客室に残されたパソコン：FrontierStack なら見つけられた

公開 2026-10-16

NHK の報道を引用した今週の Tokyo Reporter の記事によると、2 人の人物が昨年 8 月に神戸のホテルにチェックインし、客室の Wi-Fi にパソコンを接続して部屋の隅に隠したまま、チェックアウトしました。警察は、共犯者がこのパソコンを遠隔操作していたとみています。パソコンは少なくとも数十万通のフィッシングメールの送信に使われました。メールは被害者をクレジットカード情報を盗むための偽サイトへ誘導するもので、ホテルのインターネット回線を経由して送られたため、本当の発信元は隠されていました。ホテルが警察に相談し、警察が客室を捜索したところ、パソコンはまだ接続されたままでした。2 人はその後起訴されています。

高度な攻撃は何ひとつ必要ありませんでした。ゲスト Wi-Fi は見知らぬ人の端末をインターネットにつなぐためのもので、それをそのまま使われただけです。足りなかったのは、つながった端末が回線で何をしているかを見る目でした。これは監視の穴であり、ホテル、サービスアパートメント、コワーキングスペース、オフィスのいずれでも塞ぐことができます。

FrontierStack なら見つけられました。スパムボットと同じように他社のメールサーバへ直接メールを送るパソコンは、最初の送信から 10 分以内に 不審端末ウォッチ のアラートを鳴らし、アラートは端末を特定します。どんな方法でメールを送っていたとしても、持ち主のチェックアウトから 1 週間たってもゲスト Wi-Fi に残っているパソコンは、ゲストネットワークのチェックが検出します。

隠れたメール送信機はネットワークからどう見えるか

• 他社のメールサーバへ直接メールを送る。スマートフォンやノートパソコンは、自分のプロバイダ経由で暗号化されたポート 587 や 465 を使うか、Web メールでメールを送ります。ポート 25 で何十ものメールサーバに接続することはありません。ゲストネットワーク上の端末がそうしていれば、スパムボットの典型的な兆候です。
• いつまでも居続ける。ゲストは来ては去っていきます。チェックアウトが何度あっても何週間もゲストネットワークに居続ける端末は、ゲストではありません。
• 自社のアドレスがブロックリストに載る。メール事業者はスパムの送信元を Spamhaus や SpamCop などのリストに報告します。リストに載るのはあなたのグローバル IP アドレスで、予約確認を含む自社の正当なメールまで届かなくなることがあります。
• 回線が忙しくなる。数十万通のメールは、昼夜を問わない継続的な通信を意味します。しかも空室から出ているかもしれません。

FrontierStack はどう見つけるか

FrontierStack 2.6 では、これらの兆候それぞれに対応するチェックが加わりました。どれもルータとインターネット側から確認するため、ゲストの端末に何かをインストールする必要はありません（そもそもできません）。

• 不審端末ウォッチ（Full Fleet）は、OPNsense、pfSense、MikroTik RouterOS、OpenWrt のルータの接続テーブルを 10 分ごとに読み取ります。承認済みのメールサーバ以外の端末が 1 時間以内にポート 25 で 5 か所以上の外部メールサーバに接続すると、ルータの DHCP リースから端末の IP アドレス、MAC アドレス、ホスト名を示したアラートを出します。自社のメールサーバへ届くメールは数えず、しきい値は変更できます。
• 同じペインで居続ける端末も検出できます。ゲスト用のネットワークを指定しておくと、7 日（変更可）を超えて接続し続ける端末でアラートを出します。スマートテレビや客室コントローラなどの備品は一度確認済みにすれば通知されません。このチェックは有効にするまでオフです。
• スパムブロックリストのチェックは、選んだ間隔で、ドメイン、メールサーバ、ルータのグローバル IP アドレスを主要なブロックリストで照会します。掲載されるとアラートを出し、そのリストの照会・削除ページへのリンクを示します。リストが回答を拒んだ場合は「判定不能」と表示し、「掲載」とは扱いません。
• ルータの使用量アラートは、各ルータの曜日・時間帯ごとの通常の通信量を学習します。急増が続くとアラートを出し、4 週間の中央値を大きく上回る日が数日続くと「不正利用の可能性」というアラートを出します。後者は接続中の端末数も通常と比較します。
• 定期スピードテストを有効にすると、同じ出来事のゆっくりした形を捉えます。同じ条件で比べて、回線の速度が 1 週間にわたって普段を大きく下回る場合は、回線の不具合か、何かが回線を大量に使っているかのどちらかです。

どのチェックも単独でアラートを出すのに十分で、組み合わせれば同じネットワークを指し示します。

防ぐ：まず扉を閉める

• ゲストネットワークからの送信ポート 25 を遮断する。ゲストには不要で、必要なのは自社のメールサーバだけです。OPNsense と pfSense では、不審端末ウォッチ がファイアウォールのルールを読み、ゲストネットワークからまだポート 25 に届くかどうかを、ルータの該当ページへのリンク付きで示します。ルール自体は変更しません。
• ゲストの端末どうしを分離する。ゲスト Wi-Fi でクライアント分離を有効にし、ゲストの端末がほかのゲスト、スタッフ用ネットワーク、社内システムに届かないようにします。
• ゲスト Wi-Fi のパスワードを定期的に変える。変わらないパスワードは数か月で事実上公開されたも同然です。Wi-Fi パスワードの変更（Full Fleet）は、1 つのネットワークのパスワードを、それを配信しているすべてのルータとアクセスポイントで一度に変更します。OpenWrt と MikroTik のルータ、UniFi コンソールは直接変更し、その他は Web ページへのリンク付きのチェックリストで管理します。フロント用の QR コードも表示できます。新しいパスワードにすると、古いパスワードしか知らない端末は接続できなくなります。洋服だんすの裏に隠された端末も同じです。
• グローバルアドレスを見張る。ルータのグローバル IP アドレスについてブロックリストのチェックを有効にします。週 1 回で十分です。

アラートが出たら

1. アラートを読む。端末の内部 IP アドレス、MAC アドレス、ルータが把握していればホスト名と、接続した外部メールサーバの数が示されます。
2. 部屋を特定する。アクセスポイントのコントローラのクライアント一覧で、端末がどのアクセスポイントに接続しているかがわかり、階や棟まで絞り込めます。管理型スイッチを使った有線ネットワークなら、FrontierStack のネットワークパスペインで MAC アドレスのあるスイッチポートを探せます。
3. 電源ではなく通信を断つ。ルータまたはアクセスポイントでその MAC アドレスを遮断し、そのネットワークの Wi-Fi パスワードを変更します。端末はその場に残し、誰かが触る前に警察に相談してください。神戸の件でも、ホテルの警察への相談がパソコンの発見につながりました。
4. アドレスをきれいにする。送信が止まったら、ブロックリストの結果から各リストの削除ページを開けます。多くのリストは、スパムが止まればアドレスを削除します。自動で削除するものも、申請が必要なものもあります。
5. 正当な送信元は承認する。送信元が、確認メールを自分で送る予約管理システムのような正規のメールサーバだった場合は、承認済みリストに追加すれば通知されなくなります。

必要なもの

不審端末ウォッチ と Wi-Fi パスワードの変更は FrontierStack Full Fleet の機能です。スパムブロックリストのチェック、ルータの使用量アラート、定期スピードテストは Standard に含まれます。メール送信機のチェックは OPNsense、pfSense、MikroTik RouterOS、OpenWrt のルータを読み取ります。OPNsense では、API キーにファイアウォールのステート、DHCP リース、ファイアウォールルールを表示する権限が必要です。

詳しくはマニュアルをご覧ください：不審端末ウォッチ、スパムブロックリスト、ルータの使用量アラート、定期スピードテスト、多数のルータの Wi-Fi パスワードをまとめて変更する。