海外旅行でフリーWi-Fiは本当に危険か？HTTPS全盛期における「暗号化の盲点」とVPNの技術的防壁

「フリーWi-Fiを使うと、クレジットカード情報やパスワードが盗まれる」

海外旅行のガイドブックや、セキュリティソフトの広告でよく見かけるこのフレーズ。エンジニアリングの視点から見れば、これは「半分正解で、半分は嘘」だ。

現代のWebトラフィックの95%以上はHTTPS（TLS暗号化）化されている。Googleの透明性レポートを見れば一目瞭然だが、僕たちがブラウザでアクセスするほぼすべての主要サイトは、端末とサーバーの間で強固な暗号化通信を行っている。つまり、たとえ悪意のある第三者がWi-Fiの電波を傍受したとしても、そこを流れるのは意味不明なバイナリデータの羅列に過ぎない。

では、なぜ未だに「公共Wi-Fiは危険だ」と言われ続けるのか。そこにはHTTPSだけでは防げない、プロトコルの隙間を突いた技術的死角が存在するからだ。

1. HTTPS全盛期における「4つの脆弱性」

通信内容そのものが暗号化されていても、通信の「メタデータ」や「接続経路」には無防備な部分が残っている。

• ① DNSクエリという「足跡」の露呈
  HTTPSは「何を（コンテンツ）」話しているかは隠すが、「誰と（ドメイン）」話そうとしているかまでは隠さない。通常、ブラウザがURLを解決する際のDNSクエリ（ポート53/UDP）は平文で送信される。Wi-Fiの設置者は、あなたが「どの銀行のサイトを見ようとしたか」「どのSNSにアクセスしているか」という履歴を容易に収集できる。
• ② Evil Twin（悪意あるアクセスポイント）
  攻撃者が空港のフリーWi-Fiと同じSSID（例：Airport_Free_WiFi）を偽装して設置する手法。もし端末が自動接続してしまうと、攻撃者は「中間者攻撃（MITM）」を仕掛けやすくなり、偽の証明書を掴ませようと試行することが可能になる。
• ③ キャプティブポータルの罠
  ホテルのWi-Fiなどでよく見る「ログイン画面」。これがフィッシング詐欺の温床になる。本物そっくりのログイン画面を表示させ、SNSやメールの入力を求める心理的隙を突く攻撃だ。
• ④ ジオブロック（地域制限）
  日本のVODサービスや金融アプリの一部は、海外IPアドレスからのアクセスを遮断する。フリーWi-Fiを使う限り、現地のIPアドレスが割り当てられるため、普段使っているサービスが使えなくなる。

2. 技術的防壁としての「VPN」の正体

こうした死角を埋めるためのエンジニアリング的回答が、VPN（Virtual Private Network）だ。

NordVPNなどのサービスが提供しているのは、単なる「追加の暗号化」ではない。技術的には「カプセル化（Encapsulation）」による通信の隔離だ。

VPNを起動すると、端末からVPNサーバーまでの間に仮想的な専用トンネルが構築される。前述した「平文のDNSクエリ」も、このトンネルの中に放り込まれる。Wi-Fi設置者に見えるのは、あなたの端末がVPNサーバーと通信している事実だけで、中身がDNSクエリなのかHTTPデータなのかすら判別できなくなる。

3. 海外旅行における現実的な接続戦略：eSIMという選択肢

究極の安全策は、「そもそも不特定多数が共有するネットワークを使わない」ことにある。

そこで僕が推奨するのが、trifa（トリファ）のようなeSIMアプリだ。物理SIMを抜き差しするリスクがなく、アプリ上でプロファイルをダウンロードするだけで現地のキャリア回線に直結できる。

「出発前にeSIMを入れ、現地ではキャリア直結。ホテルでの大容量通信や日本のサービス利用時はVPNをオンにする」。この組み合わせこそが、現代の最もスマートで堅牢な海外通信戦略だ。