QRコードの先に表示されたページが本物かどうかは、URLや鍵マークだけでは判断できません。リンク先の確認方法は、偽サイトを見分ける手順もあわせてご覧ください。
クイッシングはQRコードを使うフィッシング
クイッシングは、QRコードを読み取らせて偽のログイン画面や支払いページへ誘導する手口です。QRコードは文字列やURLを画像にしたものなので、読み取っただけで必ず感染するわけではありません。注意したいのは、遷移先でID、パスワード、カード番号、認証コードを入力させることです。
飲食店のメニュー、駐車場の精算、宅配の案内、郵便物、イベントの受付など、日常の場所で使われています。元の案内に別のシールが貼られている、印刷が不自然、突然「返金」や「本人確認」を求めるなどの場合は、QRを開く前に立ち止まりましょう。
読み取る前に確認したい5つのポイント
一つ目は、QRコードの出所です。店頭の掲示や公式の紙面か、知らない相手から送られた画像かを見ます。二つ目は、上からシールが貼られていないか、周囲の案内と違わないかです。三つ目は、何の手続きに使うコードか説明があるか。理由が分からないコードを無理に読み取る必要はありません。
四つ目は、読み取り後に表示されるURLです。公式サービスと似た文字、余分なハイフン、別の国・会社のドメインなどがないか確認します。五つ目は、その場でログインやカード情報を入力する必要が本当にあるかです。少しでも疑問があれば、店員や事業者へ別の方法で確認します。
入力する前にできる安全確認
読み取りアプリやスマートフォンのカメラは、開く前にURLのプレビューを表示することがあります。リンクを開く場合も、ブラウザーのアドレス欄を見て、案内にある公式ドメインと一致するか確かめます。URLを短縮するサービスのリンクや、ログインに関係ない不自然なドメインの場合は、入力をやめます。
支払いやアカウント確認なら、QRコード経由ではなく公式アプリを自分で起動し、アプリ内に同じ手続きがあるか探します。検索する場合は広告表示と通常の検索結果を見分け、URLを確認します。過去に正しい公式ページを使ったことがあるなら、ブックマークから開く方法もあります。
読み取った後に入力してしまったら
QRコードを開いただけで、何も入力せず、ファイルもインストールしていなければ、まずページを閉じてください。サイトの通知を許可した場合は、ブラウザー設定からそのサイトの通知権限を取り消します。ダウンロードが始まった時は開かず、ファイルを削除してセキュリティスキャンを行います。
IDやパスワードを入力した場合は、正規サイトを直接開いて、そのパスワードを使う全サービスで固有のものへ変更し、全端末からログアウトします。確認コードまで入力した場合や身に覚えのない決済があれば、該当サービスと金融機関にすぐ相談します。カード番号を入力した場合はカード会社へ連絡し、利用停止・再発行の案内を受けてください。
確認方法：店頭の案内でURLの見え方を確認
安全だと分かっている店や自分の持ち物にあるQRコードで、読み取り後にURLがどう表示されるか試します。URLのどの部分がドメインなのか、公式サイトのトップページと比較しておきます。見知らぬコードで実験する必要はありません。
次に、スマートフォンで公式アプリのアイコンと提供元を確認し、支払い・予約はアプリから開けるかを試します。QRのシールやURLに不自然さがある場合の連絡先も、掲示内の番号に頼らず公式サイトで調べる習慣をつけましょう。
QRコードの案内が不自然な時は別の方法へ
QRコードが貼られていても、読み取らなければサービスが使えないとは限りません。駐車場の支払いなら精算機の案内や公式アプリ、飲食店のメニューなら店員への確認など、別の正規ルートがないか探せます。読み取りを急がせる表示や、金銭・個人情報を入力しないと手続きが完了しないと迫る案内は、いったん止まって確認しましょう。
URLを確認する時は、ドメイン名の右から左へ読むと仕組みをつかみやすくなります。例えば「bank.example.com」なら登録可能な中心ドメインは「example.com」で、先頭の「bank」はその下の名前です。正規企業のドメインと一文字違い、余分な単語、別の文字種がないかに注目します。判断しにくいURLは開かず、公式サイトから同じ案内を探す方が安全です。
QRコードに連絡先や決済先を含める使い方もあります。支払画面が出たら、金額、受取人、店舗名、決済サービスを確認してから確定します。店頭での支払いなのに個人名の受取先が表示されるなど、説明と合わない時は処理を止めてスタッフに確認します。QRコードの読み取りと支払いの確定は別の操作です。
不審なQRコードを見つけたら、上から貼られたラベルをはがしたり、写真をSNSで拡散したりせず、店舗や施設の管理者へ伝えます。コードを撮影して共有すると、他の人が読み取る危険が増える場合があります。郵便物や荷物にあるコードなら、差出人の公式窓口へ問い合わせます。確認に使う電話番号は、QRコードや同封文書の連絡先以外から調べてください。
今日からできる追加チェック
読み取りアプリによっては、リンクの一部だけが画面に表示され、ドメインの全体が分かりにくいことがあります。表示をタップしてすぐ開く前に、URLを長押ししてコピーするのではなく、まず画面上のプレビューを拡大して確認します。短縮URLや文字数の長いアドレスは、どこへ移動するか分からない時点で入力を中止し、公式アプリから同じ手続きを探します。
QRコードを読み取るだけで、カメラや写真、連絡先などの権限を新たに許可する必要は通常ありません。読み取り後にアプリのインストールやプロファイルの追加、端末管理の許可を要求されたら、目的を確認せず進めないでください。必要な案内か分からない時は、コードを掲示した店舗・事業者のスタッフへ別の方法で確認します。
「QRコードを読み取ったから端末が乗っ取られた」と決めつける必要はありません。多くのケースで注意すべきなのは、その先のサイトで認証情報やカード情報を入力することです。入力前に止められたなら、ページを閉じ、通知許可やダウンロードがないかを確認します。入力してしまった時だけ、情報の種類に応じたパスワード変更や金融機関への連絡を急ぎましょう。
コードの読み取り後にブラウザー通知の許可を求められても、必須とは限りません。許可してしまった場合は、ブラウザーの公式設定からそのサイトの通知権限を取り消せます。通知に書かれた「解除」リンクは開かず、設定画面を自分で開いて操作してください。
