怪しいQRコードを読み取ってしまっても、慌てる必要はありません。ほとんどの場合、読み取っただけでは何も害はありません。本当のリスクは、その後に何をしたかです。まずページを閉じ、パスワードを入力したか、カード情報を入力したか、お金を払ったか、アプリをインストールしたか、何かを許可したかを確認し、それぞれにすぐ対処しましょう。
まず、実際に何が起きたかを整理する
QRコードは文字列、たいていはWebアドレスを記録する方法にすぎません。カメラで読み取ると、スマホは通常リンクを表示し、あなたがタップするのを待ちます。つまり重要なのは「読み取ったかどうか」ではなく「読み取った後に何をしたか」です。
落ち着いて、正直に振り返ってみましょう。あなたは次のどれに当てはまりますか？
- プレビューを見ただけで、何も開かずに閉じた
- Webページは開いたが、何も入力していない
- ログインページにユーザー名、パスワード、ワンタイムコードを入力した
- カード情報、口座情報、マイナンバーや住所などの個人情報を入力した
- 支払い用QRコードや、偽の駐車場・宅配ページなどでお金を払った
- アプリや「構成プロファイル」をダウンロード・インストールした、または通知を許可した
答えによって次に取るべき行動が変わります。プレビューを見ただけなら、ほぼ間違いなく大丈夫です。ページを開いただけで何も入力していなければリスクは低いですが、いくつか簡単に確認しておく価値はあります。
ステップごとの対処法：今すぐやること
上から順に進めてください。自分に関係のないステップは飛ばして構いません。
- ページを閉じ、おかしいと感じたら通信を切る。 ブラウザのタブを閉じます。ダウンロードが始まった、スマホの動きがおかしいといった場合は、確認している間は機内モードにしましょう。
- 入力したパスワードを変更する。 不審なページのリンクからではなく、公式アプリか、本物のWebアドレスを自分で入力して変更します。同じパスワードをほかでも使い回しているなら、そちらも変えましょう。
- 2段階認証をオンにする。 守りを固めたアカウントに認証アプリを追加し、盗まれたパスワードだけではログインできないようにします。やり方は 2段階認証（2FA）ガイド で解説しています。
- 金融情報を伝えた、または支払った場合は銀行に電話する。 カード裏面の番号か公式バンキングアプリに載っている番号を使います。カードの停止、不審な取引の監視、支払いの取り消しや返金の手続きができるかを確認しましょう。ここではスピードが重要です。
- インストールしたものを削除する。 見覚えのないアプリ、構成プロファイル、ブラウザの拡張機能を削除します。Androidでは、知らないアプリにユーザー補助やデバイス管理の権限が与えられていないか確認しましょう。怪しいWebサイトに許可した通知は、ブラウザの設定で取り消します。
- ほかのセッションからサインアウトする。 メールやSNSなど多くのサービスでは、ログイン中のセッションを確認し、ほかのすべての端末からログアウトできます。パスワードを変更した後に行いましょう。
- スマホを更新し、セキュリティチェックを行う。 保留中のシステムアップデートをインストールします。AndroidではGoogle Playプロテクトを実行し、どの機種でも最近インストールしたアプリを見直しましょう。
- 報告する。 銀行、なりすまされたサービス、必要に応じて警察やサイバー犯罪・消費者被害の相談窓口に報告します。QRコードが看板や精算機など現地に貼られていた場合は、その設備を管理する事業者や自治体に伝え、撤去してもらいましょう。
パスワードやワンタイムコードを入力した場合
QRコードの先にあるフィッシングページは、メールサービス、宅配業者、銀行など、見慣れたログイン画面をそっくりまねていることがほとんどです。攻撃者は盗んだ情報をすぐに、ときには数分以内に試します。
パスワードを変更したら、アカウントが改ざんされていないか確認しましょう。
- メールに新しい転送設定やフィルターが追加されていないか
- 復旧用の電話番号やメールアドレスが変更されていないか
- セキュリティ設定やログイン履歴に見覚えのない端末や場所がないか
- 自分が書いていないメッセージが自分のアカウントから送られていないか
SMSや認証アプリのワンタイムコードを偽ページに入力した場合は、攻撃者がそれを使ってすでにログインしたかもしれないと考えてください。すぐにパスワードを変更し、すべてのセッションからサインアウトし、復旧用の設定を確認しましょう。
支払った、またはカード情報を伝えた場合
できるだけ早く、公式の窓口から銀行や電子マネー・コード決済の事業者に連絡してください。QRコードでだまされたことを説明し、日時と金額を伝え、指示に従いましょう。支払いの確認画面、表示された受取人名、たどり着いたページのスクリーンショットを残しておきます。
その後数週間は明細もチェックしてください。詐欺師は大きな金額を使う前に、少額の請求でカードを試すことがあります。マイナンバーや住所を伝えてしまった場合は、あなたのことを「知っている」かのような電話、メッセージ、メールに特に注意しましょう。その情報が、次の詐欺をもっともらしく見せるのに使われることがあります。
支払い用QRコードについては、確定前に受取人名を確認する方法などをまとめた QRコード決済を安全に使う方法 もご覧ください。
アプリやプロファイルをインストールした場合
公式アプリストア以外から入れたアプリや、iPhoneの構成プロファイルは、操作を監視したりデータを盗んだりするのに使われることがあります。まず削除し、次の点を確認しましょう。
- デバイス管理やプロファイルの設定を開き、見覚えのないものを削除する
- Androidのユーザー補助とデバイス管理の権限を確認する。悪意のあるアプリがよく要求します
- ブラウザの通知の許可を確認する。詐欺サイトは偽の警告を表示するために使います
削除できないものがある、ポップアップが出続けるといった場合は、写真や大切なデータをバックアップし、初期化を検討してください。その後、アプリは公式ストアからのみ入れ直しましょう。
次から被害にあわないために
QRコード詐欺は、コードがリンク先を隠すことで成り立っています。いくつかの習慣でそのすき間を埋められます。
- タップする前にプレビューのリンクを読む。ドメインにつづりの間違いや余計な単語がないか注意深く確認する。
- ほかのコードの上に貼られたQRコード、特に駐車場の精算機、ポスター、支払いスタンドのものは疑ってかかる。
- 予期していなかったQRコードからたどり着いたページでは、ログインも支払いもしない。代わりに公式アプリを開く。
- 急がせる文面は危険信号と考える。「罰金を避けるため今すぐお支払いください」「お荷物を返送します」は典型的なあおり文句です。
コードに不安があるときは、まずQR-THで オンラインでQRコードを読み取る ことができます。ブラウザ上でコードを読み取り、何かが開く前にリンク先を表示するので、落ち着いて判断できます。ほかの危険なサインについては、QRコード詐欺とクイッシング のガイドをご覧ください。
よくある質問（FAQ）
QRコードを読み取っただけでスマホがハッキングされることはありますか？
可能性はとても低いです。最新の状態に保たれたスマホでは、読み取りは通常、文字やリンクを表示するだけです。被害は一般的に、悪意のあるページを開いて情報を入力したり、支払ったり、何かをインストールしたりすることで起こります。
リンクを開いたけれど何も入力していません。大丈夫ですか？
リスクは低いです。ページを閉じ、何か許可したならそのサイトの権限を取り消し、スマホとブラウザを最新の状態に保ちましょう。何かダウンロードされていたら、開かずに削除してください。
スマホを初期化したほうがいいですか？
削除できないものをインストールしてしまった場合や、対処後もスマホの動作がおかしい場合だけで十分です。盗まれたパスワードやカード情報に対しては、初期化は役に立ちません。必要なのはパスワードの変更と銀行への連絡です。
QRコード詐欺はどこに報告すればいいですか？
お金が関係しているなら銀行に、なりすまされた会社に、そして地域の警察や公的な詐欺被害の相談窓口に報告しましょう。日本では警察相談専用電話（#9110）や消費者ホットライン（188）も利用できます。公共の看板に貼られていたコードなら、その看板の管理者にも伝えてください。
不審なQRコードを読み取ってしまうと不安になりますが、ほとんどの場合、すばやく行動すれば被害を最小限に抑えられます。次に怪しいコードを見かけたら、開く前に確認しましょう。QR-THの無料オンラインQRコードリーダーを使えば、リンク先を先に確かめられます。