印刷したQRコードをシール詐欺から守る：各都市が取った対策

2026-10-17 · 更新 2026-10-26 security quishing print

印刷したQRコードをシール詐欺から守るには、駐車料金の精算機に偽のコードが現れたときに各都市が取った対応をまねてください。どの支払い方法が本物かを公に示し、全台を点検し、偽物をすばやく撤去し、サービスの利用者に注意を呼びかけ、通報の手段を用意することです。ここで確認した資料のどれも、改ざん防止ラベル、枠、カバーを検証していないので、どれも効果が実証されたとは言えません。

以下の事例は公共の駐車設備で、企業の印刷物ではありません。仕組みは同じ（犯罪者のコードが本物の上に貼られる）ですが、それを自社の看板に当てはめるのは私たちの解釈です。消費者側の話は偽のQRコードの見分け方をご覧ください。

2026年10月17日に事実確認。

3つの事例：ニューヨーク、ミシサガ、FTCの注意喚起

場所と時期	見つかったもの	公的な対応
ニューヨーク市、2025年6月（NYC DOT）	パーキングメーターに貼られたQRコード付きのシールが少なくとも1枚。利用者を、クレジットカード情報を求める第三者のページへ誘導していた	警察に通報、市内全域でメーターを点検、ParkNYCの利用者にアプリ内で通知
カナダ・ミシサガ、2026年4月（ミシサガ市）	チケット式精算機に偽のQRシール。市が把握したのは4月22日	職員が1時間以内に対応し約80枚を撤去。全精算機を点検する班を派遣
米国、2026年9月（FTC）	詐欺師がパーキングメーターの本物のコードを自分のコードで覆っているとの報告	消費者向け注意喚起。被害額や苦情件数はなし

当局が行った5つのこと

本物の支払い方法を明示した。 NYC DOTは、公式のParkNYCアプリと実物のメーターだけが時間制駐車の支払い方法だと示しました。ミシサガは「QRコードが市の駐車精算機の正規の支払い方法だったことは一度もない」と書いています。Which?は2025年6月、サウスエンド・オン・シー市議会も駐車精算機にQRコードを使っていないと報じました。企業なら、ウェブサイトやレシートに、自社のコードで何ができて何ができないかを1行書くのがこれに当たります。
全台を点検し、偽物をすばやく撤去した。 ニューヨークは市内全域の点検を始め、ミシサガは全精算機を確認する班を出しました。Cyber Security NSWは組織に対し、「設置したQRコードに改ざんや悪用の兆候がないか定期的に確認する」よう勧めています（日付のない資料で、PDFのメタデータとURLは2024年10〜12月を示しています）。怪しいシールを見つけたら、無料のQRコードリーダーがブラウザ内で写真をデコードし、アドレスを開かずに表示します。
利用者がすでにいる場所で知らせた。 ニューヨークは、ParkNYCの利用者にアプリ内通知が届くと発表しました。ミシサガは、機械に組み込まれたものではなく機械の上や近くに貼られたシールや、アドレスが微妙に違う支払いサイトなど、注意すべき兆候を挙げました。
通報の手段を用意した。 ニューヨークはParkNYCの電話番号とメールアドレスを示し、ミシサガは住民に311への電話を求め、FTCは不審なコードをスキャンした人をReportFraud.ftc.govへ案内しています。2026年1月のFBI FLASHはシールではなくメールによるクイッシングについての文書ですが、やはり組織に「不審なQRコードを通報するための明確な手順」を整えるよう勧めています。
警察に知らせた。 NYC DOTは警察に通報したと述べています。

数字が示すこと

数字は少なく、数えている対象もそれぞれ違います。

集計主体	集計対象	期間
Action Fraud（英国）、Which?と教区議会の転載経由	届け出のあったQRコード詐欺の被害額350万ポンド（Which?）、届け出784件で被害額約350万ポンド（転載）	2024年（Which?）、2024年4月〜2025年4月（転載）
FBI IC3年次報告書	報告書を全文検索しても、QRコード詐欺の分類や被害額は見つからなかった。QRコード詐欺への言及は暗号資産ATMの警告と、2025年7月の注意喚起のタイトルだけ	2025年
Microsoft、2026年第1四半期のメール報告（ベンダー）	メールでのQRフィッシング攻撃の件数が1月の760万件から3月の1,870万件へ、146%増加	2026年第1四半期
APWG、Mimecastを引用（ベンダー）	メール添付ファイル内の固有の悪意あるQRコードが655,673個。第3四半期の716,306個から9%減	2025年第4四半期
Unit 42、2026年2月の調査（ベンダー）	同社のクローラーで1日平均75,000件のQRコードを検出し、そのページの15%に悪意あるリンクへ誘導するQRコードが含まれていた	2026年2月時点

Action Fraudの2つの期間は異なり、どちらのページもAction Fraud自身のものではありません。行を合算しないでください。数えているのは届け出、攻撃件数、固有のコード、クローラーの検出数とばらばらです。実物の看板に貼られたシールを切り分けた数字はありません。

公的機関とベンダーの見方は一致していません。英国の国家サイバーセキュリティセンターは2024年2月のブログで、英国のQRコードを使った詐欺は「他の種類のサイバー詐欺と比べると比較的小規模」で、大半は駅や駐車場などの開かれた場所で起きる傾向があると述べています。ベンダーの数字は対象の四半期が異なり、Mimecastの件数は2025年第4四半期に減った一方、Microsoftは2026年第1四半期にメールでの増加を報告しています。印刷したコードがどれくらいの頻度で覆われるかを測った資料は、ここにはありません。

印刷したQRコードを改ざんから守る方法：実証されていること、されていないこと

ここで確認した資料のどれも、改ざん防止シール、縁取り、透明カバー、その他の物理的な保護を検証しておらず、確認した公的ページのどれもそれらを推奨していません。上の1〜5は資料が裏付ける対策で、以下は限界か、実証されていないアイデアです。

動的コードではシールを防げません。 偽のシールは自分のアドレスを持っているので、アカウントで何を編集しても、シールがエンコードする内容は変わりません。動的コードが対処するのは問題のもう半分です。QR Maker AIの動的URLコードでは、印刷したパターンは短縮リンクをエンコードしており、ランディングページが乗っ取られたり移転したりしても、刷り直さずに、次のスキャンから行き先を変えられます。APWGの報告書は、犯罪者もジェネレーターの行き先編集やスキャン計測の機能を使っていると指摘しているので、どちらもそれだけでは安全策になりません。編集の仕組みは動的コードを作成して確かめられます。

アイデア1（未実証）：スキャン数を見張る。 Bitlyの信頼性・安全性担当プロダクトマネージャーは、スキャン数が突然ゼロになった実物のコードは「改ざんされたか、詐欺のコードで覆われた可能性がある」と述べています。これは仮の例を添えたベンダーの提案でデータはなく、誤報も出ます。季節が終わる、キャンペーンが終了する、看板が移動する、といった場合です。減少は、現地へ見に行くきっかけとして扱ってください。当社の無料プランでは、1か月に計測したスキャンが500回を超えるとカウントが止まり、コードのリダイレクトは続くので、月末に線が平らになっても、シールではなく上限の可能性があります。QRコードのスキャン数を計測する方法をご覧ください。

アイデア2（未実証）：人が見慣れたドメインを使う。 セキュリティベンダーのUnit 42は2025年4月、「人はスマートデバイスのカメラアプリを通してドメイン名しか見られない」と書いていますが、根拠の方法は示していません。そうだとすれば、go.example.comのような自分のドメインを開くコードは、スキャンする人に見慣れた比較対象を与えます。これは私たちの推論で、ここで確認した資料はどれも検証していません。Businessプランには、自分が所有するサブドメインで使う独自の短縮リンクドメインが1つ含まれます（料金）。

アイデア3（未実証）：コードを看板に直接印刷する。 ミシサガは、機械に組み込まれたものではなく、機械の上や近くに貼られたシールを注意すべき兆候としています。NSWの資料も、上から重ねたコードは見て、あるいは触って分かることがあると述べています。本物のコードが看板そのものに印刷されていれば、上に貼られたものはより目立つはずです。それが抑止になるかを検証した資料はありません。

よくある質問

動的QRコードなら、上にシールを貼られるのを防げる？

防げません。シールは自分のアドレスをエンコードしているので、動的コードでできるのは、自分のコードの行き先を変えることだけです。

改ざんできないQRコードのシールはある？

ここで確認した公的ページのどれも、改ざん防止シール、枠、カバーを評価していないので、この記事ではどれも推奨できません。各都市は点検、迅速な撤去、公的な注意喚起に頼っていました。

自分のコードの上に偽のシールを見つけたら？

各都市はシールを撤去して利用者に注意を呼びかけ、ニューヨークは警察に通報しました。米国では、FTCが不審なコードをスキャンした人にReportFraud.ftc.govで通報するよう求めています。

出典

NYC DOT — NYC DOT Issues Parking Meter Scam Advisory. Published 6 June 2025. Accessed 17 October 2026.
City of Mississauga — City warns about fraudulent QR codes on parking machines. Published 24 April 2026. Accessed 17 October 2026.
Federal Trade Commission — See a QR code parked somewhere? Don't scan it…yet!. Published 3 September 2026. Accessed 17 October 2026.
Which? — Quishing scams warning: how to spot and avoid dodgy QR codes. Published 25 June 2025. Accessed 17 October 2026.
Cyber Security NSW — Quick Response (QR) code Fact Sheet. Undated; PDF metadata and web address point to October to December 2024. Accessed 17 October 2026.
Federal Bureau of Investigation — North Korean Kimsuky Actors Leverage Malicious QR Codes in Spearphishing Campaigns Targeting U.S. Entities. Published 8 January 2026. Accessed 17 October 2026.
Croft Parish Council — New quishing alert: £3.5 million lost last year to fraudulent QR codes. Published 15 July 2025 (reposts an Action Fraud notice). Accessed 17 October 2026.
Federal Bureau of Investigation — 2025 IC3 Annual Report. Undated in the PDF text. Accessed 17 October 2026.
Microsoft Threat Intelligence — Email threat landscape: Q1 2026 trends and insights. Published 30 April 2026. Accessed 17 October 2026. (vendor data)
APWG — Phishing Activity Trends Report, 4th Quarter 2025. Published 18 February 2026. Accessed 17 October 2026. (vendor data, from member Mimecast)
Palo Alto Networks Unit 42 — Phishing on the Edge of the Web and Mobile Using QR Codes. Published 13 February 2026. Accessed 17 October 2026. (vendor data)
National Cyber Security Centre (UK) — QR Codes - what's the real risk?. Published 8 February 2024; page metadata shows a March 2025 update. Accessed 17 October 2026.
Bitly — How Dynamic QR Codes Help Businesses Fight Fraud (From an Expert). Published 22 May 2025. Accessed 17 October 2026. (vendor data)
Palo Alto Networks Unit 42 — Evolution of Sophisticated Phishing Tactics: The QR Code Phenomenon. Published 1 April 2025. Accessed 17 October 2026. (vendor data)