不正アクセスポイント(フセイアクセスポイント)とは | 意味や読み方など丁寧でわかりやすい用語解説

不正アクセスポイントとは、正規の管理者によって設置・管理されていない無線LANアクセスポイントの総称である。これは、攻撃者が利用者の情報窃取やネットワーク侵入を目的として意図的に設置する場合もあれば、誤った設定や管理の不備によって意図せず発生する場合もある。システムやネットワークのセキュリティを考える上で、不正アクセスポイントは外部からの攻撃の足がかりとなったり、内部からの情報漏洩を招いたりする重大な脅威として認識される。

不正アクセスポイントは大きく二つの種類に分類できる。一つ目は、攻撃者が利用者の情報窃取やネットワーク侵入を目的として意図的に設置する「悪意のある不正アクセスポイント（Rogue Access Point）」である。これは、公共の場所で「Free Wi-Fi」といった正規のサービス名を装ったり、企業の正規SSID（Service Set Identifier）と全く同じ名称にしたりして、利用者を誘い込む手口が一般的である。利用者が正規のアクセスポイントと誤認して接続してしまうと、その後の通信が攻撃者に傍受されたり、悪質なウェブサイトへ誘導されたりする危険に晒される。この種の不正アクセスポイントは、多くの場合、認証を不要とするか、非常に脆弱な認証設定しか持たないため、利用者は安易に接続しがちである。

二つ目は、悪意はないものの、管理されていない状態で存在してしまう「偶発的な不正アクセスポイント」である。これは、従業員が個人的に持ち込んだ無線LANルーターを企業ネットワークに接続してしまったり、古い無線LAN機器が放置され、セキュリティ設定が不十分なまま稼働していたりするケースが該当する。このような偶発的な不正アクセスポイントも、企業ネットワークに直接接続されている場合、攻撃者にとって格好の侵入経路となる。設定が甘く、最新のセキュリティパッチが適用されていない脆弱な機器であれば、そこを突破されることで、内部ネットワーク全体が危険に晒される可能性がある。シャドーITの一種としても捉えられ、組織が把握していないIT資産は、セキュリティ管理の目が届かず、結果として深刻な脆弱性となり得る。

不正アクセスポイントがもたらす具体的な脅威は多岐にわたる。最も一般的なのは「中間者攻撃（Man-in-the-Middle, MitM）」である。利用者が不正アクセスポイントに接続すると、その通信は全て攻撃者を経由することになるため、送受信されるデータは容易に傍受されてしまう。これにより、ウェブサイトの認証情報（IDやパスワード）、クレジットカード情報、個人を特定できる情報、企業の機密データなどが窃取される危険がある。また、攻撃者は傍受したデータを改ざんして、利用者が意図しない情報を送信させたり、悪質なファイルをダウンロードさせたりすることも可能である。特に、HTTPS通信で保護されているはずのウェブサイトであっても、「SSL Stripping」と呼ばれる手法を用いることで、あたかも安全な通信であるかのように見せかけつつ、実際には暗号化されていないHTTP通信にダウングレードさせ、データを傍受する手口も存在する。

さらに、不正アクセスポイントを通じてマルウェアに感染させられるリスクも高い。利用者が不正なアクセスポイントに接続中に、攻撃者が用意したウェブサイトに強制的に誘導されたり、正規のダウンロードサイトに見せかけた偽サイトからウイルスやランサムウェアなどの悪質なソフトウェアをダウンロードさせられたりする可能性がある。これにより、利用者のデバイスが乗っ取られたり、企業ネットワーク全体にマルウェアが拡散されたりする事態に発展しかねない。

組織にとって、不正アクセスポイントは外部からの直接的な侵入経路となるだけでなく、内部ネットワークへの足がかりにもなり得る。例えば、企業内部に設置された不正アクセスポイントが、正規のネットワークと物理的または論理的に接続されている場合、外部の攻撃者は不正アクセスポイント経由で内部ネットワークに侵入し、機密情報を窃取したり、システムを破壊したりすることが可能となる。ネットワークのセグメンテーションが不十分であれば、一つの不正アクセスポイントからの侵入が、組織全体のシステムに影響を与える可能性がある。また、単にWi-Fiネットワークを過負荷にして通信を妨害するサービス妨害（DoS）攻撃の標的とされることもある。

システムエンジニアを目指す上で、このような不正アクセスポイントの脅威とその対策に関する知識は不可欠である。組織側の対策としては、まず「無線侵入検知/防御システム（WIPS: Wireless Intrusion Prevention System）」の導入が効果的である。WIPSは、企業が管理する無線LAN環境を常時監視し、正規のアクセスポイント以外の電波を検知すると、それを不正アクセスポイントとして識別し、管理者に警告を発したり、自動的に接続を遮断したりする機能を持つ。これにより、組織が把握していない不正な無線LAN機器の存在を早期に発見し、対処できる。

次に、物理的なセキュリティ対策も重要である。正規のアクセスポイントは、物理的に安全な場所に設置し、不正なアクセスポイントが設置されにくいよう、オフィスビルやデータセンターなどの物理的なセキュリティを強化する必要がある。また、従業員に対しては、組織の許可なく個人的なデバイスやサービスを業務に使用する「シャドーIT」の危険性を教育し、私物の無線LANルーターなどを企業ネットワークに接続しないよう徹底させる必要がある。

ネットワーク設計の段階で、「ネットワークアクセス制御（NAC: Network Access Control）」を導入することも有効である。NACは、デバイスがネットワークに接続する際に、そのデバイスが正規のものであるか、セキュリティポリシーに準拠しているかなどを検証し、許可されたデバイスのみにアクセスを許可する仕組みである。これにより、不正なデバイスがネットワークに接続されるのを防ぐことができる。さらに、正規のWi-Fiネットワークにおいても、強固な認証プロトコル（例: WPA2-EnterpriseやWPA3）と暗号化方式を適用し、ゲストWi-Fiと社内Wi-FiをVLANなどを用いて厳密に分離することで、不正なアクセスポイント経由での内部ネットワークへの侵入リスクを低減できる。定期的な無線LAN環境のセキュリティ監査や脆弱性診断も欠かせない。

利用者側でできる対策としては、公共のWi-Fiを利用する際には、提供元が信頼できることを必ず確認し、不審なSSIDには接続しないことが基本である。特に、個人情報や機密情報を入力するようなオンラインサービスを利用する際は、公共のWi-Fiではなく、モバイルデータ通信を利用したり、信頼できるVPN（Virtual Private Network）サービスを介したりするなど、通信経路のセキュリティを確保することが重要である。ウェブサイトのアドレスが「https://」で始まっているか、鍵マークが表示されているかを確認することも、中間者攻撃を防ぐための基本的な習慣である。また、利用しているOSやアプリケーションのセキュリティパッチを常に最新の状態に保ち、ウイルス対策ソフトウェアを導入しておくことも、マルウェア感染のリスクを減らす上で非常に有効である。

これらの対策を総合的に講じることで、不正アクセスポイントによるセキュリティリスクを大幅に低減し、安全なネットワーク環境を維持することが可能となる。システムエンジニアは、組織のITインフラを守る上で、不正アクセスポイントの脅威と対策に関する深い理解が求められる。