✓この記事でわかること
- 1情報を入力していなくても、リンク移動やアプリ導入を別に確認する
- 2正規名らしい文字やHTTPSだけでリンク先を信頼しない
- 3QRの読取成功とリンク先の正規性は、異なる確認事項
QRコードを使って偽サイトへ誘導するフィッシングは「クイッシング」と呼ばれます。読み取り、リンクを開く、情報入力、アプリ導入を分けて考えます。「入力していなければ安全」と一律に判断することはできません。
1. 公的な注意喚起が挙げる手口
FTCは2023年の注意喚起で、駐車場のQRを別のコードで覆う手口と、配送失敗・アカウント異常を装って読み取りを急がせるメッセージを紹介しています。リンク先で情報を盗む偽サイトだけでなく、マルウェアの危険にも言及しています。
NCSCの2024年2月8日の説明は、メールのQRを個人スマートフォンで読むと、職場のPCと異なる保護環境へ移る点を挙げています。これは、その資料が示す攻撃の特徴です。日本の被害全体が急増しているという統計としては扱いません。
2. 駐車場の支払いQRを見たときの分岐例
次は架空の判断例であり、実在する駐車場での被害再現ではありません。駐車場の運営者を確認するための既知の案内先を parking.example とします。
読み取り前：QRの上に別のシール
貼り替えの可能性があります。シールの外観だけで正規・不正を確定せず、掲示物とは別に把握している運営者の連絡先や精算方法で確認します。
URL表示：HTTPSでも別のホスト名
https://parking.example.attacker.invalid/pay のホスト名は parking.example ではありません。正規名らしい文字を含むことと、既知のドメインであることを分けます。URL例は開くリンクにしていません。
その後：「未払い」を理由にアプリ導入
同じメッセージ内の電話番号や導入リンクで確認を続けず、既知の公式窓口へ切り替えます。カード番号を入力していなくても、アプリを入れたことは別の確認対象になります。
短縮URLやリダイレクトで最終的な行き先が分からない場合も、最初の表示だけで正規性を判断しません。HTTPSは通信の保護に関わる仕組みで、運営者や請求内容が正しいことの証明にはなりません。
3. どこまで操作したかを分けて記録する
- URLを表示しただけ：リンクを開いたか、情報を入力したか、ファイルやアプリを導入したかと区別します。QRの見た目だけでは被害の有無を判断できません。
- ページを開いた：追加の操作を止め、入力・ダウンロード・許可した操作を確認します。「開いただけなら様子見でよい」という保証はしません。
- パスワードや認証コードを渡した：対象サービスの既知の公式窓口・復旧手順へ移り、認証情報やログイン状態を確認します。使い回したパスワードがある場合は、他のサービスも確認対象です。
- 決済情報を渡した、または送金した：QR先の連絡先ではなく、カード会社・決済サービス・金融機関の正規窓口へ相談します。
- アプリや設定を導入した：導入したものと許可した内容を確認し、端末の公式サポートへ相談します。情報入力の有無だけでこの操作を無視しないようにします。
復旧操作は対象サービスや端末の案内に従います。判断材料として、メッセージ、表示されたURL、操作した時点、導入や入力の有無を分けて残します。不審なリンクを再度開いて確認する必要はありません。
4. QRを配布する側の確認範囲
当サイトのQR生成ツールは入力文字列をQRへ変換するもので、リンク先の正規性や安全性を審査する機能ではありません。文字数・配色の注意表示も、詐欺検知とは別です。生成ツールを使ったから安全なリンクになる、とは説明できません。
配布前に保存画像を読み取り、意図したURLと一致するか確認します。紙にはQRと併せて運営者と公式ドメインを文字で示すと、受け取る側が確認先を選ぶ材料になります。ただし併記された文字自体も正規性を保証するものではありません。
読み取りやすさの設定・余白・訂正レベルは同じURLによるQR生成比較で扱います。ここで確認するのは、機械が読めることと、リンク先を信頼できることを混同しない点です。