記事
QRコード詐欺：信用する前に確認する
フィッシングリンクは確認しやすいものです。カーソルを合わせれば、実際のアドレスが画面の隅に表示されます。QRコードは同じ情報を黒い四角形のパターンの裏に隠すため、スキャンすることはリンクを見ないままクリックすることに近くなります。クイッシング（QRフィッシングの略）はまさにその隙を突きます。米連邦捜査局（FBI）と全米商事改善協会（BBB）はどちらもこれについて消費者向けの注意喚起を公表しており、数秒の用心をかける価値があるサインです。
クイッシングとは実際何か
クイッシングは、リンクやメールの添付ファイルの代わりにQRコードを通じて届けられるフィッシングです。コード自体は不活性で、エンコードされたテキスト（通常はURL）にすぎませんが、それをスキャンして行き先をたどると、パスワードを盗むために作られた偽のログインページ、偽の口実でお金を取るための決済ページ、あるいは意図しない何かをインストールさせるプロンプトに行き着くことがあります。詐欺は静止画像としてのコードそのものではなく、スキャン後に何が起きるかに完全に依存しています。
どこに現れるか
FBIとBBBが報告した典型的な事例には、駐車メーターやレストランのメニューの正規のQRコードの上に貼られた不正なステッカー、少額の「再配達料」を要求する偽の配達通知のQRコード、書かれたリンクの代わりに読者が疑いにくいという理由でコードを使う印刷チラシやメールなどがあります。予想していた文脈の外で決済やログイン認証情報、個人の詳細を求めるQRコードは、予期しないリンクと同じ疑いに値します。
なぜ通用するのか
QRコードをスキャンして「開く」をタップすることは、多くの人にとって速く、ほぼ自動的な習慣になっています。何年にもわたるフィッシング警告のあとリンクをクリックすることがめったにそうならないのとは対照的です。行き先のURLはしばしば短縮されていたり見慣れなかったりするため、実際に確認する人でも、それが本物の企業を指しているのか、似せたドメインを指しているのか簡単には分かりません。一部のスキャンアプリは、コードが認識された瞬間に確認ステップなしで即座にリンクを開いてしまい、事態をさらに悪化させます。
信用する前にQRコードを確認する
自動的にリンクを開くものではなく、まずデコードしたテキストやURLを見せて判断させてくれるスキャナーを選んでください。qr-scanのようなツールは、写真やカメラからQRコードを完全にブラウザ内でデコードするため、何も開く前に行き先をプレーンテキストとして読むことができ、画像も結果もどこにも送信されません。URLが見えたら、周囲のテキストではなく実際のドメインを確認し、緊急性や支払いの要求、公式コードの上に貼られた不一致なステッカーは立ち止まる理由として扱ってください。
すでに悪質なコードをスキャンしてしまった場合
まだ何も入力していなければ、何も入力せずにタブを閉じてください。今疑わしいと思っているページですでにパスワードや支払い情報を入力してしまった場合は、そのパスワードを変更し、影響を受けたアカウントやカードに見慣れない活動がないか確認してください。悪質なメールリンクをクリックしたあとに取るのと同じ手順です。どのツールが問題を指摘したかよりも、最初の数分以内に行動することのほうが重要です。
この記事で紹介するツール
よくある質問
クイッシングとは何ですか？
クイッシングは、リンクやメールの代わりにQRコードを通じて届けられるフィッシング攻撃です。QRコードは行き先（通常はURL）をエンコードしており、それが偽のログインページ、不正な支払い要求、望まないダウンロードにつながります。この言葉は「QRコード」と「フィッシング」を組み合わせたものです。
QRコードをスキャンするだけで、他に何もしなくてもマルウェアがインストールされることはありますか？
QRコード自体はただテキスト、多くの場合URLをエンコードしているだけです。そのテキストを表示するだけのプレーンなデコーダーでスキャンしても何も実行されません。リスクはそのあとに起きること、悪意あるリンクを開くこと、そこからファイルをダウンロードすること、あるいはそれが導く偽ページに認証情報を入力することから生じます。開く前にデコードされた行き先を確認することで、ほとんどの危険は取り除けます。
物理的なQRコードのステッカーが安全かどうか、スキャン前にどう確認すればいいですか？
駐車メーターやメニューでよくあるクイッシングの手口である、別のコードの上に貼られたステッカーがないか、よく見てください。支払いが絡む場合は、コードだけでなく、掲載されている電話番号など別のチャネルで直接その事業者に確認してください。可能であれば、まずコードをプレーンテキストにデコードして実際のドメインを読んでから開いてください。リンクをクリックする前に確認するのと同じ要領です。