結論
2026年8月、Microsoftの脅威分析チームにより、ホテルの無料Wi-Fiやキャプティブポータル（接続認証画面）を乗っ取り、偽のソフトウェアアップデートを介して宿泊客の端末に監視型マルウェアを感染させる攻撃キャンペーン「CaptiveCrunch」が確認されたことが発表されました。宿泊客の端末が侵害された場合、ホテル側の安全配慮義務や情報管理責任が問われ、ブランド毀損と莫大な損害賠償リスクに直面します。ホテルはWi-Fiを単なる「無料アメニティ」ではなく「経営リスク管理対象」と再定義し、ネットワーク分離と改ざん検知を組み込んだ運用SOPを速やかに構築することが不可欠です。
なぜ今、ホテルのWi-Fiがサイバー攻撃の標的にされているのか？
【事実（Fact）】
Microsoftが2026年8月に公開したセキュリティレポートにおいて、ホテルなどの宿泊施設や公共施設が提供するWi-Fiネットワークを標的にしたサイバー攻撃活動「CaptiveCrunch（攻撃グループ：Storm-2945）」が検出されたことが明かされました。この攻撃では、ネットワークのトラフィックが不正にリダイレクト（転送）され、宿泊客がキャプティブポータル（※注1）経由でWi-Fiに接続する際やWebブラウザを利用している最中に「ブラウザのアップデートが必要です」といった偽の警告を表示させます。読者がこれに同意して更新ファイルをダウンロードすると、「CornFlake」と呼ばれるRAT（※注2）に感染し、Webカメラの映像やマイク音声、キーボードの入力履歴（パスワードやクレジットカード情報を含む）が第三者に奪取される仕組みです。
※注1：キャプティブポータル（Captive Portal）とは、ホテルやカフェなどの公衆Wi-Fiに接続した際、最初にWebブラウザ上に自動表示されるログイン画面や利用規約の同意画面のこと。
※注2：RAT（Remote Access Trojan）とは、感染した端末を外部から遠隔操作できるようにする悪意あるプログラム（マルウェア）のこと。
【執筆者の意見・考察（Opinion）】
これまでホテルのWi-Fiセキュリティと言えば「通信速度が遅い」「パスワードが部屋ごとに設定されていない」といった顧客満足度（NPS）の文脈で語られることが大半でした。しかし、今回の報告は「ホテルが提供している通信インフラそのものが、国家レベルのサイバー工作員や犯罪組織のインプラント基盤として悪用されている」という重大な警告です。特にビジネス出張者やVVIP層が多く宿泊する都市型ホテルや高級リゾートにおいて、この脆弱性を放置することは経営上の致命傷となり得ます。
自施設のITインフラやDXツールの導入状況を定期的にチェックする姿勢は、他の宿泊設備運用とも共通しています。自社のIT投資やDXツールの見直し手順については、過去記事「【2026年版】宿泊DXツール疲れを解消！ROI重視の選定手順」でも詳しく解説していますので、併せてご確認ください。
編集長！ホテルのWi-Fiに繋いだだけで、お客様のパソコンが盗撮されたり画面を監視されたりする攻撃が実際に起きているんですか！？
そうなんだ。2026年8月にMicrosoftが公表したニュースでも、ホテルネットワーク機器の脆弱性が狙われた事例が報告されている。もはや「Wi-Fiは繋がればOK」という時代は完全に終わったと言えるね。
ホテルWi-Fiが乗っ取られると具体的にどのようなリスクが生じるのか？
1. 顧客企業の機密情報漏洩と損害賠償リスク
観光庁の「宿泊旅行統計調査」によれば、都市部ホテルの平日の宿泊客のうち約4〜6割をビジネス客が占めています。ビジネス客が客室Wi-Fiを利用して自社の基幹システムやクラウドストレージ（SaaS）にアクセスした際、ログイン情報や企業の機密データが窃取された場合、原因を作ったホテル側に対して安全配慮義務違反や過失責任に基づく賠償請求がなされる可能性があります。
2. 業界構造の死角：「インフラ保守の丸投げ」と「機器の老朽化」
ホテル業界におけるネットワーク構造の最大の問題点は、「設置時の初期投資以降、ファームウェアの更新やセキュリティ監査が放置されがちである」という点にあります。多くのホテルでは、開業時に導入したルーターやアクセスポイント、キャプティブポータル機器の運用を外部のITベンダーに一任しており、ベンダー側も月額保守費用を抑えるために積極的な脆弱性パッチ適用を行っていないケースが散見されます。この構造的隙間が、ハッカーにとって「最も侵入しやすい絶好の標的」となっているのです。
3. ブランドイメージの致命的失墜
SNSや口コミサイトで「このホテルのWi-Fiに繋いだらウイルスに感染した」「セキュリティ警告が出た」という情報が拡散された場合、その打ち消しには莫大なコストと時間を要します。特にレピュテーション（評判）を重んじる外資系ブランドやハイエンドホテルにとって、ネットワークの不祥事は稼働率に直結する死活問題です。
ホテルWi-Fiセキュリティ対策の選択肢と比較
ホテルのWi-Fi環境を保護・刷新するための主要なアプローチを比較表にまとめました。コスト、安全性、現場の運用負荷を総合的に評価して選定する必要があります。
| 対策レベル | 主な特徴・仕組み | 導入コスト | 安全性（対CaptiveCrunch） | 現場・ゲストの運用負荷 |
|---|---|---|---|---|
| レベル1：従来のまま放置 | 0円 | 非常に危険（改ざんや盗聴に無防備） | 負荷なし（ただし事故発生時に甚大） | |
| レベル2：DNSフィルタリング＋UTM導入 | 中程度（月額1万〜3万円/台） | 中〜高（既知の悪意のある通信を遮断） | 低い（システム側で自動処理） | |
| level3：セキュアキャプティブポータル＋VLAN＋常時監視 | 高（初期構築＋月額保守） | 極めて高い（中間者攻撃・乗っ取りを防止） | 中程度（初期導入時に設定が必要） |
セキュリティ強化を阻むコストや運用上のデメリットとは？
ネットワークセキュリティの強化は重要であるものの、導入にあたっては以下のデメリットや課題が存在します。これらを考慮せずに導入を進めると現場のオペレーションが破綻します。
1. 初期導入費用と定常的な保守運用コスト
全館のアクセスポイント更新やセキュアなキャプティブポータルサーバーの構築には、客室数100室のホテルで数百万円規模の設備投資が必要となる場合があります。また、最新の脅威情報に対応するためのUTM（統合脅威管理）ライセンス更新料が毎年発生します。
2. ゲストからの「接続できない」問い合わせの増加
セキュリティレベルを引き上げ（例：古い暗号化方式の排除や厳格な証明書チェック）、一部の古いスマートフォンや特殊な設定をしている端末がWi-Fiに接続できなくなるケースが発生します。これによりフロントや客室対応スタッフへの電話が増加し、現場の負担が増すリスクがあります。
3. 通信速度の低下リスク
通信ログの監視やUTMでのパケットディープインスペクション（データの中身検査）を過度に行うと、時間帯によってはWi-Fiの通信速度が低下し、「Wi-Fiが遅い」という宿泊客からの不満につながる恐れがあります。
セキュリティを厳重にしすぎると、お客様から「Wi-Fiに繋がらないんだけど！」ってフロントに苦情が殺到しそうで心配です……。
まさにそこがポイントだね。だからこそ、ハードウェアの強化だけでなく、フロントの案内POPやトラブルシューティングのSOP（手順書）をセットで準備することが不可欠なんだよ。
現場で即実践できるWi-Fiセキュリティ防衛の3ステップSOPとは？
サイバー攻撃から宿泊客とホテルを守るため、ITの専門知識がない現場スタッフでも運用できる3ステップのSOP（標準作業手順）を定義します。
Step 1：インフラの基本設定見直し（ベンダーへの監査指示）
まず、現在契約しているネットワーク保守ベンダーに対し、以下の4項目を直ちに確認・修正するよう指示を出します。
- キャプティブポータルのHTTPS化：認証画面が暗号化通信（HTTPS）になっているか確認する。HTTPのままだと画面の改ざんが容易に行われます。
- プライバシーセパレーター（VLAN）の有効化：同じWi-Fiに接続している宿泊客同士の端末が通信できないよう、端末間通信を遮断する設定を徹底する。
- ファームウェアの最新化：ルーターやアクセスポイントの脆弱性パッチが適応されているか確認する。
- 管理画面アクセスの制限：ルーターの管理画面へのアクセスが外部および宿泊客用Wi-Fiから遮断されているか確認する。
Step 2：館内案内・案内POPでの注意喚起（啓発SOP）
技術的対策に加え、人間系の防御ラインを構築します。客室内のインフォメーションブックやテレビ画面、Wi-Fi接続案内用紙に以下の注意書きを明記します。
【館内案内記載テキスト例】
「当館のWi-Fi接続中に、Webブラウザ上で『ソフトウェアの更新』や『ブラウザのアップデート』を促す画面が表示された場合、絶対に『更新・同意』ボタンを押さないでください。当館のWi-Fiシステムが接続時にソフトウェアのダウンロードを求めることはございません。」
Step 3：異常発生時の一次対応フローの明確化
宿泊客から「Wi-Fiに繋いだら変なファイルがダウンロードされた」「警告画面が出る」と言われた場合のフロント対応手順をマニュアル化します。
- 該当客室の接続切り離し：お客様に即座にWi-Fiをオフにしていただく。
- 発生日時と部屋番号の記録：どのアクセスポイントで発生したかをログから特定できるよう、日時と客室番号を記録する。
- ネットワークベンダーへの緊急連絡：ベンダーに連絡し、キャプティブポータルの改ざんの有無およびDNSログの確認を依頼する。
不審者の館内侵入や防犯対策全般については、ネットワークセキュリティと並行して物理セキュリティも強化する必要があります。物理セキュリティの自動化・高度化については、過去記事「ホテル客室の部外者トラブル激減！AI人流検知×SOPでカスハラを防ぐ」をご参照ください。
よくある質問（FAQ）
Q1. CaptiveCrunch（キャプティブクランチ）とはどのようなサイバー攻撃ですか？
2026年8月にMicrosoftが発表した攻撃手法で、ホテルや公共施設のWi-Fiネットワークを改ざん・乗っ取り、接続認証画面（キャプティブポータル）などで「ブラウザの更新が必要です」といった偽の画面を表示してマルウェア（CornFlake）を感染させる攻撃です。
Q2. パスワード付きのWi-Fi（WPA2/WPA3）なら安全ですか？
いいえ、安心できません。客室に掲示されている暗号化キー（パスワード）が全客室で共通の場合、同じWi-Fiに接続している悪意ある第三者が通信を盗聴したり、偽のアクセスポイントを設置してネットワークを乗っ取ったりすることが可能です。
Q3. ホテル側が攻撃を受けた場合、法的責任が発生しますか？
セキュリティ対策を怠り、客室Wi-Fi経由で宿泊客の重大なデータ漏洩や被害が発生した場合、安全配慮義務違反や過失による損害賠償責任を問われるリスクがあります。特に適切なファームウェア更新を行っていなかった場合は過失と見なされやすくなります。
Q4. セキュリティ強化のためにまず取り組むべき費用のかからない対策は？
Wi-Fi保守ベンダーに連絡し、「プライバシーセパレーター（端末間通信遮断）の設定確認」「キャプティブポータルのHTTPS化」「ルーター等のファームウェア最新化」を依頼することです。これらは既存の契約内で対応可能な場合が多いです。
Q5. 宿泊客から「Wi-Fi接続時にセキュリティ警告が出る」と言われたらどうすべきですか？
直ちにその客室でのWi-Fi利用を停止していただき、ネットワーク機器の証明書の期限切れ、または悪意のある第三者による中間者攻撃（Man-in-the-Middle）が行われていないか、保守ベンダーに緊急調査を依頼してください。
Q6. VPNを使っている宿泊客であれば被害は防げますか？
完全なトンネル化を行うVPN（常時接続型VPN）を利用している宿泊客の場合、暗号化通信により被害を防ぐことが可能です。ただし、Wi-Fi接続時の認証（キャプティブポータル）を通す段階で偽画面に騙されてファイルをダウンロードしてしまった場合は、VPNを使っていても感染する危険があります。
まとめ：客室Wi-Fiの「安全」は2026年の最重要ホスピタリティ
Wi-Fiは今や水道や電気と同じく、ホテルにおける最重要な生活・業務インフラです。2026年に発覚した「CaptiveCrunch」のような高度なサイバー攻撃の登場により、単に「繋がる」だけでは客室インフラとして不十分であることが明白になりました。
セキュリティ対策の第一歩は、現状のネットワーク構造の死角を認識し、ITベンダー任せにせずホテル側からセキュリティ基準を提示することです。本日提示した3ステップのSOPを導入し、顧客の安全とホテルのブランド価値を守る堅牢なネットワーク運用を実現してください。
コメント