QRフィッシングとは？QRコード詐欺の検出と防止方法
2025年4月15日
著者: Ahona Rudra
翻訳: 古川 綾乃
この記事はPowerDMARCのブログ記事 What is QR Phishing? How to Detect and Prevent QR Code Scamsの翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。
Quishing（クイッシング）、またはQRコードフィッシングは、長年存在するサイバーセキュリティ上の脅威としては、比較的新しい手口に分類されます。
一見すると深刻ではないように思えるかもしれませんが、この脅威を理解しておくことで、金銭的損失や時間の浪費、さらには企業の評判低下を防ぐことにつながります。
QRコードは、飲食店のメニュー、街頭ポスター、アプリ、企業のWebサイトなど、あらゆる場所で利用されています。
カメラでスキャンするだけで、Webリンクと同様に、手軽にWebサイトへアクセスできる点が普及の背景にあります。
しかし、ユーザーにとって便利な仕組みは、その手軽さゆえに、サイバー犯罪者に悪用されやすい側面もあります。
悪意のある第三者はQRコードを利用して、ユーザーを本来アクセスするつもりのないWebサイトへ誘導し、個人情報を盗み取ろうとします。
この記事では、サイバー犯罪者がどのようにQRコードを悪用してフィッシング攻撃を行うのかを解説します。
併せて、一般的な手口や実際の事例、防止策、そしてサイバーセキュリティにおけるベストプラクティスについても紹介します。
重要なポイント
- QRフィッシング（クイッシング）は、QRコードを悪用してユーザーを悪意のあるWebサイトへ誘導し、認証情報を盗んだり、マルウェアをインストールさせたりする手口です。
- 攻撃者は、悪意あるQRコードをメールやポスター、Webサイト、請求書などに紛れ込ませ、被害者にスキャンさせます。
- 代表的なクイッシング詐欺には、偽のログインページ、アンケート、詐欺的な駐車場料金や支払い用のQRコードなどがあります。
- QRコードは見た目だけではリンク先を判別できず、またモバイル端末のセキュリティが不十分な場合も多いため、QRフィッシングの検出は困難です。
- 攻撃を防ぐためには、ユーザーへの注意喚起、QRコードスキャン専用アプリの利用、多要素認証（MFA）の有効化が重要です。
- 組織は、QRフィッシングの脅威を正しく認識し軽減するために、適切なサイバーセキュリティ対策と従業員教育を実施する必要があります。
QRフィッシング（クイッシング）とは？
QRフィッシング（クイッシング）とは、攻撃者がQRコードを悪用し、ユーザーを正規サイトではなく不正なWebサイトへ誘導する攻撃です。
誘導先のサイトでは、ログイン情報や銀行口座情報などを盗み取ったり、情報を盗むマルウェアを端末にインストールさせられる場合もあります。
クイッシングは、従来のフィッシングよりも気づきにくいとされています。
QRコードは見た目だけではリンク先が分からないため、利用者が不審なURLに気づく前にアクセスしてしまいやすいからです。
QRフィッシング攻撃の仕組み
攻撃の仕組みを理解することで、どのような対策が有効か、また顧客の安全をどのように守るべきかが明確になります。
ここでは、典型的な流れと注意点を確認します。
QRフィッシングの流れ（手順）
以下は、クイッシングがどのように行われるかの流れです。
- 1. 悪意のあるQRコードを作成する
- 攻撃者は、不正サイトへ誘導するリンクを埋め込んだQRコードを作成します。
- 2. メールやポスター、Webサイトなどに紛れ込ませる
- 作成したQRコードをメールに添付したり、掲示物に貼り付けたりして配布します。
場合によっては、正規のQRコードの上からシールで覆うなどして、気づかれないように差し替えます。 - 3. 被害者がスキャンして不正サイトへ誘導される
- 被害者がQRコードを読み取ると、見た目だけでは偽物と判断しにくいため、そのまま不正サイトにアクセスしてしまうケースがあります。。
結果として、偽のログイン画面に入力してしまったり、マルウェアをダウンロードさせられたりします。
一般的なクイッシング攻撃のシナリオ
攻撃者は、QRコードを利用して被害者を欺く、さまざまな手口を用います。
以下は、代表的なクイッシング攻撃の例です。
- 偽のログインページ（銀行、メール、企業ポータルなど）
- 詐欺師は、銀行や企業ポータルなど、機密情報を扱うWebサイトに酷似したログインページを作成します。
ユーザーが正規のページだと思い込んで情報を入力すると、その認証情報は攻撃者に盗まれてしまいます。 - インセンティブ付きの偽アンケート
- 多くの人は、できるだけ手軽に利益を得たいと考えがちです。
詐欺師はこうした心理につけ込み、アンケートを装った不正なページへ誘導します。
ユーザーが個人情報を入力すると、その情報が不正に収集されます。 - 偽の駐車料金や請求書にQRコードを使用
- 駐車料金の未払い通知や請求書を受け取った経験がある人は多いでしょう。
詐欺師は、罰金や追加料金を避けようとして急いで支払おうとする心理を利用し、偽のQRコードを通じて銀行情報などを盗み取ります。 - 業務用アプリ内の偽QRコード
- 企業もQR詐欺の対象になります。
たとえば、CRMや勤怠管理アプリなどで使用されている正規のQRコードの上に、偽のQRコードが貼り付けられることがあります。
その結果、従業員の認証情報や企業データへのアクセス権が攻撃者に渡ってしまう恐れがあります。
QRフィッシングが危険な理由
QRフィッシングは、一部の人だけが被害に遭うものだと誤解されがちですが、実際には見抜くのが難しいため、広範な被害につながる危険があります。
多くの人がQRコードを信用しており、またモバイル端末のセキュリティは十分でない場合も少なくありません。
さらに、従来のメールセキュリティ対策ではQRコードを利用した攻撃を検知しにくいという課題があります。
世界的にサイバー犯罪による被害は増加しており、被害額は9兆2,200億米ドルに達しており、QRフィッシングのような新しい手口の登場によって、今後さらに深刻化する可能性があります。
そのため、企業や個人がこの脅威を理解し、事前に対策を講じることが重要です。
QRフィッシング攻撃の実例
クイッシングについて理解することは重要ですが、実際の被害事例を見ることで、その影響がビジネスや地域社会にどれほど深刻かを具体的に理解できます。
ここでは、QRコード詐欺によって多額の金銭的被害を受けた事例を紹介します。
QRコード詐欺により13,000ポンドを失った事例
2023年11月、イングランド・ニューカッスルに住む71歳の女性が、QRコード詐欺の被害に遭い、13,000ポンド（当時のレートで約240万円）を失いました。
詐欺師は、駐車場の公式案内板に設置されていた正規のQRコードの上から、偽のQRコードを貼り付ける手口を用いました。
女性が偽サイトに銀行情報を入力した際、銀行が不審な取引を検知して一時的に取引を停止したため、当初は被害を免れたように思われました。
しかしその後、詐欺師は銀行職員を装って連絡を取り、女性に13,000ポンド（当時のレートで約240万円）のローンを組ませます。
さらに、銀行口座情報の変更や新しいカードの発行、オンライン口座の設定まで行い、最終的に資金を奪いました。
この事件を受け、地元自治体はTransPennine Expressが管理するすべての駐車場からQRコードを撤去する対応を取りました。
このような被害では、失われた貯金を取り戻すことが難しく、被害者に長期的な経済的・精神的影響を与える可能性があります。
QRフィッシングから身を守るには
QRフィッシング詐欺は巧妙で検出が難しい一方、適切な対策によって予防は可能です。
以下のベストプラクティスと技術的セキュリティ対策を実施することで、自身や組織をQRフィッシング攻撃から守ることができます。
ユーザーの意識向上と基本的な対策
まず、QRコードの出所を必ず確認することが重要です。
QRコードの安全性を確認できるアプリもありますが、アプリ自体が正規のものであるかを、インストール前に必ず確認してください。
偽アプリによる情報窃取のリスクも存在します。
また、QRコードを読み取る前にリンク先を表示・確認できるアプリを利用することで、不審なWebサイトに不用意にアクセスするリスクを減らせます。
少しでも不審に感じた場合は、QRコードをスキャンせず、公式サイトなど別の手段で情報を確認しましょう。
技術的なセキュリティ対策
企業や組織では、従業員の個人情報や資金、企業の信用など、多くの重要な資産が脅威にさらされます。
QRフィッシング対策として、ログイン時に多要素認証（MFA）を導入することが有効です。これにより、仮に認証情報が盗まれても、不正ログインを防ぎやすくなります。
さらに、QRフィッシングの検知機能を備えたサイバーセキュリティソリューションを導入することで、脅威への対応力を高めることができます。
加えて、従業員がQRフィッシングやその他のソーシャルエンジニアリング攻撃を認識し、回避できるようにするための教育・訓練も重要です。
まとめ
QRフィッシングは、個人の金銭的被害だけでなく、データ漏えいや組織の評判低下につながる危険な攻撃です。
QRコードは見た目だけでは正規かどうかを判断しにくいため、従来のフィッシング攻撃よりも発見が難しい傾向があります。
しかし、事前のリンク確認、多要素認証の導入、従業員教育などを組み合わせることで、多くのQRフィッシングの脅威を回避し、自身や組織を守ることができます。