ホテルのWi-Fiは地雷原か？MSが警告する「CaptiveCrunch」の脅威とエンジニアの防衛策

深夜のホテル、ようやくチェックインを済ませてノートPCを開き、VPNを繋ぐ前に「とりあえず」でホテルのWi-Fiに接続する。多くのエンジニアが日常的に行っているこの何気ないルーチンが、今、極めて危険な賭けに変わろうとしている。マイクロソフトが米国時間7月31日に発した緊急警告は、単なる「注意喚起」のレベルを超えている。ロシアの脅威アクター「Storm-2945」が仕掛けるキャンペーン「CaptiveCrunch」は、我々が疑いもせず利用している「キャプティブポータル」そのものを攻撃の踏み台にしているからだ。

キャプティブポータルとは、ホテルや会議センターのWi-Fiに接続した際、ブラウザ上に表示される認証や利用規約への同意を求めるあのページのことだ。Storm-2945は、このネットワークゲートウェイを侵害し、トラフィックを操作することで、ユーザーを巧妙に偽のMicrosoft 365サインインページへとリダイレクトさせる。特筆すべきは、これが従来のフィッシングメールのように「メールを開かせる」というステップを必要としない点だ。ネットワークレベルで介入されるため、ユーザーは「Wi-Fiに繋ぐ」という正常な操作をしているだけで、攻撃者の土俵に引きずり込まれる。これは、Webアプリケーションの脆弱性を突くような、極めて受動的かつ不可避な攻撃手法と言える。

マイクロソフトの調査によれば、この活動は5月初旬から継続しており、WindowsだけでなくAndroidデバイスも標的となっている。特にAndroid向けには「ClickFix」と呼ばれる偽の修正指示ページを表示し、悪意のあるAPKファイルをインストールさせるという、ソーシャルエンジニアリングと技術的介入を組み合わせた極めて悪質なフローが確認されている。我々エンジニアが「自分はリテラシーが高いから大丈夫」と高を括っている間に、インフラそのものが汚染されているという事実は、セキュリティの前提条件を根本から覆すものだ。

今回の事案で最も戦慄すべきは、攻撃者がこのキャンペーンの遂行に「AI」を積極的に活用しているという点だ。Microsoft Threat IntelligenceがAnthropicやOpenAIの協力を得て分析した結果、Storm-2945は攻撃の自動化やフィッシングページの生成、さらには標的の選定においてAIを駆使していることが判明した。かつては手作業で構築されていた偽サイトも、今やAIによってリアルタイムに、かつ言語的な違和感なく生成される。これにより、攻撃のコストは劇的に下がり、一方で成功率は飛躍的に向上している。

我々エンジニアが直面しているのは、もはや「人間対人間」のセキュリティ戦ではない。AIというレバレッジを手にした攻撃者に対し、我々は「AIを実装した防御」で対抗しなければならないという、終わりのない軍拡競争の最前線に立たされている。今回の攻撃手法は、特定の脆弱性を突くというよりも、ユーザーの「利便性への依存」を突くものだ。キャプティブポータルという、インターネット接続の入り口で発生するこの攻撃は、OSのパッチ適用やアンチウイルスソフトの導入といった従来の防御策をすり抜けてしまう。

以下の表は、今回の脅威が従来の攻撃とどう異なるのか、その構造的な違いを整理したものだ。

この状況下で、我々エンジニアが取るべき対策は明確だ。まず、「公共のWi-Fiは信頼できない」という前提を、単なるスローガンではなく「技術的な制約」としてシステム設計に組み込むことだ。具体的には、信頼できないネットワーク環境下では、常に常時接続型のVPN（Always-on VPN）を強制し、デバイスの認証情報をネットワーク層から隔離するゼロトラストアーキテクチャの徹底が不可欠である。また、ブラウザの拡張機能やセキュリティソフトによるフィッシング対策を過信せず、ハードウェアキーを用いた多要素認証（MFA）の導入を、個人のレベルから組織のレベルまで強制的に推し進める必要がある。

今回の警告は、我々エンジニアに対して「利便性とセキュリティのトレードオフ」という、古くて新しい問いを突きつけている。私たちはこれまで、どこでも仕事ができる環境を構築するために、ネットワークの透過性を追求してきた。しかし、その透過性が攻撃者にとっての「透明な高速道路」として悪用されているのが現状だ。ホテルのWi-Fiを使わないという選択肢は、現代のモバイルワークにおいて現実的ではないかもしれない。しかし、少なくとも「接続した瞬間に、自分のデバイスは敵対的なネットワークに晒されている」という危機感を、OSのカーネルレベルで意識し続ける必要がある。

明日から我々が取るべき具体的なアクションは、まず自身のデバイスのネットワーク設定を見直すことだ。公衆Wi-Fi接続時には、自動接続をオフにし、必ず信頼できるVPNを経由させる。また、ブラウザのキャッシュやクッキーを定期的にクリアし、サインイン状態を保持しない運用を徹底する。これらは地味で面倒な作業だが、攻撃者がAIを使って効率化を図る中で、我々が対抗できるのは、こうした「泥臭い防御の積み重ね」しかない。

最後に、我々エンジニア自身に問いかけたい。私たちは、AIがもたらす生産性の向上にばかり目を奪われ、その裏側でAIが「攻撃の民主化」を推し進めている現実に、どれだけ真剣に向き合っているだろうか。セキュリティ予算を「コスト」と捉え、時代遅れのファイアウォールに固執する経営層を説得し、真にレジリエントなインフラを構築する責任は、現場の我々にある。次の攻撃が、あなたのPCを、あるいはあなたの組織の認証情報を標的にしたとき、あなたは「想定内」として対応できる準備ができているだろうか。技術の進化が速い今、我々に求められているのは、新しいツールを使いこなす能力以上に、崩れ去る「信頼の前提」を再定義する覚悟ではないだろうか。