2026年のQRコードニュース：小規模事業者が知っておくべき8つの変化

2026年のQRコードのニュースは2つの方向に分かれます。FBI、FTC、各地の当局、Meta、Microsoftが悪意あるコードについての警告や攻撃件数を公表する一方で、標準化団体や税務当局は、QRコードをバーコード、規格、請求書に組み込み続けました。以下は日付の付いた8つの動きです。資料の裏付けがある場合は、それぞれの最後に小規模事業者にとっての意味を書いています。

2026年10月17日に事実確認。

8つの動きの概要

悪意あるQRコードに関する警告

1. FBIは、QRコードがメールのフィルターをすり抜けると指摘

FBIの2026年1月8日のFLASH AC-000001-MWは、北朝鮮のグループKimsukyがシンクタンクや政府機関にQRコードをメールで送っていたことを説明しています。FBIによると、こうした攻撃はQR画像を添付ファイルや埋め込み画像として送ることが多く、URLの検査や書き換え、サンドボックスを回避し、被害者をスマートフォンへ誘導します。FBIは、求めていないコードについて「出どころ（メール、手紙、チラシ、パッケージ）を問わず」職員を教育するよう勧めています。

小規模事業者にとって： この警告の対象は北朝鮮と関わりのある組織で、店舗ではありません。確認方法は単純です。予期しないコードは、パスワードを入力したりファイルをダウンロードしたりする前に、別の手段で送り主に確認してください。

2. Microsoftの集計では、QRフィッシングは増えた後に減った

Microsoftの2026年第1四半期のメール脅威レポートによると、QRコード攻撃は1月の760万件から3月の1,870万件に増えました。第2四半期のレポートは、4月に7%減って1,740万件、5月に38%減り、6月は830万件で終わったとしています。このときQRフィッシングは「2025年半ば以来の水準に戻った」とのことです。

小規模事業者にとって： これは1社のベンダーの検出件数（ベンダーデータ）で、QRの節では攻撃をどう数えたかが説明されていないので、業界全体の総数ではなく傾向として読んでください。いずれにしても、偽のQRコードの見分け方のガイドが役立ちます。

3. 駐車場の精算機に偽のシールが現れた

ミシサガ市は4月24日に警告し、「市の有料駐車精算機で見つかったQRコードはどれも正規のものではない」と述べ、偽のシールを約80枚撤去したと発表しました。FTCの9月3日の注意喚起は、詐欺師がパーキングメーターの本物のQRコードを自分のコードで覆っているとの報告があったとし、リンクのプレビューに綴りの誤りや入れ替わった文字がないか確認するよう勧めています。オークランド・トランスポートは9月8日、同社のパーキングメーターや精算機にはQRコードを一切使っていないと述べました。

小規模事業者にとって： 2つの当局は運転者に、点検の要らないルールを示し、FTCは実際に存在するコードの確認方法を加えています。自社の印刷したコードについては、印刷したQRコードをシール詐欺から守るをご覧ください。

4. WhatsAppがデバイス連携についての警告を発表

Metaの2026年3月11日の発表によると、詐欺師は、偽の口実でQRコードをスキャンさせるなどして、WhatsAppのアカウントを自分のデバイスに連携させようとすることがあります。WhatsAppの警告は、リクエストがどこから来たかを示し、詐欺の可能性があると注意を促します。

小規模事業者にとって： Metaの説明では、QRコードのスキャンは、詐欺師がアカウントを自分のデバイスに連携させようとする手口の1つです。

バーコードと規格

5. GS1は2027年末までにレジのスキャナーが2次元バーコードを読めるようにしたい

バーコードの標準化団体GS1は2026年8月のポジションペーパーで、業界が目標を定めたと述べています。2027年末までに、すべての小売店のPOSシステムが、定められたGS1準拠の2次元バーコードを読めるようにする、というものです。2025年12月のガイドラインは、この移行を「任意」とし、1次元バーコードは「なくならない」としています。このガイドラインは目標を「Ambition 2027」と呼び、GS1 USは「Sunrise 2027」と呼んで、それまでにすべての2次元の機能を実装する必要はないとしています。レジで使う形式は、GS1 DataMatrix、GS1 Digital LinkのURI構文を使うData Matrix、GS1 Digital LinkのURI構文を使うQRコードです。GS1 Digital LinkのURI構文で書かれていない、普通のウェブアドレスを入れたQRコードは、これに含まれません。

2026年4月、Tescoはプレスリリースで、自社ブランドのソーセージ13品目をバーコードからQRコードに切り替えると発表し、製品シリーズ全体を新しい仕組みに切り替えた英国初のスーパーマーケットだとしました。2026年10月時点で、GS1の目標は業界の任意の目標で法律ではありません。また、これは法的助言ではありません。

小規模事業者にとって： 買い物客が家でスキャンするためのパッケージ上のコードは、レジのバーコードとは別物です。QR Maker AIのもの（2026年10月時点、無料プランで有効なもの3つ）のような動的コードは短縮リンクをエンコードするので、行き先を変えた後の次のスキャンから新しいアドレスへ移り、刷り直しは要りません。ただしGS1 Digital Linkのコードではないので、レジのバーコードの代わりにはなりません。製品パッケージのQRコード、QRコードのリンクはいつまで機能させる必要があるかをご覧いただくか、動的コードを作成してください。

6. ISOがQRコード規格の第5版の作業を開始

ISOの委員会のページは、ISO/IEC 18004:2024に代わるISO/IEC 18004第5版を作成中としており、プロジェクトは2026年2月25日に承認され、意見募集期間は2026年6月19日に終了しました。

小規模事業者にとって： ページには何が変わるかが書かれていないので、今のところ準備すべきことはありません。

決済と請求書（地域別）

7. インド：UPIの加盟店手数料が10月15日から適用

NPCIの2026年9月15日付のFAQ文書によると、2026年10月15日から、₹2,000を超える個人から加盟店へのUPI支払いに0.4%の加盟店手数料がかかり、₹75,000以上では1回の支払いにつき₹300が上限で、一部の業種は料率が異なります。₹2,000までの支払いは対象外で、UPIのQRで直接口座に入金される額が月₹1 lakh（10万ルピー）までの小規模加盟店は手数料ゼロのままです。

小規模事業者にとって： NPCIは、既存のQRスタンドやサウンドボックスを交換する必要はないとしています。この文書は開始日より前のもので、ここで扱う資料には規則の影響に関するデータはありません。

8. スペイン：請求システムの規則で請求書にQRコードが加わる

スペインの税務当局は2026年10月13日更新のページで、請求システム（SIF）の規則が発行者に適用されると、完全版でも簡易版でも、すべての請求書にQRコードを付けなければならないとしています。2025年12月の勅令法は、請求システムの期限を、第3条1項a)の納税者は2027年1月1日より前、第3条1項のその他の納税者は2027年7月1日より前と定めています。

小規模事業者にとって： QRコードが適用されるのは請求システムの規則の対象となる発行者で、税務当局のページによれば、請求書の発行が不要な取引は対象外なので、自社が対象かどうかを確認してください。これらの日付は2026年10月時点のもので、変わる可能性があるので、公式の文書を確認してください。これは法的助言ではありません。

よくある質問

2026年、QRコードのフィッシングは増えている？

Microsoftの第1四半期のレポートでは、攻撃件数は1月の760万件から3月の1,870万件に増えましたが、その後の第2四半期のレポートでは6月に830万件まで減っています。1社のベンダーのデータで、業界全体の総数ではありません。

レジでQRコードがバーコードに取って代わる？

GS1の目標は、2027年末までにレジのスキャナーが1次元と2次元の両方のバーコードを読めるようにすることで、ガイドラインは1次元バーコードはなくならないとしています。移行は任意です。

これで普通のQRコードの働きは何か変わる？

私たちが読んだ資料には、ウェブページを開くQRコードの作り方や読み取り方が変わると書いたものはありません。ISOのページは規格の第5版を作成中としていますが、何が変わるかは書いていません。GS1、決済、請求書の項目は、特定の形式に関するものです。

出典

1. FBI Internet Crime Complaint Center — North Korean Kimsuky Actors Leverage Malicious QR Codes in Spearphishing Campaigns Targeting U.S. Entities (FLASH AC-000001-MW). Published 8 January 2026. Accessed 17 October 2026.
2. Microsoft Threat Intelligence — Email threat landscape: Q1 2026 trends and insights. Published 30 April 2026. Accessed 17 October 2026. (vendor data)
3. Microsoft Threat Intelligence — Email threat landscape: Q2 2026 trends and insights. Published 23 July 2026. Accessed 17 October 2026. (vendor data)
4. City of Mississauga — City warns about fraudulent QR codes on parking machines. Published 24 April 2026. Accessed 17 October 2026.
5. Federal Trade Commission — See a QR code parked somewhere? Don't scan it...yet!. Published 3 September 2026. Accessed 17 October 2026.
6. Auckland Transport — Aucklanders warned about scam parking meter QR codes. Published 8 September 2026. Accessed 17 October 2026.
7. Meta — Meta Launches New Anti-Scam Tools, Deploys AI Technology to Fight Scammers and Protect People. Published 11 March 2026. Accessed 17 October 2026.
8. GS1 — Position Paper: Migration to a single GS1 conformant 2D barcode for retailer private label, retailer-exclusive and in-store labelled products. Release 2.0, August 2026. Accessed 17 October 2026.
9. GS1 — 2D Barcodes at Retail Point-of-Sale Implementation Guideline. Release 1.1.0, ratified December 2025. Accessed 17 October 2026.
10. GS1 US — What is GS1 Sunrise 2027?. Undated. Accessed 17 October 2026.
11. Tesco PLC — Tesco sausage range becomes first UK products to switch over exclusively to QR codes. Published 20 April 2026. Accessed 17 October 2026.
12. ISO/IEC JTC 1/SC 31 — ISO/IEC WD 18004, QR code bar code symbology specification (Edition 5). Stage dates February to June 2026. Accessed 17 October 2026.
13. National Payments Corporation of India — Merchant Discount Rate (MDR) on Select UPI (P2M) Transactions: Frequently Asked Questions. Dated 15 September 2026. Accessed 17 October 2026.
14. Agencia Tributaria (Spain) — Cuestiones generales: Sistemas informáticos de facturación y VERI*FACTU. Page updated 13 October 2026. Accessed 17 October 2026.
15. Boletín Oficial del Estado — Real Decreto-ley 15/2025, de 2 de diciembre. Published 3 December 2025. Accessed 17 October 2026.