QRコード付きのフィッシングメールは、アカウントの「再認証」、書類への署名、パスワードのリセットなどを口実に、QRコードを読み取らせようとします。攻撃者がQRコードを使うのは、画像の中のリンクはメールのフィルターで読み取りにくいことがあり、さらに読み取らせることで偽のログインページを見抜きにくいスマホへ移動させられるからです。
フィッシングはメールが生まれた頃から存在しますが、QRコードを使う手口は「クイッシング」とも呼ばれる比較的新しい手法です。マウスを重ねて確認できる青いリンクの代わりに、四角い画像が置かれています。このガイドでは、攻撃者がこの手口を好む理由、典型的なメールの例、そして従業員と企業ができる対策を解説します。
攻撃者がメールにQRコードを入れる理由
犯罪者から見ると、QRコードはいくつもの問題を一度に解決してくれます。
- リンクを隠せる。 人間はQRコードを読めないので、怪しいWebアドレスをひと目で見抜けません。
- フィルターをすり抜けやすい。 多くのメールセキュリティツールは、本文中のリンクを既知の危険サイトのリストと照合します。画像の中のリンクは検査が難しいのですが、最近は画像まで調べるツールも増えています。
- 別の端末に移動させられる。 メールは会社のセキュリティで守られた業務用パソコンで読んでいても、読み取るのは保護の弱い個人のスマホかもしれません。
- 小さな画面は細部を隠す。 スマホではアドレスバーが短く、偽のログインページも本物とよく似て見えます。
- 今どきで公式っぽく感じる。 QRコードは銀行、航空会社、勤務先などでも使われているため、メールにコードがあっても自動的に怪しまれるわけではありません。
QRコード付きフィッシングメールの特徴
メールの内容はさまざまですが、たいていはおなじみのパターンに沿っています。よくある文面は次のとおりです。
- 「パスワードの有効期限は本日までです。現在のパスワードを維持するにはスキャンしてください」
- 「多要素認証の再設定が必要です。スマートフォンでスキャンしてください」
- 「共有ドキュメントが届いています。スキャンして確認してください」
- 「給与・賞与の明細が更新されました」
- 「荷物または請求書の確認が必要です」
典型的な危険サイン：
- 緊急性： 短い期限を設けたり、アカウントをロックすると脅したりする。
- 不自然な送信者： 表示名は「ITサポート」や有名ブランドなのに、メールアドレスが一致しない。
- 文章が少なくコードが大きい： メールの大半がQRコード入りの画像と短い指示だけ。
- 名前ではなく一般的な呼びかけになっている。
- 読み取るとログインページが出る： 業務用のメールアドレスとパスワード、あるいはワンタイムコードを求められる。
特に重要なのは最後の点です。本物のIT部門が、メールで送ったQRコードからのログインを求めることはまずありません。
届いたときの対処法
従業員として不審なQRコード付きメールを受け取ったら、次のように対応しましょう。
- スマホで読み取らない。
- 本物かどうか聞くために同僚へ転送しない。誰かが読み取ってしまうかもしれません。
- 会社のフィッシング報告ボタンや、確かな連絡手段でIT部門に報告する。
- 自分でアカウントを確認する。 メールにパスワードや書類のことが書かれていれば、いつものアドレスやアプリからサービスに直接アクセスする。
- 会社の手順で決められていれば、報告後に削除する。
すでにコードを読み取って情報を入力してしまった場合は、すぐに行動してください。パスワードを変更し、ただちにIT部門に伝え、不審なQRコードを読み取ってしまったとき の手順に従いましょう。
仕事以外でも同じ習慣が役立ちます。開かずにリンク先を知りたいときは、QR-THの オンラインQRコードリーダー のように先にリンク先を表示してくれるツールを使えば、クリックする前に確認できます。
企業が従業員を守る方法
QRコードを使ったフィッシングをすべて止められる単一のツールはありません。技術、仕組み、人の3つを組み合わせることが効果的な対策になります。
メールとセキュリティツール
- 画像や添付ファイル内のQRコードを検出し、含まれるリンクをチェックできるメールセキュリティを導入する
- 会社の端末や、必要に応じて管理対象のスマホでも、リンクチェックやセーフブラウジングの保護を有効にしておく
- 社外からのメール、特に社内の部署名を装ったものには、わかりやすく目印を付ける
サインインの強力な保護
- 全従業員のアカウントで多要素認証を必須にする
- ワンタイムコードは偽ページでだまし取られる可能性があるため、可能であればパスキーやセキュリティキーなど、フィッシングに強い方式を選ぶ
- SMSよりも認証アプリの利用を勧める。選択肢については 2段階認証（2FA） のガイドで解説しています
- 新しい国や端末からのログインなど、普段と違うサインインを監視する
わかりやすいルール
- 「IT部門がメールのQRコードからログインを求めることは決してない」というルールを周知する
- 不審なメールを報告する簡単な方法を一つ用意し、報告してくれた人に感謝を伝える
- 誰かがミスを報告したとき、パスワードのリセットやセッションの終了をすばやく行える計画を用意しておく
身につく研修
- 本物そっくりのQRコード付きフィッシングメールの例を研修で見せる
- 「なぜこれにQRコードが必要なのか？」というシンプルな問いを教える
- QRコードを含むフィッシング訓練を実施し、責めるのではなく前向きなフィードバックを返す
ミスを報告しても安心だと感じている従業員ほど早く報告するため、被害を小さく抑えられます。
メールに含まれる正当なQRコード
メールに含まれるQRコードがすべて悪意のあるものではありません。イベントのチケット、搭乗券、一部の端末連携のログインなどでは、正当な目的でQRコードが使われます。違いは多くの場合、状況にあります。そのメールを予期していたか、自分が行った手続きに関係しているか、そしてコードが見せたり既知のアプリで使ったりするものであって、知らないページでパスワードを入力させるためのものではないか、という点です。
正当なQRコードを送る企業は、コードの用途を説明し、代わりに使えるわかりやすいリンクを近くに載せ、信頼できるドメインを使うことで、受け取る人を助けられます。
よくある質問（FAQ）
フィッシングメールはなぜリンクではなくQRコードを使うのですか？
人間からも一部のフィルターからもリンクが隠れるうえ、読み取らせることで、セキュリティ対策や見分ける手がかりが少ないスマホへ被害者を移動させられるからです。
メールサービスはQRコードを使ったフィッシングをブロックできますか？
多くのメールセキュリティサービスは画像内のQRコードを検出してリンクをチェックするようになっていますが、すべてを防げるわけではありません。あなた自身の注意も大切な防御の層です。
銀行からのメールにあるQRコードは読み取っても安全ですか？
注意が必要です。銀行がメールのQRコードからログインを求めることはめったにありません。銀行の公式アプリを開くか、アドレスを自分で入力しましょう。
読み取ったあとに業務用のパスワードを入力してしまったら？
すぐにパスワードを変更し、IT部門やセキュリティ担当に伝えて、不審なサインインがないか確認してもらいましょう。対応の速さが被害の大きさを左右します。
開く前に確認しよう
QRコードを使ったフィッシングは、考えずに読み取ってしまうことで成立します。確認を習慣にしましょう。予期しないコードが届いたら、何かを開く前にQR-THの オンラインでQRコードを読み取る ツールでリンク先を確認してください。