QRコード詐欺: 研究でわかったこと

要点

• お客様が見覚えのあるアドレス、できればご自身のウェブサイトを開くコードを印刷しましょう。
• コードはシールではなく表面に直接印刷し、公共の場所のコードは上にシールが貼られていないか確認しましょう。
• 読み取ったコードを開く前に、カメラに表示されるアドレスを読みましょう。

QRコードのメールにも、リンクと同じくらいだまされた

フィッシングとは、偽のメッセージで人を偽のウェブサイトへ誘導する手口です。QRコードフィッシング、つまり quishing は、リンクの代わりにQRコードを使って同じことをします。

2025年、Marie Weinz 率いるリヒテンシュタイン大学のチームが、小規模企業から多国籍企業まで、実際の組織でフィッシングを試験しました。送ったテストメールは71,000通を超えます。普通のリンクを載せたメールと、QRコードを載せたメールがありました。

QRコードのメールは、リンクのメールとほぼ同じ頻度で人を偽ページへ誘導しました。著者らは、アドレスが画像の中にあるため、QRコードのメールはメールフィルターにも検出されにくいと指摘しています。この論文はセキュリティ会議 AsiaCCS 2025 で発表されました。

それ以前の2つの研究も、同じ方向を示しています。2022年、Sharevski らは173人に、COVID-19の証明書用の偽のQRコードを読み取ってもらいました。67%がGoogleまたはFacebookのアカウントで登録してもよいと答え、最も多く挙げた理由は手軽さでした。2024年、Geisler、Pöhn、Hommel は、ドイツの研究キャンパスに偽のアンケートポスターを貼りました。より本格的な見た目で賞品も用意したポスターは、簡素なポスターの約3倍読み取られました。

QRコードを印刷する方へ

人は、見覚えのあるアドレスなら確認できます。いちばん見分けやすいのは、ご自身のウェブサイトです。

• できるだけ自分のアドレスを見せる。静的コードは、あなたのウェブアドレスを直接開きます。QR Lasts Pro なら、動的コードでも独自ドメインを使えます。
• 表面に印刷する。看板に直接印刷したコードは、シールより上から覆いにくくなります。
• 公共の場所のコードを確認する。テーブル、ポスター、ドアでは、コードの上にシールが貼られていないか、ときどき確認してください。
• コードの行き先を書く。コードの下に「yourshop.com/menu を開きます」のような一行があれば、開く前に確認できます。

開く前にコードを確認する方法

1. まずアドレスを読む。多くのカメラアプリは、開く前にアドレスを表示します。
2. サイト名を見つける。最初に出てくる1本だけの / までアドレスを読み、その最後の2つの部分を見てください。parking-city.example.com.pay-now.ru/pay の場合、サイトは pay-now.ru です。.co.uk などで終わるアドレスでは、最後の3つの部分を見てください。
3. ログインや支払いを求めるコードには注意する。駐車場、銀行、配送のサービスは、たいてい自社のアプリやウェブサイトで支払えます。それらはご自身で開けます。
4. シールがないか触って確かめる。メーターやポスターでは、読み取る前に確認してください。
5. 心当たりのないメールのコードは読み取らない。代わりに、そのサービスに直接アクセスしてください。

QR Lasts でできること

静的コードは、間に何も挟まず、あなたのアドレスを開きます。ここで作成したコードは、無料でも有料でも、リダイレクトを続けます。コードを止めるのは、Google Web Risk がフィッシングやマルウェアとして検出したリンク先のような、不正利用の場合のみです。

出典

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

研究の読み違いがあればお知らせください。訂正します。