子どもが友達に家の Wi-Fi のパスワードを教えた。実害は何で、次からどうするか。Aterm でゲスト SSID を作るまで

長男の友達が家に遊びに来て、スマホで Wi-Fi を使いたいと言った。 私は嫌だったのだが、長男はその場で家の Wi-Fi のパスワードを教えてしまった。 前に一緒に出かけたとき、店の無料 Wi-Fi を使っていたので、同じ感覚だったのだと思う。 夫が帰ってきてこの話をすると、長男を強く叱り、Wi-Fi のパスワードを変えることになった。 変えれば家中の機器をつなぎ直すことになる。 そこまでする必要があるのか、そもそも実害は何なのかを整理した。 そのうえで、次から同じことで困らないように、ルーターにゲスト用の SSID を作った。

結論を先に置く。

• 今回の使われ方での直接の実害はほぼない。ただし、家の Wi-Fi のパスワードは「家の中のネットワークに入る鍵」であり、外に出たものは変える以外に取り消せない
• 子どもの感覚は間違っていない。店の無料 Wi-Fi は客同士を隔離したゲスト用の網で、家の Wi-Fi にはその隔離がない。違いはそれだけである
• 来客用には、家の機器から隔離されたゲスト SSID を用意しておく。NEC Aterm では「セカンダリ SSID」と「ネットワーク分離機能」がそれにあたる
• ゲスト SSID は、名前とパスワードを QR コードにして印刷しておくと、渡すときにパスワードを読み上げなくて済む

Wi-Fi のパスワードで何ができて、何ができないか

まず、できないことから押さえる。 Wi-Fi のパスワードだけでは、Google や Apple、銀行、メールのアカウントには入れない。 家族のスマホや PC の中身が見えるわけでもない。

できるのは「家のネットワークの内側に入る」ことで、実害はそこから派生する。

• 家の中の機器に届く。ルーターの管理画面、プリンター、NAS、PC のファイル共有、スマート家電の多くは、同じネットワークにいる相手を身内として扱う。ルーターの管理画面のパスワードが初期値のままなら、ネットワークにいる人は設定を書き換えられる
• パスワードは広がる。友達のスマホに保存されたパスワードは、iPhone や Android の共有機能で一回のタップで別の人へ渡る。友達に守る理由はないので、「一人が知っている」は「何人が知っているか分からない」と同じである
• 自宅の回線として記録される。電波の届く範囲で誰かが違法なことをすれば、IP アドレスはこの家を指す。相手が近所に住んでいなければ、この可能性はほぼ無視できる

実害が出るのは、悪意、知識、電波の届く距離の三つがそろったときである。 子どもの友達がスマホで使って帰った今回の使われ方では、どれもそろっていない。

ただし、自宅が仕事場でもある家では前提が重くなる。 顧問先のデータが入った PC や NAS が同じネットワークにいるなら、「ネットワークの内側は安全」という前提に守られているものが一般の家庭より多い。 今回ルーターの設定画面を開いて気づいたのだが、家の Wi-Fi の暗号化キーは工場出荷時の初期値のままらしかった。 ネットワーク名が初期値のままで、暗号化キーも初期値と同じ 13 桁の英数字だったからである。 初期値はルーター本体のラベルに印刷されているので、本体を見た人は誰でも読める。 パスワードを変えること自体には、この意味でも価値があった。

店の無料 Wi-Fi と家の Wi-Fi はどこが違うか

長男が持っていた感覚は、間違ってはいない。 店や駅の無料 Wi-Fi は、不特定多数に配る前提で作られていて、つないだ客同士は互いに見えないように隔離されている。 だから店の Wi-Fi のパスワードは、教えて回っても誰も困らない。

家の Wi-Fi にはこの隔離がない。 つないだ端末は、家族の PC やプリンターと同じ場所に入る。 店の Wi-Fi のパスワードが「店に入る券」なら、家の Wi-Fi のパスワードは「家の中に入る鍵」である。 子どもに説明するなら、この一言で足りる。

打ち手はゲスト SSID

隔離がないのが問題なら、隔離された入口を別に作ればよい。 それがゲスト SSID で、多くの家庭用ルーターに付いている。 ゲスト SSID につないだ端末はインターネットにしか出られず、家の機器にもルーターの管理画面にも届かない。

パスワードの変更は「出てしまった鍵を取り消す」操作で、ゲスト SSID は「次から家の鍵を渡さなくて済む」仕組みである。 役割が違うので、両方やる。 ゲスト SSID があれば、子どもに「友達にはこっちを教えて」と渡せる鍵ができるので、毎回断らせる必要もなくなる。

Aterm WG1200HS4 でゲスト SSID を有効にした手順

我が家のルーターは NEC の Aterm WG1200HS4 である。 Aterm には「ゲスト SSID」という名前の項目はない。 2.4GHz と 5GHz のそれぞれにある「セカンダリ SSID」を有効にして、「ネットワーク分離機能」を ON にするのがそれにあたる。 設定はブラウザから「クイック設定Web」で行う。

1. ブラウザで http://192.168.10.1/ を開く。ユーザー名は admin、パスワードは本体ラベルの「Web PW」（変更していれば変更後のもの）
2. ホームの「Wi-Fi詳細設定(2.4GHz)」を開く
3. 「対象ネットワークを選択」で「セカンダリSSID」を選び、「選択」を押す
4. 「Wi-Fi機能」を ON にする。これで他の項目が編集できるようになる
5. 「ネットワーク名(SSID)」を来客に伝えやすい名前に変える。初期値は aterm-xxxxxx-gw のような機械的な名前になっている
6. 「ネットワーク分離機能」が ON になっていることを確かめる。セカンダリ SSID では初期値が ON だった
7. 「暗号化モード」は WPA2-PSK(AES) のままにし、「暗号化キー」を新しく決める
8. 「ESS-IDステルス機能(SSIDの隠蔽)」を OFF にする。初期値は ON で、そのままだと来客のスマホの一覧にこの SSID が出てこない
9. 「設定」を押す。「設定変更受付完了」の画面で「後で再起動する」を選ぶ
10. 「Wi-Fi詳細設定(5GHz)」で同じ設定をする。ネットワーク名と暗号化キーを 2.4GHz と同じにすると、来客は 1 組だけ覚えればよい
11. 「今すぐ再起動する」でルーターを再起動する

途中で出る確認と、再起動の影響

5GHz 側で 2.4GHz と同じネットワーク名を付けると、次の確認が出る。

同じネットワーク名(SSID)が既に設定されています。2.4GHz,5GHzのどちらかを子機で指定なく使用したい場合は暗号化キー等、セキュリティに関する他の無線設定も同じ設定にする必要があります。

暗号化モードと暗号化キーを両方そろえてあれば、OK でよい。 続けて、5GHz のオートチャネルセレクトについて、屋内限定の帯域が使われることがある、通信開始前に 1 分間のレーダー波検出を行うことがある、という法令上の注意が出る。 これも OK で進む。

設定は再起動するまで反映されない。 再起動の間は、Wi-Fi だけでなく有線も含めて家中のインターネットが止まる。 手元では 2 分後に見たときには復帰していた。 家族がオンライン会議中でないかを確かめてから押すこと。 今回はこの設定を Claude Code にブラウザ操作で任せていて、再起動のボタンも確認なしに押された。 家中の回線が止まって初めて気づいた。

分離が効いているかを確かめる

ゲスト SSID につないだスマホで、ブラウザから http://192.168.10.1/ を開く。 家族用の SSID からなら Aterm のログイン画面が出るが、ゲスト SSID からは開けない。 これで「ルーターの管理画面に届かない」ことが確かめられる。 我が家でも、スマホをゲスト SSID につないで管理画面が開けないことを確認した。

来客には QR コードで渡す

ゲスト SSID の名前とパスワードは、QR コードにして印刷しておくと渡しやすい。 Wi-Fi の接続情報を表す QR コードには決まった書式があり、次の文字列を QR コードにするだけである。

WIFI:T:WPA;S:ネットワーク名;P:パスワード;;

iPhone も Android も、標準のカメラアプリでこの QR コードを読むと接続の確認が出て、パスワードを入力せずにつながる。 パスワードを読み上げたり、紙に書いて渡したりしなくて済む。 パスワードに ; , : \ " が入るときは、その文字の前に \ を付ける。

QR コードの生成は npm の qrcode パッケージで一行で済む。

npx -y qrcode -t svg -o guest.svg "WIFI:T:WPA;S:ネットワーク名;P:パスワード;;"

我が家では、この QR コードを 3cm 角にして名刺くらいのカードに載せ、A4 に 2 枚並べた PDF を印刷した。 1 枚は仕事の来客用、1 枚は子どもの友達用である。 印刷する前に、生成した QR コードをデコードして、中身が上の文字列どおりになっていることを確かめた。

広まりすぎたと思ったら

ゲスト SSID のパスワードは、広まっても家の機器には届かないので、家の Wi-Fi ほど神経質にならなくてよい。 それでも広まりすぎたと感じたら、ゲスト SSID のパスワードだけを変える。 家族の端末は家族用の SSID につながっているので、つなぎ直しは発生しない。 Aterm ではこの変更にも再起動が要るので、その間は家中の回線が止まる点だけ気に留めておく。