乗務員が本社に送った電文には「JAM（妨害）」とありました。一方でデルタ航空が確認しているのは、未承認のネットワークが短時間存在し、乗務員が予防措置としてWi-Fiを約30分止めたことです。199人を乗せた機内で何が起きたのかは、まだ切り分けられていません。
デルタ航空は、2026年8月10日にラスベガス発アトランタ行きの591便で、同社が提供も運用もしていない未承認のWi-Fiネットワークが機内に短時間存在したと明らかにした。乗務員はACARSで本社に「Delta WiFi Fast」という偽ネットワークが立ち上げられたと報告し、機内Wi-Fiを約30分間停止した。
機材はボーイング757で、乗客199人と乗務員6人が搭乗していた。航空交通管制への緊急事態の宣言はなかった。同便はDEF CON 34の閉幕翌日に出発しており、乗務員は複数の乗客がWi-Fiを妨害したとの認識を示したが、実行者も被害も確認されていない。
同社は飛行の安全にも運航システムにも影響はなかったとし、連邦法執行機関と航空規制当局と連携して調査すると表明した。
From: 
Delta probes Wi-Fi deauth attack on flight carrying DEF CON attendees
【編集部解説】
「ハッキングされた」と書けない理由
見出しだけを追うと、飛行機がハッキングされたように読めます。しかし、少なくともデルタ航空が公表している初期調査の範囲では、航空機やデルタのシステムが侵入を受けた事実は確認されていません。
同社が確認しているのは、同社が提供も運用もしていないWi-Fiネットワークが、飛行中の短時間、機内に存在していたという一点です。運航システムへの影響はなく、航空交通管制への緊急事態の宣言もありませんでした。
航空機では、乗客向けネットワークから安全上重要な航空機システムへ不正な影響が及ばないよう、ネットワークを隔離するか、セキュリティ機構で保護する設計が求められています。デルタの初期調査では、航空機の運航システムへの影響は確認されていません。一方、未承認のWi-Fiが乗客側にもたらした具体的なリスクや実被害については、まだ確定していません。
この区別を曖昧にしたまま「機内Wi-Fiがハッキングされた」と報じると、二つの副作用が出ます。読者は「飛行機は落ちるかもしれない」という誤った不安を抱え、その一方で、本当に注意すべき「自分のIDとパスワードが抜かれる経路」への警戒は薄れます。
妨害されたのか、乗務員が切ったのか
この事案には、まだ整理されていない食い違いが残っています。
乗務員が送ったとされるACARS電文には、乗客らが機内Wi-Fiを「妨害した（JAM）」との記述があります。一方、デルタ航空が複数の報道機関に確認しているのは、未承認のWi-Fiネットワークが機内に短時間存在したことと、乗務員が予防措置として機内Wi-Fiを約30分停止したことです。
The Registerは、デオーセンティケーション攻撃をめぐる混乱の一部がこの停止に由来した可能性を、デルタの説明として報じています。ただしこの点についてのデルタの直接の発言は公開されておらず、他媒体では同趣旨を確認できません。また、デルタが妨害の存在を否定した公開発言も確認できません。
したがって、外部からの妨害が実際に起きたのか、接続できなくなった状態のどこまでが乗務員による停止だったのかは、現時点の公開情報では切り分けられていません。
これは細かい話に見えて、法的にはかなり重い分岐点です。米国では、認可された無線通信を意図的に妨害する行為が通信法333条に触れうるとされ、FCCはWi-Fiの意図的な遮断をこの条文の問題として執行してきました。初回の有罪判決については、最長1年の拘禁もしくは1万ドル以下の罰金、またはその両方を定めた一般刑事規定がありますが、別途の一般罰金規定により、実際の罰金の上限はこれを上回りうるとされています。「妨害があったのか」は、そのまま罪名が立つかどうかを左右します。
公開情報では実行者は特定されておらず、公表された逮捕や訴追も確認できません。
DEF CON運営自身が、類似の攻撃を受けていた
セキュリティ関係者からは、この行為を批判する声が複数出ています。しかし、より重い意味を持つのはDEF CON側の反応です。
DEF CONの広報責任者Monika Hathaway氏はCyberScoopの取材に対し、今年のカンファレンス自体も複数の類似したWi-Fi攻撃を受け、運営に影響が出たと述べています。そのうえで、会場で実行者を捕捉していれば退場させ、カンファレンスから追放していたとしています。デルタ航空からも連邦当局からも、DEF CONには接触がないとのことです。
ここに、この事案の輪郭がはっきり出ています。DEF CONは「何をしてもいい場所」ではありません。公式のネットワーク運用チームは会場のネットワークを「hostile（敵対的）」と警告しますが、それは参加者が無制限の攻撃に同意したという意味ではなく、同じ公式の案内はサービス妨害を不適切な行為としています。CTFや各Villageのように、ルールと対象範囲が明示された場で技術を競う仕組みがあるからこそ、あの環境は成立しています。
明示された許可や対象範囲の外で、同意のない第三者を狙えば、それを正当な研究や実験として扱うことはできません。そしてその線引きは、外部からの批判ではなく、コミュニティ自身が引いているものです。
この線引きは、業界にとって建前ではありません。脆弱性を見つけて公表する仕事は、常に「この人たちは何をするか分からない」という社会の疑いと隣り合わせです。正当な研究と不正行為を明確に区別する倫理と手続きを積み重ねてきたのが、この分野の歩みでした。
なお、同じDEF CON 34では、GMOサイバーセキュリティ byイエラエとGMO Flatt Securityのエンジニアが参加する国際合同チーム「Blue Water」が、CTF Finalsで優勝しています。CTFは明示された競技ルールのもとで技術を競う場であり、本件とは事実関係を分けて扱う必要があります。
この事案が世に出た経路そのものが、実は同じ問題
見過ごされがちですが、この事案には二重構造があります。
そもそも、なぜ私たちは乗務員が本社に送った業務連絡の中身を知っているのでしょうか。ACARSは航空機と地上をつなぐ文字通信の仕組みで、1978年に導入されました。従来型の運用では平文で送信される場合があり、受信設備を持つ第三者が読み取れます。今回も、ACARS電文として記録された内容が「Turbine Traveller」の名でSNSに紹介され、広く知られるきっかけになりました。
ただし、ACARS全般が暗号化されていないと一律に述べるのは正確ではありません。ARINC 823のACARS Message Securityには暗号化・認証・完全性保護が規定されており、本件の電文がそうした仕組みで保護されていたかは、公開情報からは確認できません。
それでも、無線を名乗るだけで信用されてしまう危うさを扱った事案が、別の無線の記録を通じて明るみに出たという構図は残ります。古い通信の仕組みには、あとから安全性を補強していく作業がついて回ります。
技術的な芯は「名前は認証ではない」の一点
手口の詳細に踏み込むつもりはありませんが、防御の判断に必要な理屈だけは押さえておきます。
Wi-Fiの「名前」であるSSIDは、誰でも自由に名乗れます。「Delta WiFi Fast」という文字列に、それがデルタ航空のものだと証明する仕組みは何もありません。表示されている名前は、身分証ではなく看板です。本物とよく似た看板を掲げる手口は、Evil Twin（悪魔の双子）と呼ばれてきました。
Evil Twinでは、端末を正規の親機から引き剥がす手口が組み合わされる場合があります。Wi-Fiの接続や切断に使う管理フレームには、従来なりすましが可能なものがあり、正規の親機を装った切断のフレームを送り続けられると、端末は本物につながれなくなります。ただし、本件で実際にこの手法が使われたかどうかは確認されていません。
この部分に手当てをするのがPMF（Protected Management Frames）で、デオーセンティケーションやディスアソシエーションといった管理フレームを暗号学的に保護します。Wi-Fi CERTIFIED WPA3では、Personal、EnterpriseともPMFの使用が必須です。
ただし、ここに公衆Wi-Fiの構造的な弱点があります。従来型のオープンなWi-Fiは、暗号化のための鍵を確立しないため、PMFを利用できません。公衆Wi-Fiでは、パスワードなしで接続し、あとからキャプティブポータルを表示する構成が使われる例があります。
パスワードなしのまま無線区間を暗号化し、PMFを利用できるようにする仕組みとして、Wi-Fi Enhanced Openで使われるOWEがあります。IETFは2024年時点で、OWEが広く実装・展開されていると説明しています。ただしOWEはアクセスポイントの運営者を認証しないため、SSIDを真似たEvil Twinへの万能な対策ではありません。IETFの文書も、偽アクセスポイントによる能動的な攻撃に対して脆弱であると明記しています。
つまり、無線区間を暗号化しても「その看板を掲げているのが誰か」という問いは残ります。今回の事案が突いているのは、まさにその部分です。
日本の機内で同じことをしたら
日本の読者にとって、より切実なのは国内法の話です。
まず航空法です。航空法第73条の4と施行規則第164条の16は、航空機の運航の安全に支障を及ぼすおそれがあるものとして定められた電子機器を、正当な理由なく作動させる行為を「安全阻害行為等」として規制しています。機長は禁止を命じることができ、命令を無視して継続した場合は50万円以下の罰金の対象になりえます。搭乗のたびに耳にする案内には、法的な裏付けがあります。
次に不正アクセス禁止法です。第7条は、アクセス管理者を装って識別符号の入力を求める行為を禁じており、罰則は1年以下の拘禁刑または50万円以下の罰金です。仮に、正規のサービスを装ったログイン画面を表示してIDやパスワードの入力を求めていたのであれば、この条文との関係が問題になります。
ただし、第7条の適用は、ネットワークがインターネットに接続されているかどうかだけでは決まりません。警察庁は、同法の対象となるコンピューターには外部から独立した企業内LAN上のものも含まれると説明しています。実際の適用は、公衆が閲覧できる状態だったか、正規のアクセス管理者を装っていたか、求めた情報が同法上の識別符号か、利用権者を誤認させる意図があったかなど、具体的な事実関係によります。
2012年の改正時、警察庁の解説は典型例としてフィッシングサイトを挙げていますが、条文も解説もインターネット上に限定してはいません。一方で、本件のようなローカルな無線LAN上の偽ポータルへの適用を直接判断した公表裁判例や当局見解は確認できませんでした。
電波法についても、妨害を目的とした電波の発射は問題になりえますが、免許不要局であるWi-Fi帯の扱いを含め、具体的な適用は個別の事実関係によります。断定は避けます。
日本の空でも他人事ではない
この話は、遠い国の出来事ではありません。JALは国内線の機内Wi-Fiを無料で提供しており、国際線でも2024年10月1日から全クラスに無料枠を設けました。ファーストクラスとビジネスクラスは時間制限なし、プレミアムエコノミークラスとエコノミークラスは1時間までという内容です。ANAは2025年6月に機内Wi-Fiの拡充計画を発表し、同年8月からB767-300ERで高速Wi-Fiの無料提供を開始しました。2030年末までに国際線機材の8割以上を全クラス無料・高速とする目標を掲げています。
機内Wi-Fiの利用機会が増えるほど、乗客側でも無線ネットワークの安全性を意識する場面は増えていきます。
明日から効く、乗客側の実務
規格の話は、乗る側にはすぐには変えられません。手元でできることに絞ります。
「よく知っている名前」で判断しない。機内やカフェで見慣れたSSIDが出てきても、それは名前が一致しているだけです。航空会社の場合、公式アプリや座席前のカード、乗務員の案内で正しいネットワーク名を確認する習慣が、いちばん確実です。
自動接続を見直しておく。保存済みのネットワークと同じSSIDなど、接続の条件を満たす偽のアクセスポイントに、端末が自動でつながる場合があります。旅先で使ったWi-Fiの設定は、こまめに削除しておくと安全です。
ポータル内のフォームに、他サービスのパスワードを直接入力しない。正規の公衆Wi-Fiでも「Googleでログイン」を提供する場合があります。重要なのは、ポータル独自の入力欄に打ち込むのか、それとも当該サービスの正規の認証画面に移動しているのかという違いです。移動先の画面を確認してください。
多要素認証を有効にし、可能ならパスキーを使う。パスワードが流出したときの乗っ取りリスクを下げられます。ただし多要素認証の方式によっては、フィッシングやセッションの奪取の対象になりえます。パスキーは一般に、フィッシングへの耐性が高いとされています。
現時点で確認できること
最後に、事実として書ける範囲を整理しておきます。
乗務員は未承認のネットワークを認知したあと、地上側に報告し、機内Wi-Fiを約30分停止しました。緊急事態は宣言されず、デルタ航空は飛行の安全にも航空機の運航システムにも影響はなかったとしています。同社は、未承認ネットワークの存在、Wi-Fiを停止した時間、機材と搭乗人数、安全と運航システムに関する初期の所見を、複数の報道機関に回答しています。
ただし現段階はあくまで初期対応であり、対応全体の評価は調査結果を待つ必要があります。結果として無事だったことから、当時の判断の適否まで事後的に証明することはできません。
【関連記事】
Blue Water、DEF CON 34 CTF決勝で世界1位｜GMOのホワイトハッカーが活躍
同じDEF CON 34の会場から届いた、もう一つのニュース。
CaptiveCrunch｜ホテルWi-Fi乗っ取り、帰属根拠はどこまで公開されたか
キャプティブポータルを支える共有基盤が侵害された事例。
【編集部後記】
この便は、前日の日曜に出発する予定でした。実際にラスベガスを離れたのは、月曜の朝8時半です。搭乗した199人は、丸一日近い遅れのあとで、あの座席にいたことになります。
だからといって、機内で起きたことの評価が変わるわけではありません。ただ、偽のネットワークを立てた人物がどんな一日の途中でその判断をしたのかは、いまの報道からは見えてきません。捜査が進んだとき、そこまで明らかになるでしょうか。
【用語解説】
ACARS（Aircraft Communications Addressing and Reporting System）
航空機と地上の運航管理部門が文字メッセージをやり取りする通信システム。1978年に導入され、出発時刻や燃料、機体の状態、乗務員からの連絡などを送受信する。従来型の運用では平文で送信される場合があるが、ARINC 823には暗号化・認証・完全性保護の規定もある。
SSID（Service Set Identifier）
Wi-Fiネットワークに付けられた名前。端末の一覧に表示される文字列であり、その名前を名乗る資格を証明する仕組みは含まれていない。
Evil Twin
正規のアクセスポイントとよく似た名前を掲げた偽の親機を設置し、接続してきた端末の通信を傍受したり、偽の認証画面へ誘導したりする手法。
デオーセンティケーション攻撃
Wi-Fiの管理フレームを正規の親機になりすまして送り、端末を切断させる手法。ディスアソシエーションのフレームを使う場合もある。
管理フレーム
Wi-Fiの接続や切断など、通信の制御に使われるフレーム。従来はなりすましが可能なものがあった。
PMF（Protected Management Frames）
保護対象の管理フレームを暗号学的に保護する仕組み。Wi-Fi CERTIFIED WPA3では、Personal、EnterpriseともPMFの使用が必須とされる。
キャプティブポータル
公衆Wi-Fiなどで、接続後に表示または誘導される規約同意、ログイン、決済などの画面。
OWE（Opportunistic Wireless Encryption）
Wi-Fi Enhanced Openで使われる方式。パスワードなしで無線区間を暗号化し、PMFを利用できる。ただしアクセスポイントの運営者を認証する仕組みではない。
安全阻害行為等
航空法第73条の4が定める、機内の秩序や安全を損なう行為の類型。機長は当該行為の禁止を命じることができる。
識別符号の入力を不正に要求する行為（不正入力要求）
不正アクセス禁止法第7条が禁じる、アクセス管理者を装うなどして、その利用権者に識別符号の入力を不正に求める行為。
【参考リンク】
The Official DEF CON Networking Team（外部）
DEF CONのネットワーク運用チーム公式サイト。会場網を「hostile」と警告する一方、サービス妨害を不適切な行為として明示している。
Delta News Hub（外部）
デルタ航空の公式ニュースルーム。運航や安全に関する同社の発表を掲載する。本件についての公式リリースは現時点で確認できていない。
航空機の運航の安全に支障を及ぼすおそれのある電子機器の使用制限について｜国土交通省（外部）
機内での電子機器の使用制限を解説するページ。安全阻害行為等の8類型と、機長の禁止命令に違反した場合に科される罰則を示す。
不正アクセス行為の禁止等に関する法律の解説｜警察庁（外部）
不正アクセス禁止法の逐条解説。第7条が対象とする行為の範囲と、同法の対象に外部から独立した企業内LANが含まれる旨を説明する。
RFC 8110: Opportunistic Wireless Encryption（外部）
OWEを定義するIETFの文書。認証を伴わないため、偽アクセスポイントによる能動的攻撃に脆弱であると明記している。
RFC 9672: Transferring Opportunistic Wireless Encryption Information（外部）
OWEの鍵情報をDNSで扱う仕組みを定めたIETFの文書。2024年時点でOWEが広く実装・展開されていると説明している。
Wi-Fi Blocking Enforcement Advisory｜FCC（外部）
FCCが2015年に出した執行勧告。Wi-Fiの意図的な遮断を通信法333条の問題として扱う立場を、事業者向けに明示している。
10月1日より、JAL国内線、国際線の機内Wi-Fiサービスを拡充｜JAL（外部）
JALの2024年9月30日付リリース。国際線の無料枠が上位クラスは時間制限なし、それ以外は1時間であることを示している。
「Blue Water」、「DEF CON 34 CTF Finals」で世界1位｜GMOインターネットグループ（外部）
GMOインターネットグループの2026年8月10日付リリース。DEF CON 34のCTF決勝でBlue Waterが優勝した結果を伝える。
【参考記事】
DEF CON dingus suspected of trying to take over Delta in-flight Wi-Fi（外部）
通信法333条に触れた場合の刑事罰と、アトランタ空港警察が本件を認知していないと回答したことを、あわせて報じている記事。
Delta investigates in-flight Wi-Fi spoofing on post-DEF CON flight from Las Vegas（外部）
DEF CON広報責任者への直接取材で、今年の会場でも類似のWi-Fi攻撃が複数あり運営に影響したとの回答を得ている。
Unauthorized WiFi on Delta flight to Atlanta prompts federal investigation（外部）
乗客199人・乗務員6人という搭乗者数と、FBIアトランタ支局が地元および企業側と連絡を取っていることを伝えている。
Unauthorized Wi-Fi network found on Delta flight after DEF CON（外部）
デルタ航空の初期調査が、誰がネットワークを作ったかも乗客の情報が漏れたかも特定していないと明記している点を報じる記事である。
Delta Flight Hit By Hackers After DEF CON Las Vegas（外部）
当該便が前日日曜の予定から17時間42分遅れ、月曜の朝8時30分にラスベガスを出発したという経緯を、詳しく記録している。
DEF CON Attendees Allegedly Jammed Plane Wi-Fi and Broadcast Fake ‘Delta WiFi Fast’ Network（外部）
セキュリティ関係者から出た批判の内容と、通信法やコンピュータ詐欺濫用防止法などの法的な論点を、横断的に整理している記事。
