QRコードを悪用したフィッシング詐欺「クイッシング」に注意

なぜQRは騙されやすいのか

通常のフィッシングメールなら、リンクの文字列を見て「怪しいURLだ」と気づけることがあります。しかしQRコードは白黒の模様でしかなく、スキャンするまで飛び先が分かりません。しかも「公式のQRコードの上に、偽のQRコードのシールを貼る」という物理的な手口も報告されており、見た目だけでは本物と偽物の区別がつきません。

さらに、スマートフォンのメールセキュリティやスパムフィルターは、テキストのURLは検査できてもQRコードの画像の中身までは通常検査しません。この検知網の隙間を突く手口として、対策が急がれている分野です。

よくある手口

駐車場や自販機の支払いQRにシールで偽QRを重ねる、宅配便や税金の未納通知を装ったメール・SMSにQRを添付する、飲食店のメニューQRを偽物に差し替える、といった手口が典型例です。読み取った先で本物そっくりのログイン画面が表示され、IDやパスワード、クレジットカード情報の入力を促されます。

読み取る前に確認すべきこと

多くのカメラアプリは、読み取り後にすぐ開かず、飛び先のURLをプレビュー表示します。ここで一呼吸置いて、ドメイン名が正規のものか確認する習慣をつけてください。特に、支払いや個人情報の入力を求める画面に飛んだ場合は要注意です。QRコードにシールが重ね貼りされたような不自然な跡がないか、物理的な見た目も意識すると気づけることがあります。心当たりのない郵便物やSMSに添付されたQRは、そもそも読み取らないのが最も確実な対策です。

QRコードを作る側の心がけ

自分でQRコードを配布する立場のときは、印刷物として貼り出す場合に上から偽物を貼られる隙を作らないよう設置場所を工夫する、可能であれば読み取り後にワンクッション置けるURL（案内ページ経由など）にする、といった配慮が有効です。当サイトのQRコード生成は、URLやテキストに加えてWi-Fi接続用のQRコードも作成できます。生成はすべてブラウザ内で完結し、入力した内容がサーバーに送信されることはありません。