よくあるQRコード詐欺の事例には、駐車場の精算機に貼られた偽シール、宅配業者を装った偽の不在通知、アカウントの「確認」のためにQRコードを読み取らせるメール、景品や割引をうたうチラシなどがあります。どれも目的は同じで、偽ページに誘導してログイン情報、カード情報、お金をだまし取ることです。開く前にリンクを確認しましょう。
QRコードは文字を入力しなくて済むから便利です。犯罪者が好むのも同じ理由からです。QRコードは目で読めないため、危険なリンクを簡単に隠せます。ここでは、実際によく遭遇するシナリオと、それぞれがだまされやすい理由、注意すべきサインを紹介します。
公共の場所での支払い詐欺
駐車場の精算機やEV充電器に貼られた偽シール
手口： 詐欺師がQRコードを印刷し、駐車場の精算機、駐車場の看板、電気自動車の充電器にある本物のコードの上や横に貼り付けます。偽のコードは公式そっくりの支払いページにつながっています。駐車料金を払うつもりでカード情報を入力すると、それが犯罪者の手に渡ります。
危険なサイン：
- 案内板のほかの部分と比べて、シールが新しい、分厚い、ずれている、微妙に違う
- Webアドレスが正規の駐車場運営会社や自治体のものと一致しない
- カードの暗証番号やマイナンバーなど、支払いに必要な範囲を超えた情報を求められる
- 予想外の「手数料」や定期購入の案内が出てくる
安全な習慣： 知らないコードではなく、公式アプリや、案内板に印刷されたWebサイトを手入力して使いましょう。
店舗や屋台の偽の支払い用QRコード
手口： 犯罪者が、店のレジや屋台にある本物のQRコードの上に、自分の支払い用QRコードを重ねて貼ります。お客さんは支払ったつもりでも、お金は別の口座に送られてしまいます。PayPayなどのコード決済やタイのPromptPayのように、確定前に受取人名が表示されるアプリでは、その名前を確認することが最大の防御策です。詳しくは QRコード決済の安全対策 をご覧ください。
危険なサイン：
- アプリに表示された受取人名が店の名前と一致しない
- 別のシールの上に後から貼られたように見える
- スタッフが、あなたが読み取ろうとしているコードを把握していない様子
安全な習慣： 確定ボタンを押す前に、必ずアプリで受取人名と金額を確認しましょう。
郵便やメールで届く詐欺
宅配の不在通知
手口： 郵便受けに不在票が入っていたり、荷物を配達できなかったというメッセージが届いたりします。QRコードを読み取ると、少額の「再配達手数料」の支払いや「住所の確認」を求めるページが開きます。本当の狙いは、カード情報や個人情報です。
危険なサイン：
- 荷物が届く予定がない、または通知に差出人の名前がない
- 少額の手数料を急いで払うよう求められる
- 宅配業者の名前のつづりが少し違う、ロゴがどこかおかしい
- リンクが宅配業者の公式サイトではなく、見慣れないドメインを使っている
安全な習慣： 荷物の追跡は、注文したショップから届いた追跡番号か、宅配業者の公式アプリで行いましょう。
QRコード付きのフィッシングメール
手口： 銀行、社内のIT部門、有名なサービスを名乗るメールが届きます。パスワードの有効期限が切れる、書類が届いている、アカウントがロックされる、などと伝え、QRコードを読み取るよう求めます。読み取らせることで、セキュリティ対策のある会社のパソコンから個人のスマホへと移動させ、偽のログインページを見抜きにくくするのです。詳しくは QRコード付きフィッシングメール のガイドで解説しています。
危険なサイン：
- 数時間以内など、急いで対応するよう迫られる
- 普通のリンクで済むはずなのに、わざわざQRコードになっている
- 送信元のアドレスが組織のものと一致しない
- いつも使うアドレスではなく、QRコード経由でログインページにたどり着く
安全な習慣： 自分でアドレスを入力するか公式アプリを使ってサービスを開き、そこでアカウントの状態を確認しましょう。
チラシ・ポスター・共用スペースの偽コード
チラシ、ポスター、「無料プレゼント」の誘い
手口： 車に挟まれたチラシ、公共の場所のポスター、店頭のリーフレットなどが、割引、無料プレゼント、抽選、求人をうたいます。QRコードの先は、個人情報を集めるページ、アプリのインストールを求めるページ、景品の「送料」として少額を請求するページです。
危険なサイン：
- 気前がよすぎる特典
- マイナンバー、口座情報、ワンタイムパスワードを求められる
- 公式アプリストア以外からアプリをダウンロードするよう促される
- 会社名、所在地、連絡先がはっきり書かれていない
安全な習慣： 本物のキャンペーンであれば、たいていその会社の公式サイトや公式SNSでも確認できます。
飲食店・ホテル・無料Wi-Fiの案内に貼られたコード
手口： 頻度は高くありませんが、あり得る手口です。偽のメニュー用コードや「無料Wi-Fi」のコードがテーブルや壁に貼られ、SNSやメールアカウントでのログインや、メニューを見る前の支払いを求めるページにつながります。
危険なサイン： メニューやWi-Fiのページなのに別サービスのパスワードを求めてくる、まだ何も注文していないのに決済情報を求めてくる。
QRコードを読み取る前のクイックチェックリスト
ここまでのどのシナリオにも使えるチェックです。
- コードをよく見る。何かの上に貼られたシールではないか？
- その場所にQRコードがあるのは自然か考える。駐車場の精算機やメールで、なぜ読み取らせる必要があるのか？
- 開く前にリンクをプレビューし、ドメイン名を注意深く読む。
- 本当のリンク先が隠れている短縮URLには特に注意する。
- 予想外のコードからたどり着いたページで、パスワード、ワンタイムコード、カード情報を絶対に入力しない。
- 迷ったら、自分で公式サイトや公式アプリを開く。
各ステップをさらに詳しく知りたい方は、QRコードを読み取る前の10のチェック をご覧ください。
よくある質問（FAQ）
最も多いQRコード詐欺は何ですか？
狙いとして最も多いのは、偽の支払いページと偽のログインページです。駐車場の精算機のシール、不在通知、フィッシングメールなど形はさまざまですが、どれもあなたの情報やお金を手に入れようとしています。
偽のQRコードはどうやって見分けられますか？
別のコードの上に貼られたシールではないかを確認し、開く前にWebアドレスをプレビューして、ドメインが想定している組織のものかを確かめましょう。
偽ページに情報を入力してしまったらどうすればいいですか？
カードや口座の情報を入力したなら、すぐに銀行やカード会社に連絡してください。入力したパスワードは変更し、2段階認証をオンにしましょう。不審なQRコードを読み取ってしまったとき の対処法を順を追って解説しています。
QRコード詐欺は警察に届け出られますか？
はい。詐欺の被害は警察や銀行に届け出ることができます。日本では警察相談専用電話（#9110）や消費者ホットライン（188）でも相談できます。多くの国の消費者保護機関も被害の報告を受け付け、最新の詐欺について注意喚起を行っています。
信じる前に確認しよう
ほとんどのQRコード詐欺は、よく見ずにリンクを開いてしまうことにつけ込みます。見慣れないコードを開く前に、QR-THの オンラインQRコードリーダー で読み取ってみてください。先にリンク先が表示されるので、進んでも安全かを落ち着いて判断できます。