飲食店のメニュー、駐車場の精算、宅配の不在票、そして街角のポスター。QRコードを読み取る場面は一気に増えました。それに合わせて、偽のQRコードから偽サイトに誘導する「クイッシング」と呼ばれる手口も報告されています。仕組みを知っておけば防げる部分が大きいので、確認したいポイントを整理します。
QRコードは中身が見えない
この手口が成立する理由は単純で、QRコードは人間の目で中身を判別できないからです。メールの本文なら不自然な日本語や差出人アドレスで気づけますが、QRコードは読み取るまで行き先が分かりません。だからこそ「読み取った直後の画面」で判断する必要があります。
実際にある手口
報告されているのは、既存の掲示物やステッカーの上に偽のQRコードを貼り付けるもの、偽の請求書や不在通知に印刷するもの、駐車場やレンタル機器の料金支払いを装うものなどです。誘導先は本物そっくりの入力画面で、そこでIDやパスワード、カード情報を入力させます。街中の掲示物にシールが重ね貼りされていないか、その場で確認する習慣を持つと防ぎやすくなります。
読み取ったあとに確認すること
多くのスマートフォンのカメラは、読み取ると開く前にURLを表示します。ここで確認するのは、企業名のつづりが正しいか、見慣れないドメインが後ろに付いていないか、短縮URLになっていないか、の三点です。少しでも違和感があれば開かないでください。急ぐ内容ほど手口として使われやすいというのも共通点です。
絶対にやらないこと
QRコードから開いた画面で、ID・パスワード・クレジットカード情報を入力しないことを原則にしてください。支払いや会員情報の確認が必要なら、いったん閉じて、ブックマークや公式アプリから自分でアクセスし直します。これだけで大半の被害は避けられます。同種の手口はフィッシングSMSの見分け方や偽のセキュリティ警告への対処でも扱っています。
被害を小さくする備え
万一入力してしまった場合に備えて、二段階認証を有効にしておくと被害を防げる可能性が高まります。またカード利用の通知をアプリやメールで受け取る設定にしておけば、不正利用に早く気づけます。決済アプリの基本的な使い方はQRコード決済の始め方にまとめていますが、正規のアプリから自分で開くという点は共通です。
読み取ってしまったときの備え（PR）
偽サイトへの誘導を、人の目だけで100%見抜くのは無理があります。危険なサイトを開こうとした時点で警告してくれる仕組みを入れておくと、判断を間違えたときの被害を減らせます。
まとめ
QRコードそのものが危険なわけではなく、危険なのは「表示されたURLを見ずに開いて、そのまま入力してしまうこと」です。読み取ったらURLを見る、入力を求められたら公式アプリから入り直す。この二つを習慣にしておけば、日常の利便性を落とさずに身を守れます。
