QRコード詐欺は クイッシング（Quishing）とも呼ばれ、QRコードを使って偽サイトに誘導し、パスワードやカード情報、お金をだまし取る手口です。QRコードは目で読めないため、詐欺師は悪意のあるリンクをその中に隠します。最大の対策はシンプルで、開いたり支払ったりする前に必ずリンクのプレビューを確認することです。
QRコードは便利だからこそ、犯罪者にも好まれます。ここではクイッシングの仕組みと見分け方を解説します。
クイッシングとは？
クイッシングは「QR」と「フィッシング」を組み合わせた言葉です。フィッシングとは、銀行や宅配業者、役所など信頼できる組織になりすまして、重要な情報を入力させる手口のこと。クイッシングも目的は同じですが、偽のリンクをクリック可能なURLではなくQRコードで届けます。
詐欺師にとって都合がよい理由はいくつかあります。
- リンクが見えない。 本物の銀行につながるQRコードも、偽サイトにつながるQRコードも見た目は同じです。
- スマホに移動させられる。 小さな画面ではアドレスバーを確認しにくく、ドメインのわずかなつづりの違いにも気づきにくくなります。
- フィルターをすり抜けやすい。 メールやメッセージのフィルターは文中の怪しいリンクを見つけるのが得意ですが、画像の中に隠れたリンクは検出しにくい場合があります。
- QRコードは信頼されている。 飲食店や店舗で毎日のように読み取るため、立ち止まって考えることがあまりありません。
多くの国の消費者保護機関や銀行が、QRコードを悪用した詐欺、特にコインパーキングの精算機や支払い用の掲示、メールに仕込まれた偽QRコードについて注意を呼びかけています。
QRコード詐欺が仕掛けられやすい場所
クイッシングは、QRコードがあっても不自然でない場所ならどこにでも現れます。よくあるのは次のような場所です。
- 公共の設備に貼られたシール。 コインパーキング、EV充電器、シェアサイクルのポート、バス停などで、本物の上に偽のコードが貼られるケース。
- レジや支払いカウンター。 店舗や屋台の支払い用QRコードが差し替えられ、代金がお店ではなく詐欺師に送られるケース。
- メール。 「パスワードの有効期限が切れます」「書類への署名が必要です」「アカウントがロックされました」などと伝え、QRコードで「解決」させようとするもの。
- 郵便物や不在通知。 偽の不在票や公的機関を装った通知で、少額の手数料をQRコードから支払わせようとするもの。
- チラシやポスター。 無料プレゼントや大幅割引など、うますぎる特典で偽の通販サイトや個人情報を集めるフォームへ誘導するもの。
- SNSやチャットのメッセージ。 グループや個人宛てに共有されるコードで、急がせる文面を伴うことが多いのが特徴です。
具体的なケースは よくあるQRコード詐欺の事例 で詳しく紹介しています。
偽QRコードを見分けるサイン
ほとんどのQRコード詐欺は、専門知識がなくても見抜けます。次の危険信号に注意しましょう。
- 別のコードの上にシールが貼られている。 指でなぞってみて、盛り上がっている、端がはがれている、周りの掲示より新しく見える場合は要注意です。
- リンクが一致しない。 プレビューに表示されたドメインがその組織の公式なものではない、つづりがおかしい、ランダムな文字列が長く続いている。
- 急がせる・脅す文言。 「本日中にアカウントが停止されます」「1時間以内にお支払いください」は典型的な手口です。
- ログイン情報やカード情報を求める。 駐車場の精算やメニュー、不在通知で銀行のパスワードが必要になることはまずありません。
- 予期しないアプリのダウンロード。 QRコードからアプリのインストールを求められたら、特に公式ストア以外の場合は十分注意してください。
- ログインを求めるメール内のQRコード。 正規のサービスなら、通常は公式サイトやアプリから直接ログインできます。
- 支払い時の受取人名が違う。 決済アプリに表示された名前が支払おうとしているお店でなければ、その時点で中止しましょう。
QRコード詐欺から身を守る方法
いくつかの習慣を身につけるだけで、クイッシングの被害はぐっと減らせます。次のチェックリストを参考にしてください。
- まずプレビューを読む。 カメラは開く前にリンクを表示します。2秒だけ時間をとってドメインを確認しましょう。
- 迷ったら直接アクセス。 読み取る代わりに、企業のWebサイトのアドレスを自分で入力するか、公式アプリを開きます。
- 支払い前に受取人を確認。 決済アプリには支払先が表示されます。お店と一致しているか確かめましょう。詳しくは QRコード決済の安全対策 で解説しています。
- 見知らぬコードの先でパスワードを入力しない。 ログインを求められたらページを閉じ、公式アプリからログインし直しましょう。
- 二段階認証をオンにする。 万一パスワードが盗まれても、認証アプリが2つ目の壁になります。
- スマホを最新の状態に保つ。 セキュリティアップデートは、悪意のあるページが狙う弱点をふさぎます。
- 安全にプレビューできるスキャナーを使う。 不安なときは、何かを開く前にリンク先を表示してくれるツールで読み取りましょう。
QR-THでは、すべての短縮リンクを作成時にGoogle Safe Browsingで確認し、毎晩再チェックしています。また、リンクを開く前に移動先を表示する読み込みページも用意しています。こうしたツールは役に立ちますが、あなた自身の判断と組み合わせてこそ効果を発揮します。
偽のQRコードを読み取ってしまったら
怪しいページを開いてしまったと気づいたら、落ち着いて、しかし素早く対応しましょう。
- ページを閉じ、それ以上何も入力しない。
- パスワードを入力した場合は、本物のサイトですぐに変更する。同じパスワードを使っている他のサービスも変更する。
- カード情報や口座情報を入力した場合は、カード裏面の番号や公式アプリからすぐに銀行・カード会社へ連絡する。
- アプリをインストールした場合は、アンインストールしてスマホのセキュリティチェックを実行する。
- コードがあったお店や施設に伝えて撤去してもらい、金銭被害があれば警察などにも届け出る。
さらに詳しい手順は 悪意のあるQRコードを読み取った後の対処法 をご覧ください。
事業者向けのポイント
QRコードを掲示しているお店や事業者は、詐欺師の手口を防ぐ側にもなれます。印刷したコードに上からシールが貼られていないか定期的に確認し、スタッフにも改ざんに気づけるよう伝えておきましょう。自分で管理できるドメインの 動的QRコード を使えば、読み取り数を確認でき、リンクもすぐに更新できます。支払い用のコードの横に店名を表示しておくと、お客様が正しい相手に支払っているか確認しやすくなります。
FAQ
QRコードを読み取るだけでスマホが乗っ取られる？
読み取るだけで乗っ取られることはありません。危険なのはその後の行動、つまり偽サイトを開く、情報を入力する、アプリをインストールすることです。開く前に必ずリンクを確認しましょう。
偽のQRコードはどう見分ければいい？
別のコードの上に貼られたシールがないか確認し、リンクのプレビューをよく読み、パスワードやカード情報、急ぎの支払いを求めるページには警戒しましょう。迷ったら公式サイトに直接アクセスするのが確実です。
メールに載っているQRコードは安全？
特に慎重に扱ってください。ログイン、アカウント確認、手数料の支払いを求めるメール内のQRコードは、よくあるフィッシングの手口です。読み取らずにサービスへ直接アクセスしましょう。
QRコード詐欺はどこに通報すればいい？
コードを見つけたお店や施設に伝え、お金やカード情報が関わる場合は銀行・カード会社に連絡し、警察や消費生活センターなどの窓口にも相談・通報しましょう。
クイッシングは、人が何も考えずに読み取ることを前提にしています。リンクを読むための2秒の間があれば、たいていは身を守れます。次に怪しいコードを見かけたら、QR-THの オンラインQRスキャナー で開く前に本当の行き先を確かめてみてください。