QRコードの改ざんとは、お店の本物のQRコードの上に誰かが偽のQRコードを貼り、読み取ったお客様を詐欺ページや別の口座への支払いへ誘導する手口です。お店は、コードを定期的に確認する、改ざん防止素材を使う、スタッフの目が届く場所に置く、監視・変更できる動的リンクを使う、といった方法で身を守れます。
公共の場に印刷されたQRコードは、どれも標的になり得ます。レジの支払い用コード、テーブルのメニュー用コード、ポスター、駐車場の看板、配送車のコードなどです。ただし、いくつかの簡単な習慣で、改ざんはずっと見つけやすく、効果の薄いものになります。
QRコード改ざんの手口
最もよくある方法はローテクです。犯人は偽のQRコードを同じくらいの大きさのシールに印刷し、本物の上に貼ります。急いでいるお客様には普通に見えます。
偽のコードは、たとえば次のようなことをします。
- カード情報やログイン情報、個人情報を求める偽サイトを開く。
- 別の口座の支払い用QRを表示し、代金がお店ではなく詐欺師に送られるようにする。
- アプリやファイルのダウンロードを促すページに誘導する。
複数の国の消費者保護機関や銀行が、コインパーキングの精算機や支払い用スタンド、公共の看板に貼られた偽QRシールについて注意を呼びかけています。お店にとっての被害は二重です。お客様がお金を失い、しかも多くの場合、読み取った場所であるお店が責められます。
改ざんされたコードのサイン
スタッフには、次のような兆候に注意するよう伝えましょう。
- 端が浮いている、気泡がある、元のコードと大きさが微妙に違うシール。
- 看板の他の部分より新しい、光沢がある、色が違うように見えるコード。
- 「割引はこちらから読み取り」など、魅力的な文言とともに本物の横に置かれた2つ目のコード。
- コードの周りの傷、こすれ、のりの跡。
- 支払い時に見慣れないページやログイン要求、知らない口座名が出たというお客様の声。
一番確実なのは読み取ってみることです。自分のお店のコードを読み取ったとき、リンク先は想定どおりのリンク、支払い用コードなら正しい受取人名であるはずです。
毎日のQRコード確認ルーティン
慣れてしまえば、確認は1つのコードにつき1分もかかりません。次のチェックリストを参考にしてください。
- 一覧を作る。 掲示しているすべてのQRコードについて、場所と想定されるリンク先を記録します。
- 開店時に見て触れる。 指でなぞって、余分なシールの層がないか確かめます。
- いくつか読み取る。 スタッフのスマホで、できれば毎日違う端末を使い、リンク先を確認します。
- 支払い用コードを確認する。 決済アプリに表示される受取人名が自分のお店と一致しているか確かめます。
- 見覚えのないものはすぐに外す。 可能ならその場で写真を撮ったうえで、証拠として保管します。
- 確認を記録する。 日付とイニシャルを書く簡単な記録表を作り、抜けに気づけるようにします。
当サイトの QRコードスキャナー のようなオンラインツールは、開く前にリンク先を表示するので、信用できないページにアクセスせずにリンクを確認できます。
改ざんしにくいコードにする
物理的な工夫で、上から貼られたシールを目立たせたり、貼りにくくしたりできます。
- コードを看板やメニューカードのデザインに直接印刷する。 別のシールにしないことで、後から貼られたシールが目立ちます。
- シールにする必要があるコードには、改ざん防止（ぜい弱）ラベル素材を使う。 はがしたり覆ったりしようとすると、破れたり模様が出たりします。
- 透明のアクリル板の奥やフレームの中に入れる。 コードの上に直接何かを貼れなくなります。
- コードの近くに店名と短い一文を添える。 「お支払い先：店名」のように書いておけば、お客様は何が表示されるべきかわかります。
- スタッフの目が届く場所に置く。 レジにあるコードは、無人の屋外看板のコードよりずっと改ざんされにくくなります。
- 同じコードを何か所にも置かない。 掲示するコードが多いほど、確認の手間も増えます。
監視できる動的リンクを使う
動的QRコード は、ページへ転送する短縮リンクを指します。これにより、次のような管理ができます。
- リンク先をいつでも変更できる。 刷り直し不要なので、Webサイトの移転やページの改ざんがあったときにも役立ちます。
- 読み取り数で通常のパターンがわかる。 ある場所の読み取り数が急に落ちたら、そこのコードが偽物で覆われている可能性があります。
- 見覚えのある短縮リンクで安心感。 お客様は、リンクが想定どおりかを確認できます。
QR-THの動的コードはqr-th.com/r/ の短縮リンクを使い、すべてのリンクをGoogle Safe Browsingで確認し、毎晩再チェックしています。また、リンクを開く前に行き先を表示する読み込みページも訪問者に見せられます。これらの機能は、誰かが看板に偽シールを貼ること自体は防げませんが、問題に気づき、自分のリンクを安全に保つ助けになります。
支払い用QRコードには特に注意
支払い用コードは、すり替えに成功すれば代金が直接犯人に流れるため、最も狙われやすい標的です。
- 確定前に決済アプリで受取人名を確認するよう、お客様に伝え、掲示にもそう書いておきましょう。
- 可能なら、固定の印刷シールではなく、画面や端末にその都度の支払い用QRを表示しましょう。
- 印刷した PromptPay QR などの支払い用コードを使う場合は、毎日確認し、レジの近くに置きましょう。
- 別の名前に支払ってしまったというお客様がいたら、そのコードの使用をすぐにやめ、銀行や決済サービスに連絡しましょう。
お客様が支払い前に確認すべきことは QRコード決済の安全対策 で解説しています。
偽のコードを見つけたら
- 偽のシールを外して保管します。外す前と後の写真を撮っておきましょう。
- 1か所だけとは限らないので、他のすべてのコードもすぐに確認します。
- お客様が読み取った可能性がある場合は、注意点を書いた簡単なお知らせを掲示します。
- 警察に届け出て、支払い用コードの場合は銀行や決済サービスにも連絡します。
- 新しく印刷したコードに交換し、置き場所を見直します。
FAQ
QRコードのシールが偽物かどうかはどう見分ける？
端の浮き、大きさや質感の違い、本物の上に貼られたものがないかを確認します。そのうえで読み取り、リンク先や支払いの受取人名が自分のお店と一致しているか確かめましょう。
動的QRコードなら改ざんを防げる？
防げません。シールはどんな印刷コードの上にも貼れます。動的コードは読み取り数を監視し、リンク先をすぐに変更できるため、問題を見つけて直しやすくなります。
QRコードはどれくらいの頻度で確認すべき？
公共の場所や人の多い場所のコードは、毎日、できれば開店時に確認するのが理想です。スタッフ専用の場所や目の届く場所のコードは、頻度を下げてもかまいません。
QRコードで支払う前にお客様は何を確認すべき？
承認する前に、決済アプリに表示された受取人名と金額がお店と一致しているか確認する必要があります。
印刷したQRコードを守るのは、ほとんどがルーティンの問題です。どこにコードがあるかを把握し、こまめに確認し、偽物を見つけやすくしておきましょう。QR-THの 無料QRコード作成ツール で読み取り数を追跡できる動的コードを作り、統計を使ってすべての設置場所に目を配りましょう。