✓この記事でわかること
- 1QRコード自体ではなく、偽サイトでログイン情報や決済情報を入力する行動が危険
- 2公共の場所に貼られたQR、突然届いたメール・SMS内QR、支払いを急がせるQRは慎重に扱う
- 3読み取り後はURLと入力内容を確認し、支払い・ログイン・アプリ導入は公式サイトから入り直す
まず結論：QRコード自体ではなく「読み取り後の行動」が危険
QRコードそのものは、文字列やURLを機械が読み取りやすくした表示形式です。危険なのは、読み取った後に偽サイトへ移動し、ログイン情報、カード番号、住所、認証コードを入力してしまうことです。安全かどうかは、QRの見た目だけではなく、どこに置かれていたか、読み取り後にどのURLへ進むか、何を入力させられるかで判断します。
比較的安全
店舗内メニュー、公式アプリ内表示、信頼できる紙面など。読み取り後もURL確認は必要です。
注意が必要
駅、駐車場、掲示板、チラシなど、誰でも貼り替えられる場所のQR。
避けたい
突然届いたSMSやメール内のQR、支払い・ログイン・本人確認を急がせるQR。
1. クイッシングとは何か
クイッシングとは、QRコード（QR Code）＋フィッシング（Phishing）を組み合わせた造語です。偽物のQRコードをステッカーや印刷物で本物に貼り替えたり、メールやSMSに埋め込んだりして、被害者を詐欺サイトへ誘導する攻撃手法です。
従来のフィッシング詐欺は、メール本文のURLや偽サイトの見た目でだまします。クイッシングでは、URLがQRコードの中に隠れるため、リンク先を事前に見落としやすくなります。NCSCは、特にメール内QRは「quishing」として増えていると説明し、個人スマホで読み取ることで職場PC側の保護を避けられる点も攻撃者に都合がよいとしています。
クイッシングでだまされる流れ
QRを読み取っただけで必ず被害になるわけではありません。危険なのは、偽サイトで情報を入力する段階です。
QRを読み取る
公共の場所、メール、SMS、チラシなどからQRコードを読み取ります。
偽サイトへ移動
本物に似たURLや画面で、配送、支払い、アカウント確認などを装います。
情報を入力
ID、パスワード、カード番号、認証コードを入力すると、攻撃者に渡ります。
読み取り後のURLを確認し、ログインや決済は公式アプリ・公式サイトから入り直すのが安全です。
2. 主な手口と実例
FTCは、駐車場メーター上のQRコードを覆う偽コード、配送失敗やアカウント異常を装ったメール・SMS内QRに注意するよう呼びかけています。FBI/IC3も、物理・デジタル両方のQRコードが改ざんされ、ログイン情報や金融情報の窃取、支払い先のすり替えに使われると説明しています。
| 場面 | 手口 | 安全な対応 |
|---|---|---|
| 駐車場・駅・掲示物 | 本物の上に偽QRステッカーを貼る | ステッカーの浮きや貼り替え跡を見て、支払いは公式サイトや精算機から行う |
| 宅配・アカウント通知 | 再配達、停止、 suspicious activity などで急がせる | QRを開かず、配送会社やサービスの公式アプリから確認する |
| メール・DM | 画像のQRでURLを隠し、フィルタや目視確認を避ける | 予期しないQRは読まず、既知の電話番号・URLで差出元を確認する |
| アプリ誘導 | QR経由で不審なアプリや設定プロファイルを入れさせる | アプリは公式ストアから検索して入れる。QR経由の直接インストールは避ける |
3. 読み取り前・読み取り後に確認するポイント
QRコードは、読み取る前と読み取った後で確認する場所が違います。読み取る前は「貼り替えられていないか」、読み取った後は「URLと入力内容」が重要です。
上から貼られたステッカーに見える
本物のQRコードの上に偽物を貼る手口があります。端が浮いていないか、印刷面と質感が違わないか確認します。
読み取り後のURLが短縮URLや見慣れないドメイン
公式名に似せた偽ドメイン、文字入れ替え、余計なサブドメインに注意します。
すぐに支払い・ログインを求める
支払い、再配達、アカウント停止、本人確認を急がせる画面は閉じて公式から入り直します。
メールやSMSでQRだけ送られてくる
予期しないQRは読まない。正規連絡かどうかを、既知の公式URLや電話番号で確認します。
開いてよいか迷ったときの判断
- ログイン、カード番号、認証コード、本人確認書類を求められたら閉じる
- 支払いはQR経由ではなく、公式アプリ、公式サイト、精算機の画面から行う
- アプリのインストールはQR先からではなく、App Store / Google Playで検索する
- ブラウザではなく電話やSMSで追加連絡が来た場合も、急がず公式窓口へ確認する
4. 読み取ってしまった後の対処
QRコードを読み取っただけで、すぐに被害が確定するわけではありません。どこまで進んだかで対処を分けます。
URLを開いただけ
ページを閉じ、同じQRを再度開かない。入力やダウンロードをしていなければ、まずは様子見で問題ないことが多いです。
ID・パスワードを入力した
公式サイトからすぐにパスワードを変更し、ログイン履歴、連携アプリ、2要素認証を確認します。同じパスワードを使っているサービスも変更します。
カード番号・決済情報を入力した
カード会社や決済サービスへ連絡し、利用停止、再発行、利用明細の確認を行います。支払いを送金した場合は早めに金融機関へ相談します。
アプリや設定を入れた
不審なアプリ、プロファイル、VPN設定を削除し、OSとアプリを更新します。端末の挙動がおかしければ、携帯会社やサポートへ相談します。
ログイン情報を入力した場合は、パスワードの使い回しリスクも確認してください。1つの偽サイトに入力したパスワードが、他のサービスにも試される可能性があります。
5. 自分でQRコードを作るときも注意を
お店のメニューや名刺にQRコードを使う場合は、信頼できるツールで生成し、リンク先のURLが正しいことを定期的に確認しましょう。また、生成したQRコードは必ず実際にスキャンして動作を確認してください。
6. 作る側として安全なQRを発行するためのポイント
クイッシングは「読み取る側」の問題と思われがちですが、作る側の運用が雑だと、自分のQRが詐欺と区別できないものになってしまうこともあります。受け取った人に安心して読み取ってもらうために、次の点を押さえておきましょう。
6-1. 短縮URLを安易に使わない
短縮URLは便利ですが、読み取った人から見ると「リンク先がどこか分からない」状態になります。これはクイッシング詐欺の手口と全く同じ印象を与えるため、信頼を損ねます。可能な限り、自社や自店舗のドメインを使った直接URLでQRを発行しましょう。
6-2. http ではなく https のURLを使う
httpのURLは、最近のブラウザで「保護されていません」と警告が表示されます。読み取った人を不安にさせるだけでなく、通信内容が盗み見られるリスクもあります。必ず https のURLでQRを作るのが基本です。
6-3. 生成内容を必ずプレビュー確認する
特にWi-Fi QRやvCard QRは、QR化された後の文字列を見ずに配布すると、意図しないパスワードや古い連絡先がそのまま広まる可能性があります。QRに埋め込んだ内容をテキストで確認できるツールを使い、公開前に必ず中身をチェックしましょう。
6-4. 個人情報・パスワードの取り扱いに気を配る
vCardには電話番号・メール・住所が含まれます。Wi-Fi QRにはパスワードが含まれます。これらを名刺や張り紙にして配布すると、意図した範囲を超えて広まることを前提に運用する必要があります。社外配布用の名刺QRには自宅住所を入れない、ゲストWi-Fi用のQRは定期的にパスワードを変えるなど、配布範囲に応じた運用ルールを決めておきましょう。
6-5. 紙のQRは貼り替え対策をする
公共スペースや店舗入口にQRを貼る場合は、ラミネート、台紙への一体印刷、定期巡回、QRの近くに公式ドメインを文字で併記するなど、貼り替えに気づける運用にします。QRだけを単独で貼ると、読み取る側が正規品か判断しにくくなります。
6-6. ツールの自動チェックで安全性を担保する
Tool Factoria のQRコード生成ツールは、安全な発行のために以下の機能を備えています。
生成内容プレビュー
QRに埋め込まれる文字列をその場で確認。Wi-Fi / vCard 利用時は秘匿表示も可能
URL正規化と http 警告
スキーム抜けの自動補完、http の場合は安全性に関する警告を表示
コントラスト / 長URL警告
読み取り失敗を事前に防ぎ、再配布や貼り替えの隙を作らない
完全ブラウザ完結
Wi-Fiパスワード、vCardの個人情報、ロゴ画像はサーバーへ送信せず、端末内のみで処理
「信頼できるツールで作り、内容を確認してから配布する」という基本動作を徹底するだけで、自分が配布したQRが詐欺と疑われるリスクを大幅に下げられます。
まとめ
QRコードは便利な技術ですが、その「中身が見えにくい」という特性が詐欺に悪用されます。危険なのはQRを読み取ること自体ではなく、偽サイトでログイン情報や決済情報を入力してしまうことです。公共の場所や突然届いたメール・SMSのQRは慎重に扱い、支払い・ログイン・アプリ導入は公式アプリや公式サイトから入り直しましょう。作る側も、短縮URLを避け、httpsと公式ドメインを使い、貼り替えに気づける形で配布することが大切です。
参考情報
- FTC: Scammers hide harmful links in QR codes - QRコードで有害リンクを隠し、個人情報を盗む手口と対策が説明されています。
- FBI IC3: Cybercriminals Tampering with QR Codes - 物理・デジタルQRの改ざん、支払い先すり替え、URL確認の注意点が説明されています。
- NCSC: QR Codes - what's the real risk? - 公共空間のQR、メール内QR、個人スマホで読み取るリスクの違いが整理されています。