クイッシングとは？QRコードフィッシングについて解説します

QRコードはレストランのテーブルやパーキングメーター、不在通知、さらには仕事のメールに至るまで、いたるところで見られます。多くの人は深く考えずにスキャンしていますが、サイバー犯罪者はその手軽さを悪用しています。

クイッシングとは、QRコードを悪用して無警戒な被害者を誘い出し、パスワードや支払い情報、個人情報を騙し取る、急速に増加しているサイバー攻撃の一種です。本記事では、クイッシング攻撃の実態と、身を守るための対策について詳しく解説します。

クイッシング（QRコードフィッシング）とは、サイバー犯罪者がQRコードを悪用して被害者を偽のウェブサイトへ誘導したり、マルウェアをダウンロードさせたりするフィッシング攻撃の一種です。QRコードフィッシング、QRフィッシング、あるいは単にQRコード詐欺と呼ばれることもあります。

QR（Quick Response）コードとは、スマートフォンのカメラでスキャンできる二次元バーコードです。支払い手順、連絡先情報、Wi-Fiの認証情報などへのURLやクイックリンクを保存できます。スマホを向けてスキャンするだけですぐにアクセスできる非常に便利な仕組みです。しかし、その利便性ゆえにQRコード詐欺は非常に危険です。

通常のリンクとは異なり、QRコードはアクセス先を隠します。QRコードに対する信頼感と、スキャンするまでURLが表示されないことこそ、サイバー犯罪者がクイッシング攻撃で悪用するポイントです。実際にアクセスするまで、アクセス先を確認できません。

しかし、攻撃者の真の狙いは何でしょうか？クイッシングの事例のおよそ90%¹が機密情報の窃取を目的としており、ログイン認証情報、クレジットカード番号、銀行口座へのログイン情報、個人情報窃盗に悪用される恐れのある個人情報などが狙われます。また、継続的に不正行為を行うためにマルウェアをインストールさせる攻撃もあります。

クイッシング攻撃の仕組みを理解しておけば、被害に遭う前に見抜くことができます。一般的なクイッシング攻撃の手順は、以下のように非常にシンプルです。

クイッシング攻撃が従来のメールセキュリティフィルターをすり抜けやすいのは、URLがクリック可能なテキストではなく、画像内に埋め込まれているためです。多くのメールセキュリティ製品はテキストベースの不審なリンクや既知の悪質なドメインをスキャンしますが、デフォルトでは画像や添付されているPDFファイル内のQRコードを解析しません。

2024年の6月から9月にかけて、Barracuda NetworksはPDF内に隠されたQRコードを含む50万件以上のフィッシングメールを発見しました。それらのクイッシング攻撃で偽装されたブランドのうち、Microsoftが51%、Docusignが31%を占めています²。

QRフィッシングの手口は多岐にわたりますが、緊急性、恐怖、利便性といったソーシャルエンジニアリングのパターンは共通しています。攻撃者がデジタルチャネル（メール、ショートメッセージ、ソーシャルメディア）や物理的な場所（パーキングメーター、飲食店のテーブル、不在通知）でどのようにQRコードを悪用しているかを見てみましょう。

詐欺師は、支払い情報を盗むために偽の駐車場のQRコードを使用します。手口は単純で、印刷したQRステッカーを、人通りの多い場所にある有料駐車場の精算機や看板の正規QRコードの上に貼り付けるだけです。

例えば、テキサス州オースティン全域の約20か所の駐車場の精算機で偽のQRコードステッカーが発見され、サンアントニオでも同様の有料駐車場詐欺が報告されました³。英国のCounter Fraud and Enforcement Unit（CFEU）も、詐欺師が駐車場の看板や精算機に偽のQRコードを貼り付け、PayByPhoneなどの正規の決済プラットフォームを装って銀行口座情報を盗み、個人情報窃盗を行っていると警告しています⁴。

また、FBIのインターネット犯罪苦情センター（IC3）によると、ロマンス詐欺、宝くじ詐欺、なりすまし詐欺の支払いを素早く完了させるため、QRコードを使って被害者を実店舗の暗号資産ATMへ誘導する詐欺師が増加しています⁵。

Surfsharkの情報セキュリティマネージャーであるMiguel Fornesは次のようにアドバイスしています。

配達通知を装い、QRコードを使ってフィッシングサイトへ誘導する手口も多発しています。これは大手配送業者を装い、ドアタグ、チラシ、あるいはメールの形で届きます。QRコードをスキャンすると偽のポータルが表示され、少額の「再配達料」の名目でクレジットカード情報の入力を求められます。

FBIは、犯罪者が一方的に荷物を送りつける手口（ブラッシング詐欺の亜種）についても警告を発しています。この荷物にはQRコードが付いており、受取人に個人情報や財務情報の入力を促したり、気づかないうちにマルウェアをダウンロードさせたりします⁶。

このような通知を受け取った場合は、添付されたQRコードをスキャンせず、配送業者の公式アプリやウェブサイトに直接アクセスして確認してください。

職場でも、偽の請求書、給与通知、取引先への支払い確認などを装ったクイッシングメールが届くことがあります。メールには「セキュアなドキュメントを表示する」ためのQRコードが記載されており、スキャンすると認証情報の窃取を目的に作られたMicrosoftやGoogleの偽のログインページへと誘導されます。リンクが画像内に隠されているため、こうしたメールは多くのメールセキュリティフィルターをすり抜けてしまいます。

飲食店の正規のメニューQRコードが偽物にすり替えられるケースもあります。攻撃者は、テーブルやポスターにある本物のコードの上に目立たないようにステッカーを貼り付けます。スキャンすると、不正なメニューサイトへ誘導される恐れがあります。

飲食店のメニューQRコードで個人情報、ログイン認証情報、支払い情報の入力を求められた場合は、直ちにページを閉じてください。

アカウントのセキュリティ警告を装ったQRコードでデータを盗む手口もあります。これらのフィッシングメールや書面では、緊急性を煽りつつアカウントの停止や不審なアクティビティの発生を通知し、「このQRコードをスキャンしてアカウントを確認してください」と指示して、偽のログインページを開かせます。

正規の事業者がアカウントの問題を解決するためにQRコードの利用を求めることはほとんどありません。信頼できる既知のURLを手入力して、公式サイトや公式アプリに直接アクセスしてください。

クイッシング詐欺はQRコードをスキャンする人なら誰でも被害に遭う可能性がありますが、特に標的になりやすいのは、以下のような人です。

クイッシング攻撃を見抜くには、緊急性を煽る文言、見知らぬ送信者、不審なドメイン、スキャン直後の挙動など、QRコードに関連する複数の兆候に注意を払う必要があります。

メールやメッセージアプリ、あるいは車や郵便受けに残されたチラシなど、予期しない形で届いたQRコードには警戒してください。至急のスキャンを促すメッセージは、クイッシング攻撃の典型的な兆候です。正規の組織が、問題の解決やサービスへのアクセスの唯一の手段としてQRコードを提示することはめったにありません。

見知らぬ送信者からのQRコードはスキャンせず、疑問がある場合は公式の問い合わせ窓口から送信元とされる組織に確認してください。

攻撃は、正規のコードの上に偽のQRステッカーを貼り付ける物理的な改ざんを伴うことがあります。公共の看板やテーブルにあるQRコードをスキャンする前に、以下の点に注意してください。

スキャンする前に、改ざんされたQRコードでないか確認しましょう。正規の施設では通常、ブランディングが一貫しており、正規のQRコードの横に明確な説明が記載されています。

スキャン後にスマートフォンに表示されるプレビューURLを必ず確認してから、「開く」をタップしてください。緊急性を煽るメッセージや、次のような特徴があるQRコードには警戒が必要です。

ブラウザやセキュリティソフトが警告を表示した場合や、サイトに少しでも違和感を覚えた場合は、直ちにページを閉じてください。

QRコードを完全に避ける必要はありません。安全が確認できるまでは、未知のリンクと同じように慎重に扱うことが重要です。注意深く確認する習慣と基本的なセキュリティツールを組み合わせることで、ほとんどのクイッシング攻撃は防ぐことができます。

迅速な対応によって、被害を最小限に抑えましょう。最も重要なステップは、不審なサイトの操作を直ちにやめることです。その後の対応は、どこまで操作してしまったかによって異なります。

フィッシングサイトを開いただけで何もしなければ危険性は比較的低いですが、油断せず警戒を続けてください。

スキャン後に騙されて個人情報を提供してしまう被害者もいるため、クイッシング攻撃の被害拡大を防ぐには迅速な対応が極めて重要です。

クイッシング、フィッシング、スミッシング（SMSフィッシング）、ビッシング（音声フィッシング）の攻撃はすべて、被害者を騙してデータや金銭を提供させるという共通の目的を持っています。これらの詐欺全般において、攻撃者はメッセージの信憑性を高めるために、信頼できるブランド、電話番号、メールアドレスになりすますスプーフィングを頻繁に利用します。ただし、使用されるチャネルは多岐にわたります。

QRコードは、決済、チケット、メニュー、認証など、日常生活における習慣の1つとなっています。この習慣自体が消えることはなく、攻撃者も悪用し続けるでしょう。しかし幸いなことに、QRコードを完全に避ける必要はありません。すべてのQRコードを信頼できないリンクとして扱い、スキャンする前に状況を確認し、この記事で学んだセキュリティツールや対策を実践するだけでよいのです。