公衆WiFiのセキュリティ対策はVPNが必須【2026年版】おすすめ3選と設定方法

カフェのフリーWiFi、空港のFreeSpot、コンビニのWiFi。毎日のように公衆無線LANを使っている方は多いでしょう。しかし正直なところ、何も対策せずに公衆WiFiを使い続けることは、鍵のかかっていない部屋でパソコンを開いているようなものです。同じネットワークに接続している人なら誰でも、あなたの通信を傍受できる状態にあります。

パスワード、クレジットカード番号、メールの内容、仕事の機密データ。これらがすべて第三者に筒抜けになるリスクがあります。「HTTPS接続だから安全」という考えも、中間者攻撃の前には通用しないケースがある。それが公衆WiFiの本当の怖さです。

対策は1つだけです。VPNを使うこと。そして公衆WiFiのセキュリティ対策に最も適したVPNはNordVPNです。Deloitte社による独立監査を2022年から2025年まで4年連続で受けており、第三者機関によって通信の安全性が毎年証明されています。7,400以上のサーバーを持ち、AES-256という軍事レベルの暗号化を採用。月額¥540前後（2年プラン）から使えて、30日間の返金保証で実質リスクゼロで試せます。

この記事では、公衆無線LAN利用時の5つの攻撃手法とその仕組みを解説し、VPNがどのようにリスクを防ぐかを詳しく説明します。さらにNordVPN含むおすすめ3選の比較と、デバイス別の設定手順もカバーします。

この記事を読むことで、「なぜ公衆WiFiが危険なのか」を攻撃の仕組みから理解でき、「どのVPNを選べば安全か」という疑問に明確な答えが得られます。

技術的な詳細はわかりやすく解説していますので、IT知識がない方でも理解できる内容になっています。逆に、すでに公衆WiFiのリスクを知っていてVPNを探している方は、VPNおすすめ3選のセクションから読み始めてもかまいません。

フリーWiFiのリスクについてより広く知りたい方は、フリーWiFiにVPNが必要な理由をまとめた記事も参照してみてください。NordVPNの詳細なレビューはこちらのNordVPN評判・口コミ記事でも確認できます。

「暗号化されていない公共のネットワーク」というのが、公衆無線LANの本質的な問題点です。自宅のWiFiとは根本的に構造が違います。自宅のルーターは、接続するデバイスが限られており、パスワードで保護されています。一方、公衆WiFiは不特定多数が接続する開かれたネットワークであり、悪意を持ったユーザーが紛れ込んでいても区別がつきません。

また、WPA2やWPA3という暗号化規格が使われている公衆WiFiであっても、接続済みユーザー間の通信までは暗号化されないことが多いです。つまり、正規のアクセスポイントに接続していても、同じネットワーク上の別ユーザーからは通信を傍受されるリスクがあります。

スニッフィングとは、ネットワーク上を流れるデータパケットを傍受・解析する攻撃手法です。暗号化されていない通信であれば、同じWiFiネットワークに接続しているだけで、技術的には第三者がその内容を読み取れます。

具体的なシチュエーションで考えてみましょう。カフェでフリーWiFiに接続しながらオンラインショッピングをしたとします。HTTPSではなくHTTPのサイトであれば、フォームに入力したクレジットカード番号や住所がそのままネットワーク上を流れます。同じWiFiに接続した攻撃者が「Wireshark」のような無料のパケットキャプチャツールを使えば、これを容易に傍受できます。Wiresharkは本来、ネットワーク診断のためのツールですが、悪意ある使い方をすれば強力な盗聴ツールになります。

「最近はどのサイトもHTTPSだから大丈夫」と思う方もいるかもしれません。しかし後述するMITM攻撃と組み合わされると、HTTPS通信であっても安全とは言えなくなります。また、メールやチャットアプリなど、ブラウザ以外の通信がHTTPSで保護されていないケースも存在します。

スニッフィング対策の根本は、VPNによる全通信の暗号化です。VPNを使えば、スニッフィングされたとしても、傍受されたデータはAES-256で暗号化された意味不明な文字列にすぎず、攻撃者には何の価値もありません。パケット自体は傍受されても、解読できない状態になります。

中間者攻撃（Man-in-the-Middle Attack、MITM）は、公衆WiFiにおける最も深刻な攻撃手法の1つです。攻撃者がユーザーと通信相手（Webサーバー等）の間に割り込み、通信を中継・傍受・改ざんします。被害者は正常に通信しているように見えるため、攻撃を受けていることに気づきにくいのが特徴です。

仕組みを説明しましょう。攻撃者はARPスプーフィング（ARP Poisoning）という技術を使い、ユーザーの端末に「私がルーターです」と偽って通信を横取りします。ARPとはIPアドレスとMACアドレスを対応づけるプロトコルで、これを偽造することで通信の流れを攻撃者のコンピューターに向け直せます。ユーザーはWebサイトに接続しているつもりが、実際にはすべての通信が攻撃者のPCを経由しています。

特に注意すべきなのがSSLストリッピングです。攻撃者がHTTPSをHTTPにダウングレードし、ユーザーには気づかれにくい形で平文通信に変換します。ブラウザのアドレスバーが「http://」になっていても、急いでいると見逃しがちです。HSTS（HTTP Strict Transport Security）という対策技術もありますが、すべてのサイトが対応しているわけではありません。

VPNを使えばMITM攻撃を防げます。VPNはネットワーク層で動作し、通信の始点（あなたのデバイス）から終点（VPNサーバー）まで暗号化されたトンネルを形成します。ARPスプーフィングで通信を横取りされても、攻撃者が見えるのは暗号化された意味不明なデータだけです。

Evil Twin攻撃は、正規のWiFiアクセスポイントに見せかけた偽アクセスポイントを設置する攻撃です。「Starbucks_WiFi」「Airport_FreeWifi」「McDonald_Guest」といったSSID（ネットワーク名）を正規のアクセスポイントとまったく同じにコピーした偽のWiFiを設置し、ユーザーを接続させます。

攻撃者は正規のWiFiよりも強い電波を出すことで、ユーザーの端末を意図的に偽アクセスポイントへ誘導できます。スマートフォンやPCは通常、最も電波が強いアクセスポイントを優先して選ぶ設計になっているため、ユーザーが意識せずに偽のネットワークに接続してしまうことがあります。また、デバイスが「一度接続したことがあるネットワーク」として記憶している場合、自動的に接続されてしまうケースもあります。

接続後はすべての通信が攻撃者を経由するため、スニッフィングやMITM攻撃が同時に行われます。偽のログインページに誘導されて、銀行サービスやSNSのパスワードを入力させるフィッシング攻撃にも使われます。

特に危険なのがデバイスの自動接続機能です。設定でWiFiの自動接続をOFFにしておくことは有効な対策ですが、それだけでは不十分です。VPNを使えば、たとえEvil Twinに接続してしまっても、暗号化によって通信内容を守れます。Evil Twinに接続している状態でもVPNが動作していれば、攻撃者には暗号化されたデータしか見えません。なお、偽のログインページに誘導されてパスワードを自分で入力してしまった場合はVPNでも防げないため、接続先のURLを必ず確認する習慣が必要です。

Webサービスにログインすると、サーバーは「セッションクッキー」という小さなデータをあなたのブラウザに送ります。以降の通信はこのクッキーで認証が行われ、毎回パスワードを入力しなくて済むようになります。セッションクッキーは「ログイン済み」の証明書のようなものです。

セッションハイジャックとは、このクッキーを盗み取り、あなたになりすましてWebサービスにアクセスする攻撃です。公衆WiFiのような暗号化が不十分なネットワークでは、セッションクッキーが平文で流れることがあるため、スニッフィングと組み合わせることで比較的容易に実行できます。クッキーを盗むだけであれば、パスワードを知らなくてもあなたのアカウントを乗っ取れます。

特にHTTPSに対応していない古いサービスや、クッキーに「Secure」フラグや「HttpOnly」フラグが設定されていないサービスが標的になりやすいです。「Secure」フラグがないクッキーはHTTP通信でも送信されてしまい、傍受のリスクが高まります。攻撃が成功すると、SNSの不正投稿・不正DM送信、オンラインショッピングでの不正購入、クラウドストレージのデータ窃取といった被害につながります。

VPNを使えば全通信が暗号化されるため、セッションクッキーが傍受されるリスクを大幅に低減できます。また、ログアウトせずにブラウザを閉じる癖がある方は特に要注意です。セッションを適切に終了する習慣と、VPNの併用が最も効果的な対策です。VPNのセキュリティ機能についてより詳しくはこちらの記事をご覧ください。

公衆WiFiを経由したマルウェア感染は、主に3つのルートで起こります。1つ目は悪意ある通信の改ざんによる不正スクリプトの注入です。MITM攻撃と組み合わせて、正規のWebサイトのレスポンスにマルウェアをダウンロードさせるスクリプトを挿入するという手法です。2つ目はEvil Twinや乗っ取られたアクセスポイントを通じた、偽のアップデート通知によるダウンロード誘導です。3つ目はWindowsのファイル共有機能を悪用したワーム感染です。

「ソフトウェアのアップデートが必要です」「Adobe Flash Playerの更新が必要です」といったポップアップが公衆WiFiの接続直後に表示された経験はありませんか。これは偽のアップデート通知でマルウェアをインストールさせる典型的な手口です。正規のソフトウェアアップデートは、そのソフトウェアのアプリ自体から通知されます。ブラウザ経由でのダウンロードを促す通知は、ほぼ確実に詐欺です。

感染するマルウェアの種類も多岐にわたります。キーロガー（キーボード入力を記録してパスワードを盗む）、スパイウェア（端末の操作を監視してデータを送信）、ランサムウェア（ファイルを暗号化して身代金を要求）など、どれも深刻な被害をもたらします。

VPN（Virtual Private Network、仮想プライベートネットワーク）は、インターネット上に暗号化された専用トンネルを作り出す技術です。公衆WiFiに接続した状態でも、あなたの通信はすべてVPNサーバーを経由して暗号化されます。

イメージとしては、透明なガラスの廊下（公衆WiFi）の中に、鉛の壁で囲まれた完全プライベートなパイプ（VPNトンネル）を通すようなものです。廊下の外から覗いている人には、パイプの中で何が流れているか見えません。仮に通信が傍受されたとしても、見えるのは意味不明な暗号文だけです。

VPNはOSIモデルのネットワーク層・トランスポート層で動作するため、ブラウザで開くWebサイトの通信だけでなく、メールアプリ、クラウドストレージの同期、動画ストリーミングなど、端末上のすべての通信を一括で保護します。アプリごとに設定が必要なく、VPNをオンにするだけですべての通信が保護されるのが大きな利点です。

VPNによる保護の核心となる3つの機能を以下で詳しく解説します。

AES-256（Advanced Encryption Standard、256ビット）は、米国国家安全保障局（NSA）も採用する軍事レベルの暗号化規格です。現在の計算機技術では解読に天文学的な時間がかかるため、事実上解読不可能とされています。米国政府機関が機密情報の暗号化に採用している規格と同じものが、一般のVPNサービスで使われているのです。

256ビットというのは、2の256乗通りの鍵の組み合わせがあることを意味します。この数字は宇宙に存在する原子の数（約10の80乗）を大きく超えており、世界中のスーパーコンピューターを集結させたとしても、現実的な時間内での解読は不可能とされています。

NordVPN、ExpressVPN、Surfsharkの主要VPNはいずれもAES-256（またはAES-256-GCM）を採用しています。ただし、暗号化規格が同じでも、プロトコル（通信手順）によって速度や安全性に差が出ます。NordVPNはNordLynxプロトコル（WireGuardベース）を採用しており、暗号化の安全性を保ちながら通信速度の低下も最小限に抑えます。WireGuardはOpenVPNと比較してコードベースが約10分の1と小さく、セキュリティ上の脆弱点が少ないとされています。

ExpressVPNは独自のLightwayプロトコルを使用。AES-256-GCMによる暗号化とChaCha20暗号アルゴリズムの両方をサポートし、デバイスのハードウェア性能に応じて最適な暗号化方式を自動選択します。SurfsharkもデフォルトでWireGuardとAES-256-GCMを使用しています。

ノーログポリシーとは、VPNプロバイダーがユーザーの通信ログ（接続日時、接続先IPアドレス、通信内容など）を一切保存しないことを約束するポリシーです。これがなぜ重要かというと、もしVPN会社がデータを保存していた場合、当局からの令状や不正アクセスによってあなたのオンライン活動が特定されるリスクがあるからです。VPNで暗号化しても、VPN会社自身があなたのデータを持っていれば意味がありません。

ノーログポリシーを「言っているだけ」ではなく、実際に第三者機関に検証させているかどうかが重要な判断基準です。多くのVPNが「ノーログ」を謳っていますが、独立監査を受けているものは限られています。

NordVPNの独立監査実績は業界トップクラスです。Deloitte社によるノーログ監査を2022年・2023年・2024年・2025年と4年連続で実施しており、毎年ノーログポリシーの実施が確認されています。Deloiteは世界4大会計事務所（Big4）の1つであり、その監査結果の信頼性は非常に高いです（Deloitte公式サイトにて監査レポートの概要が確認できます）。

パナマに本社を置くNordVPNは、EU・米国の情報共有協定（いわゆる5Eyes・14Eyes）の対象外でもあります。法的にも、政府機関からデータ開示要求があっても提供できるログが存在しないという構造になっています。実際に2017年にNordVPNのサーバーが当局に押収されましたが、ログが存在しなかったためユーザー情報は何も開示されなかったという事例があります。これは「ノーログポリシーが実際に機能している」ことの最も説得力ある証拠の1つです。

キルスイッチは、VPN接続が予期せず切断されたとき、インターネット通信全体を自動的に遮断する安全機能です。英語ではKill Switchまたはネットワークロックとも呼ばれます。

「VPNを使っているから安全」と安心していても、電波が弱い場所ではVPN接続が一時的に切れることがあります。たとえば、カフェで席を移動したとき、地下に入ったとき、WiFiが混雑していて一時的に接続が不安定になったとき。こうした瞬間に、あなたの端末は素の状態でインターネットに接続されてしまいます。キルスイッチがなければ、その数秒間に本来のIPアドレスが露出したり、暗号化されていない通信が流れたりするリスクがあります。

特に公衆WiFiのような不安定な環境でこそ、キルスイッチは重要な機能です。固定回線の自宅では接続が切れる頻度が低くても、公衆WiFiでは電波状況が刻々と変わります。VPNが切断されて素の通信が流れる「隙間」が生まれやすい環境だからこそ、キルスイッチを有効化しておくことが不可欠です。

NordVPNのキルスイッチはデフォルトで設定画面からONにできます。システム全体の通信を遮断する「システムキルスイッチ」と、特定アプリのみ遮断する「アプリキルスイッチ」の2種類があり、用途に応じて使い分けられます。公衆WiFiでの使用なら、システムキルスイッチをONにしておくことを強く推奨します。

公衆WiFiのセキュリティ対策に使うVPNを選ぶ基準は3つです。① 暗号化の強さ（AES-256必須）、② ノーログポリシーの第三者検証実績、③ キルスイッチの有無。この3点をクリアしたVPNに絞り、さらに使いやすさ・コスト・追加機能を総合評価してランキングしました。

なお、無料VPNはこのランキングに含めていません。後述する「無料VPNの危険性」のセクションで詳しく説明しますが、出所不明の無料VPNの多くはセキュリティ面で重大なリスクがあり、公衆WiFiの対策として推奨できません。

公衆WiFiのセキュリティ対策VPNとして、NordVPNが頭一つ抜けています。その最大の理由は、Deloitte社による独立監査を2022年・2023年・2024年・2025年と4年連続で受けており、毎年ノーログポリシーの実施が確認されている点です。「ログを記録しない」という約束を言葉だけでなく、世界4大会計事務所による監査という形で毎年証明しています。この実績を持つVPNは他にありません。

公衆WiFiでの使用に直接関係する機能として、Threat Protection Proが際立っています。VPN接続中に訪問したサイトに含まれる悪意あるスクリプトやマルウェア配布URLを、DNSレベルで自動ブロックします。スニッフィングやマルウェア感染の両方に対して、VPN暗号化と組み合わせた二重の防護を提供します。NordVPN公式サイトによると、このThreat Protection ProはVPN接続なしでも動作するため、接続が一瞬切れた瞬間でも保護が継続します。

NordLynx（WireGuardベース）プロトコルにより、VPN利用時でも速度低下が最小限です。複数の第三者テストサイトのデータを参照すると、NordVPNはVPN利用時の速度低下が少ないVPNとして一貫して評価されています。公衆WiFiはそもそも速度が不安定なことが多いため、VPNによる速度低下が少ないことは実用上の大きなメリットです。

ExpressVPNはNordVPNに次ぐ2番手です。NordVPNと比べると月額がやや高い（¥750前後 vs ¥540前後）点と、同時接続数がプランにより異なる点で及びませんが、Lightwayという独自プロトコルによる高速通信が強みです。複数の第三者テストサイトのデータを参照すると、NordVPNとほぼ同等か場合によってはわずかに上回る速度が報告されています。公衆WiFiでZoom会議や高画質動画配信を多用する方には特に注目の選択肢です。

セキュリティ面ではKPMGによる独立監査を2023年・2024年・2025年と3年連続で受けており、信頼性は高い水準です。TrustedServerという独自技術を採用し、サーバーはHDD不使用のRAMのみで稼働。電源を切ればすべてのデータが消える構造で、ノーログポリシーをハードウェアレベルで担保しています。RAM-only serverはExpressVPNが業界で初めて導入した技術であり、この点では先駆者です。

ただし、NordVPNのThreat Protection Proに相当するマルウェアブロック機能がない点は、公衆WiFiのセキュリティという観点では物足りません。監査回数もNordVPN（4回）に対し3回で、「より多くの証跡」という意味ではNordVPNが上です。速度の優位性を最大限に活かしたい方、または動画配信・オンライン会議での快適さを最優先する方にExpressVPNを勧めます。

Surfsharkは3社の中でコスパが最も優れています。月額¥328前後（2年プラン）という価格は、NordVPNの¥540よりも月額¥212安く、年間換算では¥2,544の差があります。そして最大の差別化ポイントは、同時接続台数が無制限という点です。NordVPNの10台、ExpressVPNのプランによる台数制限に対し、Surfsharkは1アカウントで何台でも同時に使えます。家族のスマートフォン、自分のPC、タブレット、追加のノートPCなど、台数を気にせず家族全員のデバイスを守れます。

セキュリティ面では、AES-256-GCM暗号化とWireGuardプロトコルを採用。Deloitte社による独立監査（2023年・2025年）でノーログポリシーが確認済みです。CleanWebという広告・マルウェアブロック機能も搭載されており、悪意あるサイトへのアクセスをブロックします。また、Camouflage Modeという難読化機能も持ち、VPN通信を通常のHTTPS通信に見せかけることができます。

NordVPNと比べた際の差を正直に言うと、監査回数（2回 vs 4回）と追加セキュリティ機能（Threat Protection Pro vs CleanWeb）の充実度に差があります。CleanWebもDNSレベルのフィルタリングを提供しますが、NordVPNのThreat Protection Proの方が対応範囲が広いとされています。コストを最優先にする方、または複数デバイスを1つのアカウントでまとめて管理したい方にはSurfsharkが最適です。総合的なセキュリティ水準で選ぶなら、NordVPNが推奨です。

3社の主要スペックを一覧で比較します。公衆WiFiのセキュリティという観点で特に重要な項目に絞りました。

セキュリティの核心である「独立監査の回数」でNordVPNが4回と断然リードしています。コスト面ではSurfsharkが最安ですが、Deloitte監査2回対4回という差は公衆WiFiのリスク対策においては重要な指標です。8割のユーザーにはNordVPNが最適な選択です。VPN全体のランキングと詳細比較はこちらの記事でも確認できます。

VPNは公衆WiFiの最も強力な対策ですが、VPNだけで万能ではありません。VPNと組み合わせることで効果が増す追加のセキュリティ対策を紹介します。VPNが「通信の暗号化」という根本的な対策であるのに対し、以下は「攻撃の入口を減らす」対策です。

• WiFiの自動接続をOFFにする（偽アクセスポイントへの自動接続を防ぐ）
• ファイル共有機能を無効化する（Windows: ネットワーク探索をOFF、Mac: システム設定 → 共有 をすべてOFF）
• OSとアプリを常に最新バージョンに保つ（セキュリティパッチを速やかに適用）
• すべての重要サービスで二要素認証（2FA）を有効化する
• パスワードマネージャーを使って各サービスに異なる複雑なパスワードを設定する
• 公衆WiFi使用中はネットバンキング・証券取引のアクセスを極力避ける（VPN使用時でも慎重に）

• 提供者が不明な「XXX_Free_WiFi」には接続しない（Evil Twinの可能性）
• 公衆WiFi接続直後のポップアップ（アップデート促進など）をクリックしない
• Bluetoothもなるべくオフにしておく（BlueSnarfingなどの攻撃対策）
• 「パスワードなしで接続できる」WiFiに安易に接続しない

「VPNを使えばいい、無料でも同じだろう」と思っている方に、重要なことをお伝えします。出所不明の無料VPNを公衆WiFiのセキュリティ対策として使うのは、リスクを下げるどころか逆に上げる可能性があります。

無料VPNの収益モデルを考えてみましょう。VPNサーバーの維持費は決して安くありません。複数の国にサーバーを置き、帯域幅を確保するだけで、毎月相当なコストがかかります。無料で提供する以上、何かで収益を得る必要があります。その収益モデルの1つが、ユーザーの通信データの収集・第三者への販売です。つまり、公衆WiFiの盗聴者から身を守るためにVPNを使ったのに、VPN自体があなたのデータを収集・販売していた、という事態が実際に起きています。

アプリストアには正規のVPNと見分けがつきにくい偽VPNアプリや、データ収集目的のVPNアプリが多数存在します。セキュリティ調査会社の報告によると、人気の無料VPNアプリの中には、ユーザーのブラウジング履歴を広告会社に販売しているものがあったことが確認されています。また、VPN自体に脆弱性があり、攻撃者に悪用されたケースも報告されています。

なお、ProtonVPNの無料プランのように、信頼できるVPN会社が提供する無料プランは例外的に安全です。ただし速度制限やサーバー数制限があります。セキュリティを本気で考えるなら、月額¥328〜¥540の有料VPNへの投資は非常に合理的です。

この記事で解説した公衆WiFiの5つの危険（スニッフィング、MITM攻撃、Evil Twin、セッションハイジャック、マルウェア）は、NordVPNのAES-256暗号化とThreat Protection Proで対策できます。月額¥540前後という価格は、1日あたり約¥18。カフェのコーヒー1杯分の価格で、あなたのデジタル資産全体を守れます。

コストを最優先にするならSurfshark（¥328前後〜、同時接続無制限）、速度重視ならExpressVPN（Lightwayプロトコル）という選択もあります。しかし、公衆無線LANのセキュリティという文脈で監査実績と追加保護機能まで含めて総合評価すると、NordVPNが最終的な推奨です。