海外フリーWiFiの危険性と安全な使い方｜セキュリティリスクと具体的な対策

2026年7月9日2026年7月11日

公開: 2026年7月9日更新: 2026年7月11日40代出張族ビジネスマン・ケン

※この記事にはアフィリエイトリンクが含まれています。

この記事にはプロモーションが含まれています。

フリーWiFiのセキュリティリスク基礎知識

海外フリーWiFiの主なリスクは、通信の盗聴・なりすましアクセスポイント・中間者攻撃の3種類です。

実際に使ってみると、空港やホテルのWiFiを何も考えずに使い続けていた時期が、私にも正直あります。転機は3年前、シンガポールのチャンギ空港でセキュリティ系のIT担当者と同席したとき。「今この空港で何人騙されてるか、可視化したら震えますよ」と言われて、帰国後すぐに対策を調べ直しました。以来、フリーWiFiの扱い方はまるごと変えています。

まず、攻撃の種類を正確に把握しておくことが重要です。「なんとなく怖い」では対策が中途半端になります。

なりすましアクセスポイント（Evil Twin攻撃）とは

Evil Twin攻撃とは、本物のWiFiアクセスポイントと同じSSID（ネットワーク名）を使った偽APを攻撃者が設置し、利用者を意図的に接続させる攻撃手法のことです。

具体的なイメージはこうです。スターバックスの店内に「Starbucks_WiFi」という正規のAPがあるとします。攻撃者が同じ名前「Starbucks_WiFi」のAPをすぐ近くに立ち上げますね。あなたのスマホやPCは、信号強度が強い方を自動的に優先して接続します。 攻撃者は意図的に電波を強くすることができるので、気づかないうちに偽APに接続されますね。

空港でよく見かける「Airport_Free_WiFi」「Free_Airport_WiFi」といった名称は、攻撃者が世界中で使い回している鉄板ネーミングです。正規のAPが存在しなくても、「いかにも公式っぽい名前」を設定するだけで接続してくれる人がいます。

ポイント:

スマホは「以前接続したSSIDに自動接続」する設定がデフォルトで有効なことが多い
同名のSSIDが複数存在していても、端末は警告を出さない
設置コストはほぼゼロ。ノートPCと市販のルーターがあれば誰でも実行できる

中間者攻撃（MITM攻撃）とは

中間者攻撃（MITM攻撃）とは、通信しているユーザーとサーバーの間に攻撃者が割り込み、双方に気づかれないまま通信内容を盗み見・改ざんする攻撃手法のことです。

構図はシンプルです。

あなた ↔ 攻撃者 ↔ Webサーバー

あなたは「サーバーと直接通信している」と思っていますが、実際には攻撃者を経由しています。攻撃者はすべての通信をリアルタイムで閲覧できます。

「HTTPSなら安全では？」と思いがちですが、完全には防げないケースがあります。SSL剥奪攻撃（SSLストリッピング）と呼ばれる手法では、攻撃者があなたとの通信をHTTPに降格させたまま、サーバーとはHTTPSで通信します。URLバーをよく見ていないと気づけません。ブラウザの警告が出ることもありますが、「詳細設定」から無視して進んでしまう人は少なくありません。

注意:

アドレスバーの「https://」と鍵マークを毎回確認する習慣が必要です
「証明書エラー」の警告は絶対に無視しないこと
公共WiFi上でのHTTP通信は、暗号化ゼロの状態と同義です

盗聴・パケットキャプチャとは

盗聴・パケットキャプチャとは、同一ネットワーク内を流れるデータパケットを第三者がキャプチャ（取得）し、通信内容を解析する行為のことです。

なぜそうなるのでしょうか？

使い始めて数日で、フリーWiFiの本質的な問題はここにあります。同じアクセスポイントに接続している全員が、同じネットワーク上にいますね。暗号化されていない通信は、専用ソフト（Wiresharkなど、無償で入手可能）を使えば同じネットワーク内の誰でも見ることがいけます。

抜かれる情報の代表例を挙げます。

ログインID・パスワード（HTTP通信のフォーム入力）
セッションCookie（ログイン状態を維持するトークン）
閲覧しているURLの履歴
メールの送受信内容（暗号化設定によっては平文で流れます）

セッションCookieが盗まれると、パスワードを知らなくてもそのアカウントにログインできます。「ログインしていないから大丈夫」は通用しません。

攻撃が成立する技術的なメカニズム

フリーWiFiが危険なのは、通信経路の暗号化が不十分なまま共有ネットワークを使う構造にあります。「なんとなく怖い」ではなく、仕組みを理解すると対策の優先順位が変わります。

WPA2/WPA3と暗号化の違い

ポイントは「誰が鍵を持っているか」です。

実際に使ってみると、家庭用ルーターで使うWPA2は、接続者全員が同じ共有鍵（パスワード）を持ちます。つまり、同じカフェWiFiに接続している見知らぬ人も、原理上はあなたの通信を復号できる状態にあります。

WPA3では個別セッション鍵（SAE方式）を採用しており、この問題が解消されています。ただし、街中のフリーWiFiでWPA3が導入されている場所はまだ少数派です。

最も危険なのはオープンネットワーク、つまりパスワードなしの接続です。この場合、通信は事実上の平文と思います。Wiresharkのような無料ツールで誰でも傍受いけます。

ポイント:

パスワードあり（WPA2）でも全接続者が同一鍵を共有している
WPA3は個別鍵なので安全性が高いが、普及率はまだ低い
パスワードなし（オープン）は最も危険。暗号化ゼロと考えていい

DNSスプーフィングの仕組み

DNSスプーフィングとは、インターネット上の「住所変換の仕組み（DNS）」を書き換えて、ユーザーを偽サイトへ誘導する攻撃手法のことです。

仕組みはシンプルです。

あなたがブラウザに「www.yourbank.com」と入力する
端末がDNSサーバーに「このドメインのIPアドレスを教えて」と問い合わせる
攻撃者が同じネットワーク内からDNS応答を偽装する
端末が偽のIPアドレスを受け取り、攻撃者の用意したフィッシングサイトへ接続する

本物そっくりのサイトが表示されるため、URLをよく確認しないと気づけません。HTTPSなしのサイトでは特に有効な手口です。

SSLストリッピングとは

SSLストリッピングとは、ブラウザとサーバー間のHTTPS接続を途中でHTTPに強制的に差し替える攻撃のことです。

流れはこうです。

あなたが「
本来サーバーはHTTPSへリダイレクトするはずが、攻撃者が中間で通信を横取りする
攻撃者はサーバーとはHTTPSで通信しつつ、あなたとはHTTPで通信する
あなたの画面には「鍵マーク（🔒）なし」のページが表示される

ユーザーが気づきにくい最大の理由は、サイトが正常に表示されるからです。URLバーを見る習慣がなければ、暗号化が外れたことに気づけません。

注意:

URLバーが「http://」になっていないか、接続のたびに確認する習慣が不可欠です
特にログイン画面・決済画面は必ずhttpsを確認してください
ブラウザの警告（「保護されていない通信」）は絶対に無視しないこと

国内外のサイバー犯罪データで見るリスクの実態

警察庁の統計では、不正アクセス被害の発生経路として公衆無線LANが繰り返し言及されています。「なんとなく危ない気がする」では行動は変わりません。数字で見ると話が変わります。

警察庁・IPAの統計から読み取れること

警察庁「令和5年におけるサイバー空間をめぐる脅威の情勢等について」によると、不正アクセス禁止法違反の検挙件数は2023年に522件（前年比増）を記録しています。そのうち「識別符号の窃用」、つまりID・パスワードの盗用が大半を占めています。

IPA「情報セキュリティ白書2023」でも、公衆無線LANは「なりすましアクセスポイント」のリスク事例として毎年掲載されています。「企業の脅威」の話ではなく、個人ユーザーの話として明示されている点が見逃せません。

ポイント:

不正アクセスの主な手口はパスワード盗用（警察庁・令和5年統計）
IPAは公衆WiFiを「個人向けセキュリティ脅威」のカテゴリで分類
被害の多くは「気づかないまま情報を抜かれた」ケースで、発覚が遅れる

私の場合は、> 💬 著者コメント: 年間50回以上フライトして、ラウンジのWiFiも空港のフリーWiFiもずっと使ってきました。「今まで大丈夫だった」は根拠になりません。被害に遭っても気づかないのがこのリスクの本質です。

海外で特にリスクが高まる理由

国内より海外のほうがリスクが高い理由は、3つあります。

1. 偽SSIDを見抜きにくい

「Narita_Airport_Free_WiFi」なら日本語話者はおかしいと気づけます。でも「CDG_Airport_WiFi」と「CDG_Aeroport_WiFi」の違いを、パリ初訪問で即座に判断できる人は多くありません。言語の壁が、偽SSIDの見分けを構造的に困難にしています。

2. ネットワーク管理の規制に国際差がある

日本では総務省の電波法・電気通信事業法のもと、公衆WiFi提供事業者に一定の管理義務があります。一方、規制が緩い国では誰でも「空港風のSSID」を流せる環境が実質的に放置されています。

3. 旅行者は狙いやすいターゲットです

土地勘がなく、接続先の正しさを確認する術がない
銀行アプリや予約サイトへのアクセス頻度が高い
急いでいる（乗り継ぎ中など）ので確認が雑になる

注意:

「ホテル公式WiFi」と書いてあるSSIDが、ロビーに置かれた第三者の機器である可能性がある
海外でVPNアプリを初めてインストールしようとしても、そのダウンロード自体が危ない回線上になる

場所別のリスクレベル比較

「どこが一番危ないか」を整理します。

場所	リスクレベル	主な理由
空港（保安区域外）	★★★★★	不特定多数、偽AP設置が容易
カフェ・ファストフード	★★★★☆	パスワードが掲示されており誰でも同一ネットワーク
ホテル客室WiFi	★★★☆☆	管理主体が明確だが、機器の脆弱性が放置されやすい
空港ラウンジ	★★★☆☆	「安全そう」という油断が生まれやすい
ショッピングモール	★★☆☆☆	運営者が明確だが、接続者数が多くパケット盗聴リスクあり

ホテルのWiFiについては補足が必要です。「ホテルだから安全」と思っている方が多いのですが、私が同僚から聞いた話では、東南アジアの中級ホテルでルーターのファームウェアが数年間未更新だったケースがあったそうです。（購入前に知っておきたい点です）管理主体が明確なことと、セキュリティが担保されていることは別の話です。

空港ラウンジも同様です。ゴールドカードで入れるラウンジのWiFiは「一般フロアより安全」という保証はどこにもありません。接続先が同じインターネットである以上、暗号化されていない通信は傍受できます。

ポイント:

リスクが低い場所でも「暗号化されていない通信は傍受可能」という事実は変わらない
場所でリスクを判断するより、通信経路を自分で暗号化する習慣のほうが確実です
VPNを常時ONにすれば、この表のどの行も気にしなくて済みます

初心者が陥りがちなよくある誤解

「HTTPSだから安全」「ホテルのWiFiは管理されているから大丈夫」という認識は、どちらも不正確です。誤解が残ったまま対策なしで使い続けるのが、いちばん危ないパターンです。

「HTTPSなら盗聴されない」は半分だけ正しい

HTTPSとは、ブラウザとサーバー間の通信内容を暗号化するプロトコルのことです。

確かに、通信の「中身」は暗号化されます。ところが、どのドメインに接続しているかは暗号化されません。つまり、同じネットワークにいる攻撃者には「この人が今〇〇銀行のサイトに接続している」という事実は筒抜けです。

さらに問題になるのがSSLストリッピング攻撃です。

SSLストリッピングとは、通信経路上で攻撃者がHTTPSをHTTPに強制的に「剥がす」手法のことです。あなたのブラウザはHTTPで通信しているのに、見た目では気づきにくい。URLバーをいちいち確認する人は少ないですよね。

ポイント:

HTTPSはコンテンツの中身を守るが、接続先のドメインは見える
SSLストリッピング攻撃でHTTPSそのものを無効化される可能性がある
アドレスバーの「鍵マーク」を過信しない習慣をつけることが大切です

私自身、以前は「南京錠マークがついてればOK」と思っていました。同僚のシステムエンジニアに指摘されて初めて仕組みを理解した経緯があります。知らないと怖い話です。

「ホテルのWiFiは安全」という思い込みのリスク

ホテルのWiFiは管理されているから安全、というのは典型的な誤解です。

ポイントは、「管理されている」と「セキュアである」はイコールではないという点です。

実態として、ホテルのルーターが古いファームウェアのまま何年も運用されているケースは珍しくありません。チェーン系の大型ホテルならITベンダーが定期メンテをしていますが、中規模以下の独立系ホテルではルーターの設定を最初に入れたきりというケースも十分ありえます。ファームウェアが古いままでは、既知の脆弱性を突いた攻撃に対してほぼ無防備です。

もうひとつ見落とされがちなリスクが、同フロアの宿泊客による内部攻撃です。

ホテルのWiFiは基本的に同一ネットワーク上に多数の端末が接続しています。外部の攻撃者だけでなく、同じフロアに泊まっている別の宿泊客から攻撃を受ける可能性があります。「悪意のある宿泊客」なんてドラマの話でしょ、と思いたいところですが、出張先のホテルで誰が隣の部屋にいるかは知りようがありません。

注意:

ホテルのWiFiは「管理されている」だけで「安全」とは限らない
ルーターのファームウェアが古いままのリスクは外から確認できない
同一ネットワーク内の他の端末からの攻撃も想定する必要があります

「VPNを使えば完全に安全」も誤解

VPNを使えばすべて解決、という考え方も危ういです。

VPNとは、私の端末と信頼できるサーバーの間に暗号化されたトンネルを作り、第三者からの盗聴を防ぐ仕組みのことです。有効な対策であることは間違いありません。ただし、「完全に安全」かどうかは別の話です。

最大の問題は無料VPNのビジネスモデルにあります。

無料で提供している以上、どこかで収益を得なければなりません。実際、無料VPNサービスの一部がユーザーのブラウジングデータを広告会社に販売していたことは複数の調査で明らかになっています（CSIRO・2016年調査では調査対象の無料VPNアプリの38%が何らかのマルウェアを含んでいたと報告しています）。通信を守るために導入したツールが、データを流出させている皮肉な構図です。

もうひとつ盲点になりやすいのが、VPN接続前の認証ページです。

ホテルやカフェのWiFiでは、接続直後にブラウザで「利用規約に同意する」画面が表示されますよね。あの画面を通過するまで、VPNは起動できません。言い換えれば、その数十秒間はVPNの保護がない素の状態でネットワークに接続しています。（試してよかったと思う点です）この瞬間を狙った攻撃も理論上は成立します。

ポイント:

無料VPNはデータ収集・販売のリスクがある。有料の信頼できるサービスを選ぶべきです
WiFi接続直後の認証ページ表示中はVPNが機能しない
VPNは強力な対策だが「それだけで完全」という過信は禁物です

注意:

無料VPNは「タダより高いものはない」が文字通り当てはまるケースがあります
VPN接続前にパスワードや個人情報を入力しないよう注意が欠かせません

今日から実行できる安全対策の実践ガイド

使い始めて数日で、海外フリーWiFiを使う際の必須対策は、VPNの事前インストール・自動接続の無効化・HTTPSの手動確認の3点です。

「知っている」と「やっている」はまったく別の話です。このセクションでは、実際に手を動かせる手順だけを書きます。

出発前にやっておくべき設定

渡航後に慌てても遅いものが、実はほとんどです。空港に着く前に終わらせておく設定を整理します。

ポイント:

Wi-Fiの自動接続をオフにする（iOS: 設定→Wi-Fi→「自動接続」を各ネットワークごとにオフ / Android: Wi-Fi詳細設定→「自動的に接続」をオフ）
VPNアプリを事前にインストールし、接続テストまで完了させておく
ブラウザの「パスワード保存」機能をオフにする
OSとアプリを最新バージョンにアップデートする
重要なデータはクラウドではなくローカルにバックアップしておく

VPN選びについては、無料サービスは通信ログを収益化しているケースがあるため、私は有料サービス一択にしています。選定基準の詳細は別記事（/a8-022174001-review/）にまとめているので参考にしてください。

もうひとつ、私が出張の多い同僚に強くすすめられて導入したのが、モバイルルーターや海外SIMによる「自前回線」の確保です。最初は「そこまで必要か」と思いましたが、実際に使い始めると、フリーWiFiにそもそも接続しない選択が一番ストレスフリーだと実感しています。

海外対応モバイルルーター

モバイルルーターの詳細な使用感は別記事（/gmobb-review/ / /gigawifi-pocket-wifi-review/）で書いています。

フリーWiFi接続時の確認手順

接続のたびに必ず実施してほしい手順です。慣れれば30秒で終わります。

SSID名をスタッフに口頭確認する。 掲示の紙やポップは誰でも偽造できます。必ず口頭で聞いてください。
認証ページを通過するまでVPNは接続しない。 VPNより先に認証ページが表示されるのが通常の挙動です。認証完了後、すぐにVPNをオンにします。
VPNの接続状態を画面上部のアイコンで目視確認する。「繋がっているつもり」が一番危ない状態です。
URLバーの鍵マークとドメイン名を確認してからページを操作する。（購入前に知っておきたい点です） 鍵マークがない、またはドメイン名が微妙に違う場合は即座に閉じます。

絶対にやってはいけない操作

フリーWiFi接続中に行うと、リスクが一気に跳ね上がる操作があります。

注意:

インターネットバンキングへのログイン。 VPN接続中でも、私は出張中は原則使いません。操作するなら自前回線一択です。
クレジットカード情報の入力。 EC購入・ホテルの追加決済など、カード番号を打ち込む操作はすべて自前回線か帰国後に回します。
VPNなしでの社内システム・業務データへのアクセス。 情報漏洩は自分だけの問題では済まなくなります。
OSやアプリのアップデートの実行。 大容量通信は標的になりやすく、改ざんされたファイルを踏むリスクもありました。

ポイントは「やらない理由を探す」発想に切り替えることです。フリーWiFi上でどうしてもやらなければいけない操作は、実はほとんど存在しません。

利用シーン別のセキュリティ対策ガイド

空港・カフェ・ホテルの3つの場所では、リスクの性質が異なるため対策の優先順位も変わります。「フリーWiFi全般を避ける」だけでは実務が回りません。場所ごとに対策を使い分けることが、現実的な解です。

空港・空港ラウンジでの対策

空港WiFiの最大の問題は、「利用者の入れ替わりが激しく、攻撃者が紛れ込みやすい環境」である点です。搭乗口付近は特に危険です。

搭乗待ちの乗客が一箇所に集中し、全員がスマートフォンやPCを開く。攻撃者にとってこれほど効率の良い狩り場はありません。接続時間が10〜15分の短い乗り継ぎでも、セッションハイジャックは成立します。VPNを起動してから接続する手順を、反射的にできるようにしておくことが重要です。

ポイント:

搭乗口エリアでの接続は「VPN接続後のみ」を鉄則にする
空港WiFiへの自動接続をOSの設定でオフにしておく
メールの確認程度に用途を絞り、ファイルのダウンロードは避ける

ラウンジWiFiについては、誤解が多いので補足します。「管理が行き届いたラウンジのWiFiは安全」という考え方は正確ではありません。ラウンジ内にも不正アクセスポイントは設置できた。ラウンジという空間の信頼性と、WiFiネットワークの安全性は別の話です。

私は羽田のラウンジを月4〜5回利用しますが、ラウンジWiFiでやることは限られています。フライト情報の確認と、軽いメールチェックだけです。資料の確認や社内システムへのアクセスは、モバイル回線経由と決めていますね。

カフェ・商業施設での対策

カフェWiFiのリスクは、空港と性質が少し違います。長時間の滞在がセッションハイジャックを招きやすい点です。

接続時間が長くなるほど、攻撃者がセッションIDを取得して悪用できる機会が増えます。カフェで2〜3時間作業する場合、途中で一度接続を切り直す習慣が有効です。

ポイント:

1〜2時間ごとに接続をリセットする
ログインが必要なサービスは、作業終了後に必ずサインアウトする
支払いや金融操作は絶対にカフェWiFiでやらない

渡航先によってリスクレベルは明確に変わります。東南アジア・東欧・中東の一部地域では、日本国内と比べて悪意ある不正アクセスポイントの設置数が多い傾向がありました。現地のカフェや商業施設WiFiを使う場合、日本国内以上に慎重な対応が必要です。

私の場合は、テザリングとの比較でいうと、コストの問題があります。海外では大手キャリアのデータローミング料金が高額になりやすい。そこでテザリングを諦めてフリーWiFiを使うケースが多いのですが、それが裏目に出ます。

コスパで考えると、現地対応のSIMや海外WiFiルーターを準備した方が、長期的には安上がりです。1日あたりの通信コストを計算してみると、多くの場合で月数百〜千円程度の差に収まります。

ホテル滞在中の通信管理

ホテルWiFiは、空港やカフェより安全に見えます。実際、パスワードが設定されているケースは多いです。ただし、パスワードの有無とセキュリティの強度は別の話です。

あなたはどちらを選びますか？

チェックイン時に確認すべき点が1つあります。フロントまたはWiFi接続画面で、暗号化方式を確認することです。

ポイント:

WPA3：現時点で最も信頼できる方式
WPA2：許容範囲。ただし油断は禁物
WEPまたはオープン（暗号化なし）：使用を避けるか、VPN必須

多くのビジネスホテルはWPA2止まりです。WPA2でも弱点はあるため、業務データを扱う接続にはVPNを重ねることが前提になります。

客室内でのWiFiとモバイルルーターの使い分け基準は、シンプルです。メールや動画閲覧などの一般用途はホテルWiFi、業務システムや機密ファイルの操作はモバイルルーター経由と切り分けています。

モバイルルーターを1台持つだけで、この使い分けが明確にできます。私が海外出張で実際に使っているルーターの詳細な選び方と使用感は、別記事（グローバルWiFiのレビュー・GigaSkyポケット型WiFiレビュー）で詳しく書いています。機種選びで迷っている方は参考にしてみてください。

注意:

ホテルのビジネスセンターPCは使わない（キーロガーの設置リスクがある）
ルームサービスや滞在費の支払いをホテルWiFi経由で行うのは避ける
チェックアウト後、接続済みネットワーク一覧からホテルのWiFiを削除しておく

私が海外出張でフリーWiFiを使うのは、VPN接続後かつ軽いメール確認程度に限っています。それ以上の用途には、自前のモバイルルーターを持参しますね。信頼できる機材を年間何回使うかで単価を計算すると、1日50〜100円の追加コストで通信リスクをほぼゼロに可能です。（購入前に知っておきたい点です）この費用対効果は、十分に見合いた。

全商品比較表

商品名	価格帯	重量	特徴	こんな人向け	コスパ目安
出発前にやっておくべき設定	—	—	—	—	—
フリーWiFi接続時の確認手順	—	—	—	—	—
絶対にやってはいけない操作	—	—	—	—	—
空港・空港ラウンジでの対策	—	—	—	—	—
カフェ・商業施設での対策	—	—	—	—	—
ホテル滞在中の通信管理	—	—	—	—	—

※ 価格は2026年07月09日時点のものです。最新の価格はリンク先でご確認ください。

よくある質問

海外フリーWiFiは絶対に使ってはいけませんか？: 絶対NGではありません。ポイントは「何をするか」で判断することです。VPN接続後のメール確認・地図閲覧・ニュース閲覧程度であれば、リスクは許容範囲に収まります。一方、インターネットバンキング・クレジットカード情報の入力・社内システムへのアクセスはフリーWiFiでは行わないことを徹底してください。用途で線引きする習慣が重要です。
VPNを使えばフリーWiFiは安全になりますか？: 有料の信頼できるVPNを正しく使えば、リスクを大幅に低減できます。ただし「完全に安全」ではありません。VPN接続前のホテル認証ページでの情報漏洩リスクは残ります。また、無料VPNはそれ自体がデータ収集ツールになっているケースがあり、むしろリスクが増す可能性があります。有料VPN一択で、出発前に動作確認まで済ませておくことが重要です。
Evil Twin攻撃（なりすましAP）を見分ける方法はありますか？: 確実に見分けることは一般ユーザーには困難です。ポイントは「接続前の確認」に移すことです。施設のスタッフにSSID名とパスワードを口頭で確認する、掲示されているSSIDと完全一致しているかを確認する、この2つが現実的な対策です。また、Wi-Fiの自動接続をオフにしておくことで、気づかないうちに偽APへ接続されるリスクを防げます。
ホテルのWiFiは空港のフリーWiFiより安全ですか？: 「ホテル＝安全」という認識は正確ではありません。ホテルのルーターが古いファームウェアのまま運用されているケースは実在します。また、同じフロアの他の宿泊客が同一ネットワーク上にいるため、内部からのセッションハイジャックリスクも存在します。ホテルWiFiでも、VPN接続は必須です。重要な通信にはモバイルルーターを使い分けるのが確実です。
スマートフォンのモバイルデータ通信（海外ローミング）とフリーWiFi、どちらが安全ですか？: セキュリティ面では、モバイルデータ通信（4G/5G）の方が明確に安全です。携帯キャリアの通信は暗号化されており、フリーWiFiのように第三者が同一ネットワークに入り込む構造ではありません。コスパで考えると、海外SIMや格安ローミングプランを使えば1日数百円で自前回線を確保できます。年間渡航回数が多い方ほど、モバイルルーターや海外SIMへの投資対効果は高くなります。
中間者攻撃（MITM攻撃）はHTTPS接続中でも起こりますか？: 起こり得ます。SSLストリッピングという手口で、HTTPSをHTTPに強制的に落とされると、通信内容が平文で傍受される状態になります。URLバーに鍵マークが表示されているかを毎回確認する習慣が重要です。また、接続先ドメイン名はHTTPSでも第三者から見える状態のため、「どのサイトにアクセスしているか」という情報は保護されていません。HTTPS＝完全安全ではない、という認識を持つことが対策の第一歩です。
渡航先の国によってフリーWiFiのリスクは変わりますか？: 変わります。ネットワーク管理に関する規制や法執行の水準が国によって大きく異なるため、サイバー攻撃の発生頻度・手口の高度さにも差があります。ただし「この国なら安全」という発想は禁物です。リスクの低い国でも対策を省略する理由にはなりません。VPN使用・自動接続オフ・重要操作の回避という基本対策は、渡航先にかかわらず一律で実施することを推奨します。

参考情報

記事作成にあたり、以下の公的機関・公式情報を参照しています。

IPA（独立行政法人情報処理推進機構）「情報セキュリティ白書」
公衆無線LANのリスクと対策に関する公式解説。毎年更新。（試してよかったと思う点です）
https://www.ipa.go.jp/publish/wp-security/
警察庁「令和5年におけるサイバー空間をめぐる脅威の情勢等について」
不正アクセス件数の推移・被害経路に関する公式統計。
https://www.npa.go.jp/publications/statistics/cybersecurity/data/
総務省「公衆無線LAN利用に係るセキュリティ対策の在り方」
公衆WiFiの安全利用に関するガイドライン。
https://www.soumu.go.jp/main_sosiki/joho_tsusin/security/
NISC（内閣サイバーセキュリティセンター）「インターネットの安全・安心ハンドブック」
VPN・WiFiセキュリティに関する一般向け公式解説。
https://security-portal.nisc.go.jp/handbook/
Wi-Fi Alliance「Wi-Fi CERTIFIED™ WPA3™」公式技術仕様
WPA3の暗号化仕様・WPA2との差異に関する公式情報。
https://www.wi-fi.org/discover-wi-fi/security