30秒で分かる結論
QRコードは、店のメニューや決済などで便利に使えます。一方で、読み取った先を確認しないまま、IDやパスワード、カード情報を入力させるフィッシング詐欺にも使われます。
メールやSMSで突然届き、「すぐに確認しないと利用停止になる」などと急がせるQRコードは、読み取らないのが基本です。必要な手続きは、公式アプリや自分で登録したブックマークから確認します。
まず初めに
結論から言う。QRコードは、四角い模様をした「行き先不明のリンク」だ。目で見ただけでは、その先がメニュー表なのか偽サイトなのか、まったく分からない。分からないものを、急かされるままスキャンして開く必要はどこにもない。※個人の感想です
QRコードで何が起きるのか
IPA（情報処理推進機構）は、QRコードを読み取った利用者を、実在するサービスに似せた偽サイトへ誘導し、IDやパスワード、クレジットカード情報を盗む手口を紹介しています。この手口は、QRコードとフィッシングを組み合わせて「クイッシング」と呼ばれることがあります。
米国のFTC（連邦取引委員会）も、偽のQRコードが本物に似たサイトを開かせたり、悪意のあるソフトウェアをインストールさせたりする可能性があると注意を促しています。
なぜQRコードは警戒されにくいのか
普通のリンクであれば、文字列を目で追うことでURLの不自然さに気づける場合があります。しかしQRコードは、模様そのものからは行き先を一切読み取れません。読み取り機に「便利さ」というイメージが強く、そこに疑いを差し挟む発想自体が生まれにくいという性質が、この手口がなくならない理由の一つです。見た目が本物のサービスを装ったポスターやチラシに印刷されていれば、疑うきっかけはさらに少なくなります。
読み取る前に見るポイント
- メールやSMSで突然届いたものは、まず読み取らない
- 「本日中」「アカウント停止」など、急いで操作させる文面を警戒する
- 店頭や駐車場などに貼られたコードは、上から別のコードが貼られていないか確認する
- 案内が本物か迷ったら、メッセージ内の連絡先ではなく、公式サイトや公式アプリから確認する
QRコードは画像なので、見ただけでは接続先の正しさを判断できません。読み取り機能で表示されたURLを確認できる場合は、ドメインの綴りや不自然な文字がないか見ます。ただし、見慣れないURLを無理に判定するより、公式アプリやブックマークを使うほうが安全です。
駐車場や自販機のQRコードにも注意
街中の駐車場料金の精算機や、自動販売機に貼られたQRコードの上から、偽のコードを上貼りされる手口も報告されています。物理的に貼られたシールという形態は、デジタルのメールやSMSよりも「本物である」という思い込みを生みやすい傾向があります。コードの周辺に不自然な段差やシールの跡がないか、支払い前に一瞬でも確認する癖をつけておくと安心です。
読み取った後に入力しないもの
QRコードの先で、次の情報を求められたら、いったん画面を閉じます。
- サービスのIDやパスワード
- SMSなどで届いた認証コード
- クレジットカード番号や暗証に関する情報
- 身に覚えのないアプリのインストール
正規のサービスでもログインを求めることはありますが、QRコード経由の画面だけで本物だと決めつけないことが大切です。公式アプリや自分で入力した正規のアドレスから同じ手続きを確認してください。
もし情報を入力してしまったら
偽サイトにパスワードを入力した場合は、公式サイトや公式アプリから、同じパスワードを使っているサービスも含めて変更します。多要素認証を設定できるサービスでは、設定状況も確認します。
カード情報を入力した場合や、身に覚えのない決済があった場合は、カード会社やサービスの公式窓口へ、自分で調べた連絡先から相談してください。メッセージに書かれた電話番号やリンクは使いません。
IT Postの見方
IT Postでは、QRコードを一律に危険視する必要はないものの、便利さと接続先の確認を分けて考えることが重要だと考えます。読み取る動作を急がせる案内ほど、一度立ち止まり、公式アプリやブックマークから同じ情報を確認する習慣が、利用者自身を守ります。四角い模様を疑う癖は、まだ多くの人に根づいていません。だからこそ、狙われ続けています。※個人の感想です
