--- title: "無線LANのなりすましアクセスポイントとは？悪質なAPの見分け方【SG試験】" description: "無線LANのなりすましアクセスポイントは、正規のAPに見せかけて利用者を接続させる攻撃用または不正設置のAPです。SSID、暗号化、証明書、接続先確認の観点から、情報窃取や社内LAN侵入を防ぐ判断基準をSG試験向けに整理します。科目Aの用語理解と科目Bのケース判断で迷いやすい表現も確認します。" last_modified_at: "2026-05-08" canonical_url: "https://stemtazoo.github.io/sg/rogue-access-point/" section: "sg" --- ## まず結論 無線LANのなりすましアクセスポイントとは、正規のアクセスポイントに見せかけて利用者を接続させる、悪意のある無線LANです。 SG試験では、**利用者が本物だと思って接続してしまうリスク**を判断できるかが問われることがあります。 ポイントは、SSIDが同じ、または似ているからといって、安全とは限らないことです。 特に、次のような切り分けが大切です。 - 正規APに見せかける → なりすましアクセスポイント - 通信内容を読まれにくくする → WPA2 / WPA3 などの暗号化 - SSIDを一覧に表示されにくくする → SSIDステルス - 同じ無線LAN内の端末同士を分離する → プライバシーセパレーター 選択肢では、**「正規の無線LANに見せかける」「利用者を接続させる」**という表現が出たら、なりすましアクセスポイントを疑います。 ## 直感的な説明 カフェやホテルでWi-Fiを使おうとしたとき、似たような名前のWi-Fiが複数表示されることがあります。 例えば、正規のSSIDが「Cafe_WiFi」なのに、近くに「Cafe_Free_WiFi」や「Cafe_WiFi_5G」のようなSSIDがある場合です。 利用者は、名前がそれらしいと本物だと思って接続してしまうかもしれません。 しかし、そのWi-Fiが攻撃者の用意したアクセスポイントだった場合、通信を盗み見られたり、偽のログイン画面に誘導されたりする可能性があります。 イメージとしては、正規の受付に似せた偽の受付を用意して、利用者を誘導するようなものです。 見た目が似ているだけでは、本物とは限りません。 無線LANでも、SSIDだけで正規のアクセスポイントかどうかを判断するのは危険です。 ## 定義・仕組み アクセスポイントとは、無線端末をネットワークに接続するための機器や機能です。 なりすましアクセスポイントは、正規のアクセスポイントに見せかけて設置される悪質なアクセスポイントです。 攻撃者は、利用者が接続しそうなSSIDを使ったり、正規のSSIDに似た名前を設定したりします。 利用者が誤って接続すると、攻撃者は次のような行為を狙う可能性があります。 - 通信内容を盗み見る - 偽のログイン画面へ誘導する - IDやパスワードを入力させる - マルウェア配布サイトへ誘導する - 社内ネットワークへの侵入口として悪用する ただし、なりすましアクセスポイントの問題は、単にSSIDが似ていることだけではありません。 利用者が「会社名や店舗名が入っているから安全」と思い込み、確認せずに接続してしまう点が危険です。 主な無線LAN対策との違いは次のとおりです。 | 用語 | 主な意味 | |---|---| | なりすましアクセスポイント | 正規APに見せかけた悪質なAP | | SSIDステルス | SSIDを一覧に表示されにくくする設定 | | WPA2 / WPA3 | 無線通信を暗号化する方式 | | ゲストWi-Fi | 来訪者用ネットワークを社内LANから分離する考え方 | SG試験では、技術的な攻撃手順よりも、**利用者が誤って接続しないための判断と運用**が重要です。 ## どんな場面で使う？ なりすましアクセスポイントのリスクは、不特定多数がWi-Fiを使う場所で特に高くなります。 代表的な場面は次のとおりです。 - カフェやホテルの無料Wi-Fi - 駅や空港の公衆無線LAN - イベント会場の臨時Wi-Fi - 会社の近くで見える社名に似たSSID - 社内に無断で設置されたアクセスポイント 会社で注意すべきなのは、外出先だけではありません。 社内に許可なく設置されたアクセスポイントも、管理されていない入口になります。 例えば、社員が便利だからと私物の無線ルータを社内LANにつなぐと、セキュリティ設定が不十分な入口ができる可能性があります。 このような無断設置のアクセスポイントは、管理外の通信経路になるため危険です。 SG試験では、選択肢に - 正規のSSIDに似せて利用者を接続させる - 利用者を偽のログイン画面に誘導する - 管理者の許可なくAPを設置する - 不審なAPを検知して管理者へ報告する といった表現があれば、なりすましアクセスポイントや不正APの文脈として考えます。 対策としては、利用者側と管理者側の両方で考えます。 | 立場 | 対策の例 | |---|---| | 利用者 | SSID名だけで判断しない、公式案内を確認する、不審なWi-Fiに接続しない | | 管理者 | 正規APを明確に案内する、不審なAPを監視する、無断APを禁止する | 重要なのは、SSIDを覚えるだけではなく、**接続してよい無線LANを組織として明確にすること**です。 ## よくある誤解・混同 なりすましアクセスポイントでよくある誤解は、SSIDが正しければ安全だと考えることです。 SSIDは名前なので、攻撃者が似た名前を設定することがあります。 そのため、SSIDだけで安全性を判断するのは危険です。 ### SSIDステルスとの違い SSIDステルスは、SSIDを端末の一覧に表示されにくくする設定です。 一方、なりすましアクセスポイントは、正規APに見せかけて利用者を接続させる攻撃です。 選択肢で、 - SSIDを隠す - 無線LAN名を一覧に表示しにくくする と書かれていたら、SSIDステルスの話です。 選択肢で、 - 正規のAPに見せかける - 利用者を偽のAPへ接続させる と書かれていたら、なりすましアクセスポイントの話です。 ### 暗号化との違い WPA2やWPA3は、無線通信を暗号化するための仕組みです。 暗号化は通信内容を読まれにくくする対策ですが、利用者が悪質なAPに自分から接続してしまうリスクを完全に防ぐものではありません。 選択肢で、 - 通信内容を暗号化する - 電波を盗聴されても内容を読まれにくくする と書かれていたら、暗号化の話です。 ### プライバシーセパレーターとの違い プライバシーセパレーターは、同じ無線LANに接続している端末同士の通信を防ぐ機能です。 なりすましアクセスポイントは、利用者を偽のアクセスポイントへ接続させる攻撃です。 切り分けは次のとおりです。 | 用語 | 判断ポイント | |---|---| | なりすましアクセスポイント | 偽のAPへ接続させる | | プライバシーセパレーター | 同じAP内の端末同士を通信させない | SG試験では、**接続先が偽物なのか、接続後の端末同士の通信制限なのか**で判断します。 ## まとめ（試験直前用） - なりすましアクセスポイントは、正規APに見せかけた悪質なAP - SSIDが似ている、または同じだからといって安全とは限らない - 利用者を偽のログイン画面へ誘導し、IDやパスワードを狙うことがある - 社内では、無断設置されたAPも管理外の入口としてリスクになる - SG試験では、**偽のAPに接続させる攻撃**かどうかで判断する ## 確認問題 無線LANのなりすましアクセスポイントに関する説明として、最も適切なものはどれか。 ア. 正規のアクセスポイントに似せたSSIDを使い、利用者を偽の無線LANへ接続させる。 イ. アクセスポイントのSSIDを端末の一覧に表示されにくくする。 ウ. 同じ無線LANに接続している端末同士の通信を遮断する。 エ. 登録済みのMACアドレスをもつ端末だけを接続可能にする。
回答と解説 正解は **ア** です。 なりすましアクセスポイントは、正規のアクセスポイントに見せかけて、利用者を偽の無線LANへ接続させる攻撃です。 イはSSIDステルス、ウはプライバシーセパレーター、エはMACアドレスフィルタリングの説明です。 SG試験では、**SSIDを隠す設定**なのか、**偽のSSIDで利用者を誘導する攻撃**なのかを切り分けます。