偽のQRコードとクイッシング：読み取る前に見抜く方法

偽のQRコードとは？

偽のQRコードとは、詐欺師が仕掛けたQRコードで、置かれた場所から想像されるものの代わりに、フィッシングページ、偽の支払いページ、ダウンロードを開くものです。模様はまったくふつうのQRコードで、マスの中に偽物だと示すものは何もありません。コードを偽物にするのは、それが置かれた場所と、それが導く先です。

QRコードはテキストを格納しており、ほとんどすべての詐欺では、そのテキストはWebアドレスです。URL QRコードが格納しているのも、まさにこのアドレスです。コードを読み取ってもスマートフォン上で何かが実行されるわけではなく、カメラはアドレスを読んで、開くかどうかを尋ねるだけです。被害は開いたページで始まります。駐車場運営者の支払いページの複製、Microsoft 365に見せかけたログインページ、カード情報を求める荷物の再配達フォーム、アプリのインストールを促す画面などです。

FBIは2022年1月18日の公共広報（PSA）でこれについて警告し、犯罪者がデジタルと物理の両方のQRコードを改ざんして、ログイン情報や金融情報を盗む悪意のあるサイトへ被害者を誘導していると述べました。FTCも2023年12月6日の消費者向け警告で同じ注意を繰り返しました。

クイッシングとは？

クイッシングとは、クリックできるリンクの代わりにQRコードを使って行われるフィッシングで、セキュリティ業界がQRとフィッシング（phishing）を組み合わせて作った言葉です。QRコードはたいてい、見慣れた送信者をまねたメールやPDFの添付ファイルで届きます。パスワードのリセット、多要素認証の通知、共有ドキュメント、荷物の配達などを装い、スマートフォンで読み取るよう求めます。

メールでのクイッシングが成り立つのには、技術的な理由が2つあります。1つ目は、リンクが画像の中にあることです。英国の国家サイバーセキュリティセンター（NCSC）は2024年2月に、すべてのメールセキュリティツールが画像を検査するわけではないと指摘しました。テキストならブロックされるリンクが、QRコードとしてなら通ってしまうことがあります。2つ目は、読み取ることで被害者が仕事用のパソコンから個人のスマートフォンへ移ることです。Cisco Talosが2024年2月に指摘したとおり、個人のスマートフォンはほとんどの企業のセキュリティ監視の外にあります。

メールのフィルターも追いつきつつあります。Microsoftは2024年11月に、Microsoft Defender for Office 365がメールの配信の早い段階でQRコード画像に隠れたURLを抽出できるようになり、ほかのリンクと同じように検査されると発表しました。これで隙間は狭まりますが、ふさがりはしません。同じコードが、PDF、手紙、テキストメッセージとして届くこともあるからです。

ほとんどのクイッシングを正規のメールと分ける目印が1つあります。本物のサービスが、サインインのためにパソコンで受け取ったメールのQRコードを読み取るよう求めることはめったにありません。アカウントを守るために、今すぐスマートフォンを手に取って読み取るよう急かすメッセージは、立ち止まるべきパターンです。

偽のQRコードが現れる場所

偽のQRコードは、人が急いで支払いや操作をしようとし、誰がそこにコードを置いたのかを簡単には確かめられない場所に現れます。NCSCは2024年2月の評価で、QRコード詐欺のほとんどは駅や駐車場のような開かれた場所で起きているとしました。記録に残る事例は、いくつかの場面に集中しています。

駐車料金の詐欺に対して、QRコードを使っていないとはっきり表明した自治体もあります。ケンジントン・アンド・チェルシーは2025年1月に、自区の駐車システムはQRコードをまったく使っていないと述べ、ハートルプールは2025年5月に、自市のチケット式精算機では今後もQRコードを使わないと述べました。運営者がそう表明している機械にあるQRコードは、それだけで偽物です。

偽のQRコードの見分け方

偽のQRコードを見分けるには、開く前に3つのことを確認します。コードが何かの上に貼られたシールでないか、その場所にそもそもコードがあると思っていたか、そしてスマートフォンのプレビューに表示されたドメインが、相手だと思っている組織のものか、です。最も多くを見抜けるのはドメインの確認です。詐欺師がごまかせないのはそこだからです。

ドメインとは、リンクが開くWebサイトの名前で、https://と次の単独のスラッシュの間の部分です。https://parking.example-city.gov/payではドメインはparking.example-city.govで、https://example-city.gov.pay-now.ioでは、先頭に何が書かれていてもpay-now.ioです。右から読んでください。最初の単独のスラッシュの直前の部分が、どこにいるのかを決めます。

リンクの先頭にある鍵のマークやhttpsは、ページが本物だという意味ではありません。通信が暗号化されているというだけで、詐欺のページも本物のページと同じようにふつうにhttpsを使っています。

開く前にQRコードを確認する方法

開く前にQRコードを確認するには、スマートフォンが表示するリンクを、タップせずに読みます。iPhoneやiPadでのAppleの手順は、カメラをコードに向けてから、リンクをタップして開くというものです。その2つの手順の間が、リンクを読むための時間です。AndroidのカメラアプリやGoogle Lensでも、ふつうはリンクがタップするボタンとして表示されるので、同じように読む時間があります。

1. 読み取る前にコードを見る. コードの縁を指でなぞってください。印刷されたコードの上に貼られたシール、カードリーダーを備えた機械にあるコード、組織の名前のない通知にあるコードは、ここで止まる理由になります。
2. スマートフォンのカメラで読み取る. ダウンロードしたスキャナーアプリではなく、カメラアプリかGoogle Lensを使います。FBIもNCSCも、スマートフォンに組み込まれたスキャナーを使うよう勧めています。
3. プレビューでドメインを読む. タップする前に、スマートフォンが表示するドメインを読みます。組織自身のドメインが正しいつづりで表示され、そのあとにおかしなものが続いていないはずです。
4. プレビューが分かりにくければ写真をデコードする. コードを撮影し、その写真をブラウザで動くQRコードスキャナーで開きます。リンク全体を開かずにテキストとして表示してくれます。
5. 支払いやログインは自分でアクセスする. コードが支払いやサインインにつながるなら、閉じて、組織のアドレスを入力するか公式アプリを開いてください。FBIは、QRコードでたどり着いたサイトで支払うのを避けるよう勧めています。

プレビューにリンクの一部しか表示されないときは、リンク全体を読む価値があります。Palo Alto Networksの研究チームであるUnit 42は2025年4月に、スマートフォンのカメラアプリはドメインしか表示しないこと、そして詐欺師が正規のWebサイトのリダイレクトを経由させて、最初のドメインを無害に見せることを指摘しました。円形やカスタム形状のQRコードを作れる無料のQRコード作成ツールであるKoloQRには、スクリーンショットや写真をブラウザ内で読み、何もアップロードせずに、中に含まれるリダイレクトのパラメーターも含めてリンク全体をテキストとして表示するQRコードスキャナーがあります。画像からコードを読むほかの方法は、画像からQRコードを読み取る方法を参照してください。

QRコードは安全？

QRコードの安全性は、その中のリンクや操作しだいです。スマートフォンのカメラでコードを読み取っても、テキストが読まれるだけです。危険が始まるのは、リンクを開いたとき、ページに情報を入力したとき、勧められたアプリをインストールしたとき、あるいはWi-Fiネットワークへの接続や支払いの開始のような操作を承認したときです。予期していたコードで、信頼できる組織が自分で印刷したものにあるなら、危険は低いと言えます。

スマートフォン自体にもQRコードに関する不具合があったことがあり、だからこそFTCはシステムを最新に保つことを推奨事項に入れています。2018年3月には、iOS 11のカメラアプリがプレビューにはあるWebサイトを表示しながら、別のサイトを開くことがあると研究者が示し、AppleはiOS 11.3でこれを修正しました。信頼できるプレビューは、最新の状態のスマートフォンがあってこそです。

リンク以外のデータは、別のことを求めてきます。Wi-Fi QRコードはネットワークへの接続を、連絡先のコードは連絡先の保存を求め、電話やSMSのコードは、あなたが発信または送信する通話やメッセージを入力します。リンクを読むのとまったく同じように、受け入れる前にスマートフォンが何を提案しているのかを読んでください。

ダウンロードしたスキャナーアプリは、危険を減らすどころか増やします。FBIの2022年の公共広報は、ほとんどのスマートフォンにはすでにカメラに読み取り機能があるので、QRコードスキャナーアプリをダウンロードしないよう述べています。別のスキャナーは、スマートフォン上で権限を持つアプリが1つ増えるだけで、カメラより上手にコードを読めるわけでもありません。

偽のQRコードを読み取ってしまったときにすべきこと

偽のQRコードを読み取っただけでページを閉じたなら、まず問題はありません。リンクを読むだけでは、誰にも自分の情報は渡りません。ページで何かを入力したなら、その日のうちに、下の順番で対応してください。FTCの2025年1月の警告は、QRコードが開いたページに情報を入力してしまった人に、同じ手順を示しています。

1. カードや銀行口座の情報： カードの裏にある番号に電話し、カードを止めて最近の支払いを確認するよう銀行に依頼します。
2. パスワード： 本物のサイトで変更し、同じパスワードを使っているほかのすべてのサイトでも変更します。2要素認証を有効にしてください。
3. インストールしたアプリ： 削除し、スマートフォンの設定で、そのアプリが追加したデバイス管理プロファイルや権限がないか確認します。
4. 住所や生年月日などの個人情報： 信用情報を確認し、身に覚えのない口座が開かれていないか明細に注意します。
5. 報告する： シールなら駐車場の運営者や自治体に、メールならメールのプロバイダーや勤務先のIT部門に報告します。米国ではFBIのIC3かFTCに、英国ではAction Fraudに報告できます。

コードがパーキングメーターにあったなら、次のドライバーが使う前にシールがはがされるよう運営者に知らせてください。そして本物の駐車違反の切符まで切られないよう、駐車料金は公式の方法で支払ってください。

企業が印刷したQRコードを守る方法

企業が印刷したQRコードを守るには、主に、上に貼られたシールに気づきやすくすることと、本物の遷移先を確かめやすくすることです。これを定めた公式の規格はありません。下の対策は駐車場の詐欺の手口から導かれる実用的なもので、メニュー、支払いの案内、ポスターのどれにも当てはまります。

• コードの下にドメインを印刷する。 「pay.yourshop.com が開きます」のような一行があれば、読み取る人はプレビューと見比べられます。シールで偽装するなら、その文字まで覆わなければなりません。
• コードを貼るのではなく、看板に刷り込む。 デザインに刷り込まれたコードや、ラミネート加工されたコード、ガラスの奥にあるコードなら、上に貼られた差し替えはすぐに分かります。
• 無人の看板を定期的に点検する。 偽のシールを見つけた英国の自治体の中には、職員が機械を点検してシールを取り除くようにしたところもあります。カウンターから見えない支払いの案内も同じように扱うべきです。
• 自社のドメインを使う。 yourshop.comを開くコードは、短縮リンクのサービスを開くコードより信頼しやすく、自社の管理下にとどまります。
• 支払いの案内には受取人の名前を載せる。 Venmo QRコードやPayPal QRコードなら、コードの横にユーザー名を印刷しておけば、支払う人は開いたページと照らし合わせられます。
• 使っていないものを客に伝える。 QRコードで支払いを受け付けていないなら、いくつかの自治体が今そうしているように、機械にそう書いてください。

確かめやすいのは静的なコードのほうです。模様に印刷されたリンクが最終的な遷移先だからです。動的なコードは、読み取りのたびにまずリダイレクトを経由します。遷移先を変える必要があるときには便利ですが、見えているリンクは開くページではないということになります。それぞれがどんなときに適しているかは、静的QRコードと動的QRコードの違いで説明しています。

モックアップやテスト用の偽のQRコードが必要なときは？

デザインのモックアップ、小道具、テスト印刷には、https://example.comのような無害な予約済みアドレスを指す本物のQRコードを使ってください。RFC 2606はexample.com、example.net、example.orgを説明用に予約しているので、コードは読み取れてプレースホルダーのページが開き、ドメインの持ち主が変わって誰かを予期しない場所に導くことも決してありません。

2つの近道は避けてください。有効なコードではないランダムなマスの模様は、QRコードを知っている人には不自然に見え、スキャナーを固まらせます。自分のものではない本物のサイトや、あとで使い回されるかもしれない短縮リンクを指すコードは、モックアップを読み取った人を、あなたが見たこともないページに送るおそれがあります。

KoloQRのジェネレーターなら、どんなアドレスからでも数秒でプレースホルダーのコードを作れます。完成デザインと同じ形と色で作れるので、モックアップで実際のサイズと見た目を示せます。アートワークを印刷に回す前に、本番のリンクに差し替えてください。