偽のQRコードを見分ける方法（「クイッシング」対策）
QRコードが安全かどうかは見た目ではわからないので、行動する前に行き先を確認しましょう。スマートフォンに表示されるWebアドレスを確認し、思いがけないメッセージに含まれるコードや、別のコードの上に貼られたステッカーには用心し、確認できないコードから開いたページでは決してパスワードやカード情報を入力しないこと。事業者は、コードを枠で囲む、定期的に点検する、コードの横に店名を印刷するといった方法でリスクを減らせます。
「クイッシング」とは
クイッシング（quishing）とは、QRコードを使ったフィッシングです。コードは単にWebアドレスを画像にしたものにすぎず、詐欺の本体はそれが開くページです。行き先がメニューでも偽のログインページでもパターンの見た目は同じなので、人は警戒を緩めがちです。また、テキスト中の悪質なリンクを調べるセキュリティフィルターは、画像を読まないこともあります。米国連邦取引委員会（FTC）は2023年12月に、まさにこの手口を説明した消費者向け警告を出しています。駐車メーターのコードを自分のものにすり替える詐欺師や、配達失敗のような緊急事態をでっち上げて急いでスキャンさせるメッセージなどです。
よくある2つの手口
上貼りステッカー。 犯罪者がコードを印刷し、本物の上に貼ります。駐車メーター、飲食店のテーブル、ポスター、募金箱などです。お客様は支払いやメニューの閲覧をしているつもりで、そっくりな偽ページに誘導されます。
頼んでもいないコード。 手紙、メール、SMSで、配達の再設定、銀行取引の確認、賞品の受け取りのためにコードをスキャンするよう求めてきます。急がせること自体が危険のサインです。
コードを開く前の7つのチェック
- スマートフォンに表示されるアドレスを読む。 iPhoneもAndroidも、開く前に行き先を表示します。ドメインを、想定していた相手と比べてください。カフェのメニューが聞いたこともないドメインを開くはずはありません。
- ステッカーやメッセージの短縮リンクを疑う。 短縮リンクは最終的な行き先を隠します。それ自体が危険なわけではありませんが、本来できるはずの確認が1つ失われます。
- コードそのものを見る。 別の印刷物の上に貼られたステッカーではないか。端がめくれていないか。ステッカーがあるはずのない場所ではないか。
- 自分がそれを待っていたか考える。 頼んでもいない郵便物やメッセージのコードは、特に疑ってかかりましょう。
- 自分で公式サイトに行く。 銀行や配送業者からだと名乗るコードなら、閉じて公式アプリかWebサイトを開きます。
- 確認できないページでは、ログイン情報やカード番号を決して入力しない。 アドレスが一致しているか、本当にそのページにいる必要があるかを確認しましょう。
- リンクをプレビューできるリーダーを使う。 スクリーンショットからコードを読み、何かを開く前に完全なアドレスを表示するツールを使えば、安全に中身を調べられます。
事業者がすべきこと
お客様向けにQRコードを印刷しているなら、あなたも防御の一部です。
- 上から覆われないように設置する。 ばら貼りのステッカーではなく、フレーム、透明カバー、卓上スタンドを使いましょう。
- コードの横に店名を印刷し、ページにも表示する。 ページに何が書かれているべきか知っているお客様は、偽物に気づけます。
- 決まったタイミングで点検する。 開店時に確認しましょう。特に支払いや寄付を扱う場所は重要です。
- 自分で管理するドメインの短縮リンクを使うか、行き先を審査する事業者を選ぶ。 動的コードなら、何か問題が起きたときにすぐ行き先を変えられます。不正利用をチェックする事業者なら、自分のコードが人をだますのに使われる可能性を減らせます。
- ポスターからたどり着くページでカード情報を求めない。 決済代行事業者がホストする支払いページへ案内しましょう。
怪しいものをスキャンしてしまったら
何も入力せずにページを閉じてください。パスワードを入力してしまったら、本物のサイトで変更し、2段階認証を有効にします。カード情報を入力してしまったら、カード会社に電話しましょう。ステッカーのことを施設に知らせ、必要に応じて自国の消費者保護機関にも通報します。
よくある質問
QRコードをスキャンしただけでスマートフォンが感染しますか？
スキャンはテキストを読み取るだけです。リスクはその後の行動から生まれます。悪質なページを開く、勧められたものをインストールする、ログイン情報を入力する、などです。スマートフォンを最新の状態に保ち、開いたページには注意しましょう。
開かずにQRコードを確認するには？
カメラアプリが表示するアドレスのプレビューを見るか、コードのスクリーンショットを、何かを開く前に内容を表示するツールで解読します。当サイトの無料QRコードリーダーなら、画像をアップロードせずにブラウザ内でこれができます。
QRコードを使うのは危険ですか？
ほかのリンクより危険ということはありません。信頼できる出どころから来て、想定どおりのサイトにつながるなら安全です。メールのリンクと同じように扱い、行動する前に行き先を確認しましょう。