある人も多いでことでしょう。

これらは現在でも大切な対策です。

しかし、今回取り上げるサイバー攻撃は、少し違います。

攻撃者が通信を横から盗み見るだけではありません。

私たちがインターネットへ接続するために信頼しているネットワーク機器そのものを侵害し、通信の行き先を操作する。

そんな攻撃が実際に確認されています。

そして、この問題を追っていくと、ロシア軍情報機関に関連するAPTによるサイバー攻撃、日本で2019年から行われている「NOTICE」、そして2026年4月に米国が実施した「Operation Masquerade」へと話がつながっていきます。

今回、ネット探検ラボでは、難解な技術論そのものを追うことを目的とはしません。

私たちが普段利用しているネットワークで…

• 何が起きているのか。
• 私たちは自分でどこまで守れるのか。
• そして国や公的機関は何をしているのか。

…これらを順番に見ていきたいと思います。

第1部 ネットワークそのものを利用したサイバー攻撃

ロシア軍情報機関に関連するAPT28

2026年4月7日、米国FBIは各国のサイバーセキュリティ機関と共同で、ロシア軍参謀本部情報総局（GRU）のサイバー活動について警告しました。

活動主体とされたのはGRU第85主要特殊サービスセンター（85th GTsSS）に属するサイバー攻撃者です。

一般には…

• APT28
• Fancy Bear
• Forest Blizzard

…など複数の名称で知られています。

FBIによれば、この攻撃者は少なくとも2024年以降、世界各地に存在する脆弱なSOHOルーターを狙っていました。

SOHOとは「Small Office / Home Office」の略で、家庭や小規模事業所などで利用される比較的小型のネットワーク機器を指します。

TP-Link製ルーターの既知の脆弱性「CVE-2023-50224」が悪用された事例も確認されています。

米司法省によれば、攻撃者は既知の脆弱性などを悪用して、世界で数千台規模のTP-Linkルーターに関する認証情報を窃取していました。

ただし、ここで重要なのは、

ルーターを乗っ取ることそのものが最終目的ではなかった

という点です。

ルーターは、その先にいる人間や組織へ近づくための「足場」として利用されていました。

DNSとは何か？

ここで今回の攻撃を理解するため、DNSについて最低限知っておきましょう。

私たちはWebサイトを見るとき、…

example.com

のような文字列を使います。

しかしコンピューター同士が実際に通信するときには、IPアドレスと呼ばれる数字の住所が必要になります。

そこで…

「example.comは、インターネット上のどこにありますか？」

…という問い合わせに答えてくれる仕組みがDNSです。

一般の人向けに簡単に表現するなら、

DNSはインターネットの住所案内

と考えると分かりやすいでしょう。

通常なら…

利用者

↓

正規のDNS

↓

正しい接続先

…となります。

ところが、この「住所案内」を攻撃者が支配したらどうなるでしょう。

DNSハイジャック

今回確認された攻撃では、攻撃者は侵害したルーターの設定を変更し、DNS問い合わせをGRU（ロシア軍情報総局）側が管理する悪意あるDNSリゾルバへ転送していました。

これは“DNSハイジャック（DNS Hijacking）”と呼ばれる攻撃です。米司法省も今回の活動を明確に「DNS hijacking operations」と表現しています。

非常に単純化すると…

正常な状態

利用者
↓
正常なネットワーク機器（ルーター／Wi-Fiゲートウェイなど）
↓
正規DNS
↓
正しい接続先

…だったものが、

侵害された状態

利用者
↓
侵害されたネットワーク機器（ルーター／Wi-Fiゲートウェイなど）
↓
攻撃者側DNS
↓
攻撃者が意図した通信先

…へ変わります。

ここで怖いのは、利用者自身のパソコンやスマートフォンが必ずしも侵害されている必要がないことです。

利用者から見れば…

• 「Wi-Fiにつながった」
• 「インターネットも使える」
• 「パソコンにも特に異常はない」

…という、いつもと変わらない状態に見えます。

しかし、その通信をどこへ向かわせるかを決める「案内役」は、すでに攻撃者側に乗っ取られているのです。

狙われたのは通信そのものだけではない

FBIによれば、この活動では、侵害されたルーターに接続するスマートフォンやパソコンからの通信を、攻撃者側のインフラへ誘導することが可能になっていました。

標的には、軍、政府、重要インフラなど、ロシア政府にとって情報価値があると考えられる対象が含まれていました。

攻撃を大きな流れとして見ると…

① 脆弱なネットワーク機器を探す

↓

② ネットワーク機器を侵害する

↓

③ DNS設定を変更する

↓

④ 利用者のDNS問い合わせを攻撃者側へ誘導する

↓

⑤ 利用者の通信経路へ介入する

↓

⑥ 認証情報など価値のある情報を狙う

…という流れになります。

攻撃者が狙っているのは「ルーター」という箱ではありません。

その箱を通って通信する人間です。

ここを理解することが重要だと思います。

対策としてVPNを使えば安全なのか？

ここで多くの人が思い浮かべるのがVPNでしょう。

公衆Wi-Fiを利用するときには、

「VPN（接続）を使えば安全」

という説明を目にすることがあります。

ここで、まず誤解のないようにしておきたいと思います。

VPNは非常に有効なセキュリティ対策です。

今回もFBIは、機密情報へリモートアクセスする組織に対して、VPNなどを利用したアクセス方法を含めて対策を見直すよう呼びかけています。

しかし…

VPNを起動した＝すべてのサイバー攻撃から安全

という意味ではありません。

ここを少しだけ理解しておきましょう。

VPNは何をしているのか

VPNを利用すると、一般的には端末とVPNサーバーとの間に暗号化された通信経路が作られます。

イメージとしては…

パソコン・スマートフォン

↓

暗号化されたVPNトンネル

↓

VPNサーバー

↓

インターネット

…です。

ホテルのWi-Fiなどを利用していたとしても、そのネットワークから見える通信の多くはVPNとの暗号化通信になります。

そこで今回のDNSハイジャックを考える場合、一つ重要なポイントがあります。

「DNS問い合わせも、そのVPNトンネルの中を通っているのか？」

…です。

DNS問い合わせまでVPNの中へ送り、VPN事業者側のDNSで名前解決する構成なら、

端末

↓

VPNトンネル

↓

VPN事業者側DNS

…となります。

ホテルなどのローカルネットワークから指定されたDNSを利用しないため、今回のようなネットワーク側から仕掛けられるDNSハイジャックに対して有力な防御になります。

しかしVPNの実装や設定、利用環境はすべて同じではありません。

DNS問い合わせがVPNの外へ漏れる「DNSリーク」が発生していれば、この前提は崩れます。

また、VPN接続が確立する前や、VPNが突然切断された瞬間の通信をどう処理するかも重要になります。

そこで、次は実際に日本から利用できる代表的なVPNサービスを見てみます。

CyberGhost

NordVPN

Proton VPN

この3つについて、速度や料金の比較ではなく、

今回のDNSハイジャックという攻撃に対して、どのような防御機能を持っているのか

という一点から見ていきます。

無料VPNについても同じ視点から確認しておきたいと思います。

---

CyberGhost VPN

CyberGhostでは、VPN接続時のDNS問い合わせをVPNトンネル内へ送り、CyberGhost側のDNSを利用する仕組みが用意されています。

また、VPN接続が切断された場合に通信を遮断するKill Switchや、DNSリークを防ぐための機能も提供されています。

そのため、正常にVPNへ接続しDNS通信もVPNトンネル内を通っている状態なら、ホテルなどのネットワーク側から指定された不正なDNSを利用してしまう危険を大きく減らすことができます。

CyberGhost VPN公式サイト

NordVPN

NordVPNも、VPN接続時にはNordVPN側のDNSサーバーを利用する仕組みを採用しています。

DNSリーク対策やKill Switchも備えているため、VPNが正常に動作している状態では、接続しているWi-Fi側のDNS設定から通信を切り離すことができます。

したがって、今回のようなDNSハイジャックに対して有効な防御が期待できます。

NordVPN公式サイト

Proton VPN

Proton VPNも、DNS問い合わせをVPNトンネル内へ送り、Proton側で名前解決する仕組みを採用しています。

DNSリーク防止機能とKill Switchも提供されているため、今回のDNSハイジャックに対して同様に有効な防御が期待できます。

そしてProton VPNには、もう一つ興味深い特徴があります。

無料プランが存在します。

無料プランでもDNSリーク防止やKill Switchなど、今回の攻撃を考えるうえで重要な基本機能を利用できます。

Proton VPN公式サイト

では、無料VPNでもいいのか？

ここで注意したいのが、「有料VPNなら安全、無料VPNなら危険」と単純に分けることです。

Proton VPNのように、無料プランでも一定のセキュリティ機能を提供しているサービスがあります。

一方、「無料VPN」という名前だけで選ぶこともおすすめできません。

VPNを利用すると、その事業者には利用者の通信経路を任せることになります。

そのため無料・有料にかかわらず、…

誰が運営しているのか、DNSリーク対策があるのか、Kill Switchがあるのか、どのようなプライバシーポリシーなのかといった点を確認することが重要です。

今回比較した3サービスについては、いずれもVPN接続中にDNSをVPN側で処理する仕組みを備えています。

したがって、今回取り上げているDNSハイジャックに対しては、正しくVPN接続が確立している状態であれば、有力な防御手段になると考えてよいでしょう。

「VPNを起動したから安心」ではない

ここで誤解してほしくないことがあります。

ネット探検ラボは、「VPNで安心はできない」と言っているわけではありません。

むしろ逆です。

今回のような攻撃に対しても、適切に機能するVPNは有効な防御手段になります。

しかし重要なのは…

VPNを起動しているから、あとは何も考えなくていい

…とはならないことです。

VPNが接続される前の通信、VPNが何らかの理由で切断された場合、DNSがVPN外へ漏れてしまう設定など、利用環境によって防御状態は変わります。

だからこそ…

「VPNを使っているか」だけではなく、「VPNが何を守っているのか」を知って使う。

これが大切だと思います。

第2部　日本も動いていた――NOTICE

ここまで読んでみて…

「それなら、危険なネットワーク機器そのものを探して対策した方がいいのではないか？」

…と思った人もいるかもしれません。

実は日本では、かなり以前からそれを問題として認識していました。

時計を少し戻します。

2019年。

総務省と国立研究開発法人情報通信研究機構（NICT）は、インターネット上に存在するIoT機器を対象とした、当時としてはかなり異例の取り組みを開始しました。

その名前が…

NOTICE/ノーティス

です。

正式名称は、National Operation Towards IoT Clean Environment といいます。

NOTICE公式サイト

NOTICEが注目された最大の理由は、単にインターネットを観測するだけではなかったことです。

NICTが実際にIoT機器へアクセスし、

容易に推測できるIDやパスワードを入力して、ログインできてしまう機器を探したのです。

つまり、

「このルーターは危なそうだ」

と外から眺めるだけではありません。

実際に認証を試みる。

国の研究機関がインターネット上にある一般利用者の機器へアクセスを試みるわけです。

当然…

「それって国がハッキングするのと何が違うの？」

…という議論が起きました。

そこで、少しだけ“NOTIC”について少し詳しく見て置きたいと思います。

なぜ日本は、そこまでしなければならなかったのか。

NOTICEが始まった背景には、今回のDNSハイジャックともつながる、インターネットに接続された機器そのものを狙うサイバー攻撃の拡大がありました。

次は、その2019年の日本へ戻ってみます。

なぜ日本はNOTICEを始めたのか

NOTICEが始まった2019年。

すでに世界では、家庭用ルーターやネットワークカメラなど、インターネットにつながったIoT機器を狙う攻撃が大きな問題になっていました。

象徴的なのが、2016年に世界的な被害を引き起こし“Mirai（ミライ）”です。

Miraiは、インターネット上からIoT機器を探し出し、初期設定のままになっているIDやパスワードなどを利用して侵入。

大量のIoT機器をマルウェアへ感染させ、攻撃者が遠隔操作できる巨大なボットネットを作っていました。

そして、その大量の機器から一斉に通信を送りつけるDDoS攻撃などに利用されりしていました。

ここで問題になったのが、

パソコンだけを守っていても、ネットワーク全体を守れないという現実です。

• ルーター。
• ネットワークカメラ。
• 各種IoT機器。

こうした機器もインターネットへ接続されている以上、攻撃者から見れば立派な攻撃対象になります。

しかも利用者は、パソコンやスマートフォンほど頻繁に設定を確認しません。

購入して設置したあと、何年間もそのまま・・・そんな機器も珍しくありませんでした。

「危険です」と呼びかけるだけでは見つけられない

ここで日本政府が直面した問題があります。

セキュリティ対策を呼びかけても、実際にどの機器が危険なのか分からない。

そして利用者自身も、自分の機器が危険な状態にあることを知らない。

そこでNOTICEでは、従来より一歩踏み込んだ方法が採られました。

NICTがインターネット上のIoT機器を調査し、容易に推測できるIDやパスワードを使って、実際に認証できてしまう機器を探したのです。

対象となったのは、ルーターだけではありません。

Webカメラなどを含む、インターネットからアクセス可能なさまざまなIoT機器です。

脆弱な機器が確認されると、その情報をインターネットサービスプロバイダー（ISP）へ通知します。

そしてISPが利用者を特定し、「あなたが利用している機器にはセキュリティ上の問題があります」と注意喚起して、パスワード変更などの対策を促す仕組みです。

大きく整理すると…

NICT

↓
脆弱なIoT機器を発見

ISP

↓
契約者を特定

利用者

↓
パスワード変更などの対策

…という役割分担でした。

NOTICEは、NICTが利用者の機器を勝手に修復する仕組みではありません。

危険な機器を見つけ、その所有者へ対策を促す仕組みだったのです。

しかし――国がパスワードを入力してよいのか？

NOTICEが発表されたとき、この方法は大きな議論を呼びました。

理由は分かりやすいと思います。

通常、他人が管理しているコンピューターやネットワーク機器へ勝手にログインを試みれば、不正アクセス禁止法との関係が問題になります。

ところがNOTICEでは、

国の研究機関であるNICTが、一般の利用者が所有する機器へ実際にIDとパスワードを入力する。

一見すれば、

「攻撃者がやっていることと同じではないか」

と思う人が出てきても不思議ではありません。

しかしNOTICEは、NICTが勝手な判断で始めた活動ではありません。

この調査を可能にするため、国は法的な仕組みを整備しました。

2018年にNICT法が改正され、NICTが一定の条件のもとで、インターネット上のIoT機器に対してID・パスワードを入力して調査することを可能にしました。

NOTICEではこれを、「特定アクセス行為」と呼んでいます。

ここは非常に重要です。

サイバー攻撃者とNOTICEでは、外から見れば一部に似た技術的行為があります。

しかし…

• 目的
• 権限
• 法的根拠
• 取得した情報の扱い

…がまったく違います。

NOTICEは機器内部の個人情報を覗き見るためのものでも、設定を勝手に変更するためのものでもありません。

「容易に侵入されてしまう状態なのか」を確認し、利用者へ知らせる。

そこに目的が限定されています。

NOTICEは2019年で終わったのか？

ここで、今回の記事を作る過程で改めて確認できたことがあります。

NOTICEは、2019年に実施して終わった取り組みではありません。

当初は期限を設けた制度として始まりましたが、その後も取り組みは継続されました。

そして2024年4月からは内容が拡張されています。

従来の、容易に推測できるID・パスワードで侵入されるIoT機器だけではなく、ファームウェアに深刻な脆弱性を持つIoT機器などについても調査・注意喚起の対象が広げられました。

つまり日本は…

見つける

↓

知らせる

↓

対策を促す

という活動を継続しながら、観測対象そのものも拡大してきたわけです。

これは正当に評価すべきだと考えます。

それでも残る問題

一方で、NOTICEには明確な限界もあります。

NOTICEが危険な機器を発見しても、最終的に機器を修正するのは原則として所有者です。

• 通知を受け取って
• パスワードを変更する
• ファームウェアを更新する
• 場合によっては古い機器を交換する

利用者自身が行動しなければ、危険な状態が残る可能性があります。

そして、すでに攻撃者によって侵害され、設定を書き換えられてしまった機器ならどうでしょう。

「危険ですよ」と知らせるだけで十分なのか。

ここで、2026年4月に米国が実施した作戦が非常に興味深い意味を持ってきます。

米国司法省とFBIは、

発見して知らせるだけではなく、すでに侵害されたネットワーク機器に対して実際に無害化措置を行いました。

その作戦の名前が、

Operation Masquerade / オペレーションマスカレード

…です。

日本のNOTICEが、「危険な機器を見つけ、所有者へ知らせる」取り組みだとすれば、

米国のOperation Masqueradeは、「すでに攻撃者に利用されている機器へ介入し、攻撃者による支配を取り除く」ところまで踏み込みました。

次は、この作戦でFBIが実際に何をしたのか。

そして、なぜそんなことが可能だったのか。

その技術と仕組みを見ていきたいと思います。

第3部　Operation Masquerade――「知らせる」から「無害化する」へ

2026年4月7日。

米司法省とFBIは、GRU（ロシア軍情報総局）が利用していたDNSハイジャックのネットワークに対し、技術的な無害化措置を実施したことを発表しました。

作戦名は…

Operation Masquerade
（オペレーション・マスカレード）

…です。

ここまで読んできた人なら、この作戦が何を狙ったものなのか理解しやすいと思います。

GRUに関連するAPT28は、世界各地のネットワーク機器を侵害。

DNS設定を変更し、利用者の通信をGRU側が管理するDNSへ誘導していました。

そこでFBIは…

「危険なルーターがあります。対策してください」

と警告するだけではなく…

『すでに侵害されていた米国内のルーターに対して、実際に技術的な処置を行う』ところまで踏み込みました。

米司法省は、これを明確に…

「court-authorized technical operation」
コート・オーソライズド・テクニカル・オペレーション

…つまり、裁判所の許可を得た技術作戦と説明しています。

FBIは何をしたのか

Operation MasqueradeでFBIが行った処置は、かなり具体的に公表されています。

FBIは、侵害されたルーターへ送信するための一連のコマンドを開発しています。

その目的は大きく分けて、

• ① GRUの活動に関する証拠を収集する
• ② 改ざんされたDNS設定を元に戻す
• ③ 正規のISPが提供するDNSを再び利用させる
• ④ GRUが再び同じ方法で侵入することを防ぐ

…ことでした。

これを、先ほどまで使ってきた「住所案内」の例で考えてみましょう。

GRUによって…

利用者

↓

侵害されたルーター

↓

GRU側のDNS

↓

GRUが意図した通信先

となっていたものを、FBIは…

利用者

↓

修復されたルーター

↓

正規のDNS

↓

正しい通信先

…へ戻したわけです。

つまりFBIは、攻撃者のサーバーを停止させただけではありません。

攻撃者によって書き換えられていた民間のネットワーク機器そのものへ処置を行った。

ここがOperation Masqueradeの非常に重要なところです。

所有者が知らないところでルーターを操作する

ここで疑問を感じる人もいるでしょう。

「FBIが一般の人が所有するルーターを遠隔操作していいの？」

当然の疑問です。

Operation Masqueradeでは、この点について裁判所による司法審査を経て、許可を得たうえで作戦が実施されています。

しかもFBIは、対象ルーターへ好き勝手に変更を加えたわけではありません。

処置の目的を…

• 証拠収集
• 不正DNS設定の除去
• 正規DNSへの復帰
• 攻撃者による再侵入の防止

…などに限定しています。

さらにFBIはISPとも連携し、作戦の対象となったルーターの利用者へ通知する取り組みも進めました。

この点は、先ほど紹介した日本のNOTICEとの違いを考えるうえでも重要だと思います。

NOTICEとOperation Masqueradeは何が違うのか

非常に単純化すると、日本のNOTICEは、

探す

↓

危険な機器を見つける

↓

ISPへ知らせる

↓

利用者へ知らせる

↓

利用者自身が対策する

という仕組みです。

一方、Operation Masqueradeでは、

侵害された機器を特定する

↓

裁判所の許可を得る

↓

FBIが技術的にアクセスする

↓

証拠を収集する

↓

不正なDNS設定を取り除く

↓

攻撃者による再侵入を防ぐ

というところまで進みました。

もちろん両者は、実施された時代も、法律も、目的も、対象となった脅威も違います。

したがって、

NOTICEよりOperation Masqueradeの方が優れている

という単純な比較をすることはできません。

しかし、防御側の対応という視点から見ると、

「発見して知らせる」

ところから、

「すでに侵害された機器を実際に無害化する」

ところまで踏み込んだ事例として、Operation Masqueradeは非常に興味深い作戦です。

しかし、失敗すれば他人のルーターを壊してしまう

そして、ここからがOperation Masqueradeを支えた技術の話です。

FBIが対象としていたのは、政府所有の専用設備だけではありません。

一般家庭や企業などで実際に使用されているルーターです。

もしFBIが送信したコマンドに問題があれば、

• インターネットにつながらなくなる。
• ルーターが正常に動作しなくなる。

場合によっては、所有者自身が復旧作業をしなければならなくなる可能性も考えられます。

つまり…

攻撃者を追い出すことには成功したが、利用者のルーターまで壊してしまった

…では困るわけです。

そこで重要な役割を果たした組織があります。

MIT Lincoln Laboratory
（MITリンカーン研究所）

…です。

米司法省によれば、MIT Lincoln LaboratoryはOperation Masqueradeで使用する技術について、テストと検証（testing and validation）を支援しました。

また…

Microsoft Threat Intelligence

Lumen TechnologiesのBlack Lotus Labs

…も技術面で貢献しています。

つまりOperation Masqueradeは、FBIだけの技術力で実行された作戦ではありません。

• 法執行機関
• セキュリティ研究者
• 民間企業
• 研究機関
• ISP
• そして国際的なパートナー

それぞれが持つ能力を組み合わせることで成立した作戦だったのです。

「警告するだけでは十分ではなかった」

Operation Masqueradeを象徴する言葉があります。

FBIサイバー部門のBrett Leatherman氏は、この作戦について、

sounding the alarm wasn’t enough/サウンディング・ジ・アラーム・ワズント・イナフ

と述べています。

直訳すれば、「警鐘を鳴らすだけでは十分ではなかった」という意味です。

これは今回の記事を考えるうえで、非常に重い言葉だと思います。

• 危険な機器があります。
• アップデートしてください。
• パスワードを変更してください。
• 古いルーターは交換してください。

こうした注意喚起はもちろん重要です。

しかし現実には、すべての利用者がすぐに対応するとは限りません。

その間にも攻撃者は活動を続けます。

Operation Masqueradeでは、警告するだけでは脅威を止められないと判断し、司法手続きを経たうえで、実際の無害化へ踏み込んだわけです。

日本にも同じことができるのか？

ここで自然に出てくる疑問があります。

日本でもOperation Masqueradeのようなことができるのかという疑問です。

実はこの問いは、これからの日本のサイバー防御を考えるうえで重要なテーマになっています。

日本でも2025年に成立したサイバー対処能力強化法などによって、重大なサイバー攻撃に対する“「アクセス・無害化措置」”の制度整備が進められています。

つまり…

攻撃を発見する。

注意喚起する。

だけではなく…

必要な場合には攻撃者側のインフラなどへアクセスし、脅威を無害化する。

…というところへ、日本も踏み出そうとしています。

しかし、法律を作れば翌日からOperation Masqueradeと同じことができるわけではありません。

今回見てきたように、そこには、

• 対象を正確に見つける能力
• ネットワーク機器を解析する能力
• 証拠を保存する技術
• 利用者の機器を壊さずに処置する技術
• 事前に十分な検証を行う環境

そして、

民間企業・研究機関・ISP・海外機関との連携が必要になります。

Operation Masqueradeは、単なる「FBIによるハッキング作戦」ではありません。

攻撃者の技術に対して、防御側も技術・法律・組織を組み合わせて対抗した作戦と見るべきでしょう。

第4部　「ネットワークを信用するな」――これから私たちはどう備えるのか

ここまで、GRU（ロシア軍情報総局）に関連するAPTによるDNSハイジャック、日本のNOTICE、そして米国のOperation Masqueradeを見てきました。

ここで最初のホテルや公衆Wi-Fiの話へ戻りたいと思います。

今回取り上げたGRU側の活動では、SOHOルーターが攻撃の足場として利用されていました。

しかし、「危険なのはSOHOルーターだけ」と考えてしまうのは適切ではありません。

2026年には、ホテルや会議施設などで利用されるWi-Fiゲートウェイを侵害し、DNSを操作してMicrosoft 365の認証情報などを狙う活動も報告されています。

つまり、私たちが考えるべき対象は、特定メーカーのルーターだけではありません。

私たちとインターネットの間に存在する「ネットワーク」そのものです。

「ホテルだから安全」とは限らない

• ホテル
• 空港
• 駅
• カフェ
• 会議施設
• そして家庭や会社

私たちは普段、こうした場所で提供されるネットワークへ、ほとんど意識することなく接続しています。

ホテルであれば、「ホテルが提供しているWi-Fiだから大丈夫だろう」

会社なら、「会社のネットワークだから安全だろう」

自宅なら、「自分のルーターだから問題ないだろう」

…と考えてしまいがちです。

しかし今回見てきた攻撃では、その“「信頼されているネットワーク設備」そのものが攻撃対象”になっていました。

だからといって…

ホテルWi-Fiを使ってはいけない。

公衆Wi-Fiは危険だからすべて避けるべきだ。

…という話ではありません。

重要なのは…

接続したネットワークが安全であることを最初から前提にしない

…という考え方です。

---

Microsoftが示す「ネットワークを信用しない」という考え方

Microsoftがゼロトラストについて説明するとき、重要な原則として、

• Verify explicitly（明示的に検証する）
• Use least privilege access（最小権限アクセスを使用する）
• Assume breach（侵害を前提とする）

…を挙げています。

Microsoft「Zero Trust」

ここで重要なのが、Assume breach――侵害されていることを前提に考えるという発想です。

従来は、「安全なネットワークの内側に入れば安全」という考え方が比較的強くありました。

しかし、そのネットワーク自体が侵害されていたら？というのが今回の記事で見てきた問題です。

だから、「ネットワークを信用するな」という言葉は、「世の中のネットワークは全部危険だ」という意味ではありません。

『ネットワークが安全であることだけを根拠に、通信相手や利用者まで無条件に信用しない』という考え方になります。

一つの技術ですべてを守るのではなく、複数の防御を重ねることが重要になってきます。

最後に――ネットワークを利用する私たちへ

ホテルや公衆Wi-Fiは便利です。

VPNも私たちを守ってくれる有効な技術です。

それらを怖がって遠ざける必要はありません。

大切なのは、何が起き得るのかを知ったうえで利用することだと思います。

今回見てきた攻撃では、利用者のパソコンやスマートフォンを直接狙うだけではなく、その手前にあるネットワーク機器が攻撃の足場として利用されていました。

そして、その脅威に対して防御側も動いています。

日本ではNOTICEによる観測と注意喚起が続けられています。

米国ではOperation Masqueradeによって、侵害された機器の無害化にまで踏み込みました。

攻撃する側だけが進化しているわけではありません。

守る側もまた、進化しています。

だから私たち利用者に必要なのは、過度に恐れることでも、逆に「大丈夫だろう」と無条件に信用することでも無いと思います。

• 仕組みを少し知る。
• 必要な対策をする。
• そして、便利なものは便利に使う。

今回の記事を通じて覚えておいてほしいことを一つだけ挙げるなら、

「ネットワークを利用するが信用はするな」

という考え方です。

信用しないことと、利用しないことは違います。

知ったうえで利用する。

それだけでも、私たちのサイバーセキュリティは一歩前へ進むのだと思います。