ホテルのWi-Fiが凶器に：ハッカーがDNSを乗っ取りMicrosoft 365のログイン情報を盗む手口（そしてVPNが今も有効な理由）
ホテルのロビーでノートパソコンを閉じ、そのWi-FiがオフィスのWi-Fiと同じように動くと思い込んだことがあるなら、2026年7月の最終週はその習慣を見直すきっかけになります。BleepingComputerとHackReadの研究者はそれぞれ独立して、犯罪者がホテルやカンファレンスのWi-FiゲートウェイのDNS設定を密かに書き換え、宿泊客が本物のMicrosoft 365ログインページと見分けがつかない精巧な偽ページに正規のパスワードを入力するのを待ち受ける攻撃波を確認しました。同様の手口はカンファレンス会場やコワーキングスペースでも報告されています。朗報は、この基本的な手法は目新しいものではなく、防御策も複雑ではないということです。悪い知らせは、ほとんどの出張者がその防御策を何も使っていないという現実です。
実際に起きていること
今月報告された攻撃では、本物の被害者は宿泊客のノートパソコンではありません。被害者はゲートウェイです。ホテルやカンファレンスのWi-Fiは、ほぼ例外なく、認証用のキャプティブポータル（captive portal）を備えた管理ルーターで運用されており、その裏側では接続されたすべてのデバイスのDNSを制御しています。攻撃者がそのルーターへの管理者アクセスを取得すれば（デフォルト認証情報か盗難された認証情報、未修正のファームウェアの脆弱性、あるいは現地IT委託業者へのソーシャルエンジニアリングのいずれによっても）、ゲートウェイが配布するDNSレコードを書き換えることができます。その瞬間から、ロビー周辺の誰かがブラウザにlogin.microsoftonline.comと入力した瞬間に、本物のMicrosoft正規ポータルとまったく同じ見た目の、攻撃者が管理するサーバーへ密かにリダイレクトされるのです。TLS証明書まで一致させることすら可能です。攻撃者は自動化された証明書発行サービスを悪用して、元のホスト名用の証明書を取得する方法を習得しています。
フィッシングページはメールアドレスとパスワードを収集し、それらを正規のMicrosoftエンドポイントへ転送してログインを成功させ、目に見えるエラーを一切出さないようにします。そしてそのセッションCookieを保存します。複数のケースで、攻撃者がわずか数秒以内にログインし、正規セッションを悪用して受信トレイの転送ルールを有効化したり、新しいOAuthアプリの同意を作成したり、ユーザーがブラウザのタブを閉じる前にSharePointやOneDriveへ横展開しています。ユーザーアカウントの二要素認証は確かにこれを遅延させますが、攻撃者は今や正規のMicrosoftサーバーを有効なセッションで通過しているため、攻撃を完全に阻止することはできません。
なぜホテルのWi-Fiはとりわけ脆弱なのか
公共Wi-Fi全般は常にリスクが伴ってきましたが、ホテルやカンファレンスのWi-Fiは3つの理由から特別なケースです。第一に、機器はほとんど頻繁にパッチ適用されません。ゲートウェイのファームウェア更新はベンダー側で四半期以上のサイクルで提供されますが、ホスピタリティ業界のITチームは正式な資産台帳を持たず、想定外の構成変更を監視する体制も整っていないことが一般的です。第二に、短時間に数百人の見ず知らずの人々が同じネットワークを共有するため、攻撃者にとってターゲットの密度が高く、フィードバックループも迅速です。第三に、キャプティブポータルが存在するため、DNSは通常、現代のOSが優先する暗号化されたリゾルバではなく、ベンダー管理の単一リゾルバを経由します。そのリゾルバが侵害されれば、ネットワーク上のすべてのクライアントが同時に被害を受けます。
Microsoft自身が公開している出張者向けのガイダンスは、かねてよりこのリスクを指摘してきました。今回の攻撃波が注目されるのは、一般的な銀行サイトや消費者向け認証情報ではなく、Microsoft 365を明確に標的にしている点です。この焦点は、攻撃者が企業メール、ファイル、そしてユーザーがチェックアウトした後にもSaaSテナントへの永続的なアクセスを許すOAuthアプリの権限を狙っていることを示唆しています。
なぜVPNは今でも最善の防御であり続けるのか
信頼できるVPNは、ホテルのWi-Fiに接続した瞬間に3つの役割を同時に果たします。DNS参照をゲートウェイのリゾルバから、ユーザー自身またはVPN事業者が運営するリゾルバへ移すことで、この攻撃の最も直接的なパターンを無効化します。デバイスとVPNサーバー間のすべてのパケットを暗号化するため、ゲートウェイはこれから接続しようとしている宛先ホスト名を読み取ることができなくなります。さらに、kill switch（キルスイッチ）とDNSリーク防止機能が備わっていれば、VPNトンネルが一瞬切断された際にOSがネットワークのデフォルトリゾルバへ密かにフォールバックするのを防ぎます。これらの防御機能はいずれも目新しいものではなく、評判の良い一般消費者向けVPNでは長年標準機能として提供されてきました。新たに強調すべきは、ホテルからMicrosoft 365テナントにログインするすべての人にとって、もはや任意機能ではないということです。
VPNが「何をしないか」についても正確に理解しておく価値があります。VPNトンネル自体を経由してフィッシングページにログインしてしまうことからは守ってくれません。攻撃者がより上位の層で中間者攻撃を仕組んでいる場合や、信頼しているウェブサイト自体が侵害されている場合、VPNはトラフィックをそのまま通過させます。また、接続前にすでにマルウェアに感染しているデバイスや、過去のマルウェアによって悪意のあるルート証明書を信頼するように設定されているデバイスも守れません。これらの層を保護するには、エンドポイント対策、ハードウェアセキュリティキー、そしてブラウザに表示されるあらゆる証明書警告に対する健全な懐疑心が必要です。
ホテルのネットワークに接続する前におこなうべき10のステップ
ブラウザを開いたり、Wi-Fiにサインインしたり、キャプティブポータルの利用規約を承認したりする「前に」VPNを接続してください。ポータルの認証情報を入力する間もVPNは有効にしておく必要があります。
VPNのkill switchとDNSリーク防止機能が両方ともオンになっていることを確認してください。出張前に別のネットワークでテストし、自分のデバイスでトンネル障害がどう見えるかを把握しておきましょう。
Microsoft 365ではSMSコードやアプリベースのコードではなく、ハードウェアセキュリティキーを使用してください。FIDO2キーはブラウザがチャレンジを正規ドメインに紐付けるため、リアルタイムでのフィッシングができません。
ノートパソコンとスマートフォンで、オープンWi-Fiネットワークへの自動接続を無効化してください。OSは近くのホテルや空港にちなんだ名前のネットワークに静かに参加し、ブラウザを開く前からトラフィックを露出させてしまいます。
機密性の高い作業には、スマートフォンのモバイルホットスポットを代替手段として使ってください。モバイル回線上の現代のスマートフォンは、ロビーのゲートウェイよりはるかに露出が少ないです。
予期しない証明書警告はすべて「直ちに中断」すべき信号として扱ってください。正規のMicrosoftドメイン上にある正規のMicrosoft 365ログインページが、現代のブラウザで証明書エラーを表示することは決してありません。
キャプティブポータルにはプライベートブラウジングウィンドウを使用してください。ポータルのCookieやトラッキングパラメータが業務セッションに持ち越されないようにします。
出張翌朝、Microsoft 365アカウントの受信トレイ転送ルールとOAuthアプリの同意を点検してください。セッションをHarvestした攻撃者は、数時間以内に行動し、見落としやすいルールやアプリを登録することで永続化を図ります。
ノートパソコンとスマートフォンを常に最新の状態に保ち、出発前に再起動しておいてください。最新ブラウザを備えたクリーンなセッションは、1ヶ月前からの古いセッション状態よりも標的として魅力的ではありません。
企業向けのMicrosoft 365テナントを運用している場合、準拠デバイスまたは承認済みネットワークをリスクの高いサインインに要求する条件付きアクセス（Conditional Access）ポリシーを有効にしてください。セキュリティキーと組み合わせれば、盗まれたパスワードを無意味な情報にできます。
より広いパターンと2026年への意味
ホテルやカンファレンスのDNSハイジャックは新しい攻撃カテゴリではありません。2026年の新たな点は、Microsoft 365への焦点と、単一の認証情報をSaaSテナント全体への永続的アクセスへ転換する攻撃の速度です。同一の手口が他のフェデレーションIDプロバイダー、パスワードマネージャ、そしてVPNコンセントレーター自体にも適用されています。公共Wi-Fiはもはやセキュリティチームの好奇心ではなく、今年の保険金請求や情報漏えい開示で頻出するビジネスメール詐欺の、確認された初期侵入ベクトルです。すべてのホテルネットワークを hostile（敵対的）として扱い、評判の良いVPNとハードウェアベースの多要素認証を重ねる出張者は、格好の被害者に簡単には入りません。それ以外の人々は全員なり得ますし、現在進行中のキャンペーンはそのような人々を見つけ出すように設計されています。
この記事から一つだけ持ち帰っていただくなら次のことです。「VPNを最初に接続し、キャプティブポータルの信頼は最後に。そして、ホテルネットワークにハードウェアキーの向こう側にあるべきMicrosoft 365のパスワードを絶対に見せないこと」です。
