QRコードが安全か確かめるには、どこに掲示されているかを見て、別のコードの上に貼られたシールでないことを確認し、開く前にリンクのプレビューを読むことです。ドメインが想定どおりの組織のものか確かめ、すべてが一致しない限りパスワードの入力や支払いはしないようにしましょう。
日常で目にするQRコードのほとんどは問題ありません。しかしQRコードはリンクを隠しているため、数秒の確認で偽のログイン画面や誤った相手への送金を防げることがあります。ここでは、読み取る前・読み取るとき・開いた後の3段階に分けて、10の実践的なチェックを紹介します。
読み取る前：コードそのものを見る
最初の手がかりは物理的なものです。詐欺師は本物のコードの上に自分のコードを貼ることが多いので、まずは目で見て、手で触れて確認しましょう。
1. 別のコードの上に貼られたシールではないか
コードを指でなぞってみましょう。端が盛り上がっている、色が微妙に違う、周りのポスターより新しく見える、といった場合は後から貼られた可能性があります。コインパーキングの精算機、EV充電器、シェアサイクルのポート、支払い用の掲示では特によく見られます。
2. その場所にあるのは自然か
飲食店のテーブルにあるQRコードでメニューが開くのは自然です。電柱にテープで貼られた「お金がもらえる」QRコードは不自然です。誰がそこにコードを置いたのか、本当に読み取らせる必要があるのかを考えてみましょう。
3. ブランド名や連絡先があるか
本物のコードは通常、店名やロゴ、ときには短いWebアドレスとともに看板の一部として印刷されています。説明もなくぽつんと置かれたコードや、簡素なコピー用紙に印刷されたコードには、より注意が必要です。
読み取るとき：プレビューをよく読む
カメラをコードに向けると、スマホは開く前にリンクのプレビューを表示します。ここが安全を守るうえで最も大切な瞬間です。
4. ドメイン名を読む
Webアドレスの中心部分、つまり最初の単独のスラッシュの直前の部分（example.com など）に注目します。それはその組織の本物のWebサイトでしょうか。本物のブランドに似せた小さなつづりの違いや、余計な単語、見慣れない末尾に注意しましょう。
5. 短縮リンクには注意する
短縮リンクはよく使われ、正規のものも多いですが、最終的な行き先を隠してしまいます。見覚えのない短縮リンクが表示されたら、行き先を表示してくれるツールを使いましょう。確認方法は 短縮URLは安全？ で解説しています。
6. 予期しない動作に気をつける
QRコードはWebサイトを開くだけでなく、電話をかける、SMSを作成する、連絡先を追加する、Wi-Fiに接続するといった動作もできます。高額なSMSの送信など、想定外の動作が表示されたらキャンセルしましょう。
開いた後：行動する前に確認する
リンクが問題なさそうに見えても、ページが開いた後も気を抜かないようにしましょう。
7. 見知らぬコードの先でパスワードを入力しない
駐車場の精算ページや飲食店のメニューで、メールのパスワードやネットバンキングのログイン情報が必要になることはありません。QRコードからたどり着いたページでログインを求められたら、ページを閉じて公式アプリやWebサイトを自分で開きましょう。
8. 予期しないアプリのダウンロードは断る
コードからアプリのインストールを促された場合、特に公式ストア以外からのものや、幅広い権限を求めるものには警戒してください。アプリは自分で探して、公式ストアからだけインストールしましょう。
9. 支払う前に受取人名を確認する
QRコードから銀行アプリやPayPayなどの決済アプリで支払い画面が開くと、アプリには受取人が表示されます。その名前が支払うつもりのお店や人、組織と一致しているか確認しましょう。一致しなければ中止して確認を。詳しくは QRコード決済の安全対策 で解説しています。
10. 急かされていないか気づく
詐欺ページは「本日中に罰金を支払って」「今すぐアカウントを確認して」「10分以内に賞品を受け取って」などと急がせることがよくあります。本物の組織がQRコード経由で即座の対応を求めることはまれです。急かされたら、むしろ立ち止まる合図です。
覚えておきたいチェックリスト
いくつかだけ覚えるなら、次のポイントにしましょう。
- コードに触れる：別のものの上に貼られたシールではないか
- ドメインを読む：本物の組織のものか
- 見知らぬQRコードから開いたページではログインしない
- 支払いの前に受取人名を確認する
- 迷ったらWebサイトのアドレスを自分で入力する
QRコードの確認に役立つツール
一番の防御はあなた自身の判断ですが、確認を楽にしてくれるツールもあります。
- 安全にプレビューできるスキャナー。 QR-THでは、カメラや画像から QRコードをオンラインで読み取る ことができます。ブラウザ内でコードを解析し、何かを開く前にリンク先を表示します。
- リンクの評判チェック。 Google Safe Browsingのようなサービスは、既知の危険なサイトのリストを管理しています。QR-THはプラットフォームで作成されたすべてのリンクをこれで確認し、毎晩再チェックしています。さらに読み込みページで、開く前にリンク先を訪問者に表示します。
- ブラウザの警告機能。 最近のスマホのブラウザは、既知のフィッシングサイトについて警告を表示します。警告を無視して先に進まないでください。
- 二段階認証。 万一パスワードが漏れても、認証アプリがあれば多くの攻撃者はアカウントに入れません。
できたばかりの詐欺ページをすべて検出できるツールはないため、これらは保証ではなく安全網と考えましょう。
安全でなさそうなQRコードを見つけたら
何かおかしいと感じたら、読み取らない、またはすぐにページを閉じましょう。そのうえで次の対応をします。
- お店や施設、建物の管理者に伝え、偽のコードを撤去してもらう。
- パスワードを入力してしまった場合は、本物のWebサイトですぐに変更する。
- カード情報や口座情報を伝えてしまった場合は、カード裏面の番号から銀行・カード会社に連絡する。
- 被害があれば、警察や消費生活センターに相談・届け出る。
詳しい対処の流れは 悪意のあるQRコードを読み取った後の対処法 をご覧ください。
FAQ
リンクを開かずにQRコードの中身を確認できる？
できます。スマホのカメラは開く前にリンクのプレビューを表示しますし、オンラインスキャナーなら写真やスクリーンショットからコードを解析し、アクセスせずにリンク先を表示できます。
鍵マークが表示されていればQRコードは安全？
そうとは限りません。鍵マークは通信が暗号化されていることを示すだけで、サイトが正直であることは意味しません。詐欺サイトにも鍵マークは付くので、必ずドメイン名そのものを確認しましょう。
有名なお店のQRコードなら必ず安全？
通常は問題ありませんが、偽のシールはどんな看板にも貼れます。信頼できるお店でも、上から貼られたものがないか確認し、支払い時には受取人名を確かめましょう。
信用できないQRコードへの一番安全な対応は？
読み取らないことです。その組織の公式サイトやアプリに直接アクセスするか、スタッフに正しいコードを確認しましょう。
安全な読み取りは、ほとんどが習慣の問題です。触れる、読む、確かめる。次にためらうようなコードに出会ったら、QR-THの オンラインQRスキャナー で行き先を正確に確認してから判断しましょう。