PACIFICサイバーセキュリティ研究所

コラム

26年8月号　QRコードだからと油断していませんか ―「クイッシング」にご注意ください

著者:PACIFICサイバーセキュリティ研究所　研究員　K.S
 公開日:2026年8月21日(金)
 コラムテーマ:フィッシング詐欺

「油断したねぇ 無料で楽しませてもらうねぇ」

インターネットの特定領域が好きな方なら一度は目にしたことがあるかもしれません。発端は2019年、某匿名掲示板で利用者が「星型の当たり付きピノを引いた」ことを喜び、写真を投稿したことでした。写真には、箱の中にあった特典動画視聴用のQRコードがそのまま写り込んでおり、これを見つけた別の利用者が横からQRコードを読み取って動画を視聴してしまいます。実はこの動画、星型が当たらなくても公式サイトで誰でも視聴できるものだったのですが、この時に添えられた一言がインターネットの一部の人たちの印象に残りました。

このミーム、実は最近もリバイバルしています。2026年7月、あるお地蔵様の前に設置されたキャッシュレス対応の賽銭箱(QRコードを読み取ってスマホ決済で賽銭を納める仕組み)について、「風情がない」と批判する投稿がSNSに上がりました。ところが投稿にはQRコードがくっきりと写っており、それを見た人たちが次々と「油断したねぇ」を合言葉に、各地から遠隔でお賽銭を投げ入れる、という一種のお祭り状態になったのです。

どちらの話も、笑って済ませられる範囲の出来事です。ですが、この2つのエピソードが示しているのは、「QRコードは、写り込んだり誰かに渡ったりするだけで、悪意の有無に関係なく誰でも読み取って使えてしまう」という性質そのものです。「油断」していたのはQRコードを晒す側でしたが、悪意ある第三者が絡む場合、油断すべきでないのはむしろ読み取る側かもしれません。その代表例が、「クイッシング(Quishing)」という攻撃です。

クイッシングとは何か

クイッシングとは、QRコード(QR Code)とフィッシング(Phishing)を組み合わせた造語で、QRコードを悪用したフィッシング詐欺を指します。偽の詐欺サイトやマルウェアのダウンロードページへ誘導するURLをQRコードに埋め込み、読み取らせることで被害者を騙す手口です。

従来のフィッシングメールと仕組みは同じでも、QRコードならではの厄介な特徴があります。

  • URLが目で確認できない

メールのリンクなら文字列を見て「何かおかしい」と気づけますが、QRコードは読み取るまで遷移先が分かりません。また、QRコードは画像であるため、メール本文中のURLを検査するフィルタリング機能をすり抜けやすいという特徴もあります。

  • 警戒心が薄まる

QRコードは多くの場合スマホで読み取りますが、スマホはPCに比べてURLの全体表示欄が小さく、また移動中や慌てている場面で読み取られることが多いため、警戒心が働きにくい傾向があります。さらに、従業員が私物のスマートフォンで読み取った場合、組織が導入しているセキュリティ対策を迂回してしまい、ブロックできません。

  • 紙媒体・現実空間にも仕込める

メールフィルターや迷惑メール対策の網をすり抜け、チラシ、貼り紙、駐車場の精算機、レストランのメニューなど、あらゆる「現実の物」に貼り付けられます。

実際に報告されている手口

①メール添付やビジネス文書への埋め込み
近年は、フィッシングメールの本文にリンクを直接書く代わりに、PDFや画像内にQRコードを埋め込むケースが増えています。メールのセキュリティフィルターはテキストのURLは検知できても、画像内のQRコードまでは検知しづらいという弱点を突いた手口です。

②正規のQRコードの上に偽のシールを貼る
駐車場の精算機などに設置された決済用QRコードの上から、偽サイトに誘導するQRコードシールを重ねて貼るという手口です。米国では複数の都市でパーキングメーターのQRコードがすり替えられる被害が警察から報告されており、国内でも2025年9月に東京都内のコインパーキング十数箇所で同様の手口により約80名・総額約340万円の被害が発生しています。利用者は本物だと信じて読み取り、偽の決済ページでクレジットカード情報を入力させられてしまいます。

③チラシや郵便物を装う
宅配便の不在通知や店舗のチラシなどを装い、記載されたQRコードからフィッシングサイトへ誘導する手口も報告されています。2023年には福岡市内で、実在しない「デリバリー弁当店」のチラシが自宅ポストに投函され、注文用として記載されたQRコードを読み取った利用者が偽の決済サイトでカード情報を入力してしまう被害が相次ぎました。

被害に遭わないためにできること

  • 読み取る前に一呼吸置く

駐車場や店舗の精算QRコードは、上からシールで重ね貼りされていないか、貼り付けが不自然でないか確認しましょう。

  • 読み取り後、遷移先のURLを必ず確認する

多くのスマートフォンはQRコード読み取り時に遷移先URLをプレビュー表示します。見慣れないドメインや、公式サイトと綴りの違うURLでないか確認してから開きましょう。

  • 個人情報・決済情報の入力を急がない

QRコード経由で開いたページでいきなりクレジットカード番号やログイン情報の入力を求められたら、一度立ち止まり、公式サイトやアプリから同じ手続きができないか確認しましょう。

  • 送信元不明のQRコードは読み取らない

身に覚えのない郵便物やメールに記載されたQRコードは、安易に読み取らないことが基本です。

おわりに

QRコードの「読み取るまで中身が分からない」「誰でも簡単に読み取れる」という性質は、悪意を持つ人にとって都合の良い攻撃手段にもなり得ます。便利なものほど、悪用されたときの影響も大きくなりがちです。次に街中やメールでQRコードを目にしたときは、少しだけ立ち止まって確認する習慣をつけていただければと思います。読み取る側も、油断は禁物です。

参考

  • IPA(独立行政法人情報処理推進機構)「IPA NEWS Vol.69(2024年11月号)」フィッシング詐欺に新たな手口。ワンタイムパスワードの窃取も！
    https://www.ipa.go.jp/about/ipanews/ipanews202411.html
  • TNCニュース「チラシに『焼肉弁当100円』 QRコード読み取り決済したら…"詐欺"だった 福岡市で被害相次ぐ」
    https://news.tnc.co.jp/news/articles/NID2023122219929

一覧へ戻る