QRコード詐欺（クイシング）の手口と対策｜駐車場・飲食店の貼り替え型フィッシング

🛡️ この記事について：「情報処理安全確保支援士」（IPA認定 国家資格）保有者が執筆・一次情報を確認しています。参照先は警察庁・IPA・消費者庁など公的情報を優先。 → 編集方針・運営者情報

駐車場に貼ってあるQRコードを読んだら、変なサイトに飛ばされた気がして…

クイシング（QRコードフィッシング）という手口です。実在する場所のQRコードが偽物に貼り替えられる事案が増えています。

クイシング（Quishing）とは

QR（Quick Response）コードを使ったフィッシング詐欺です。QRコードはURLを直接見せないため、フィッシングリンクを隠しやすく、セキュリティソフトでは検知しにくいのが特徴です。

被害が報告されている場所

• 駐車場の精算機・看板：本物のQRコードの上に偽ステッカーを貼り付ける
• 飲食店のメニューQR：テーブルのQRコードを偽物に差し替え
• 商品パッケージ：「お客様アンケート」と称してQRコードを貼付
• フリマ・ネット売買：「詳細はこちら」QRコードで個人情報を盗む
• メール・チラシ：公的機関を装ったメールのQRコード

クイシングに引っかかったか確認する

QRコードを読む前のチェック方法

QRで変なサイトに飛んでしまったら

QRコードがフィッシングに悪用される仕組み

クイシング（Quishing）とは、QRコードを使ったフィッシング詐欺のことです。「QR（Quick Response）」と「フィッシング」を組み合わせた言葉で、近年急増している手口です。QRコードは、それ自体を見ても、どこにつながるURLなのかが人間には分かりません。この「リンク先が見えない」という性質が、悪用されているのです。

通常のフィッシングメールなら、リンクのURLをよく見れば「怪しい」と気づけることがあります。しかしQRコードでは、読み取るまでリンク先が分からず、しかもセキュリティソフトでも検知しにくいという特徴があります。犯人はこれを利用して、本物そっくりの偽サイトへ誘導し、ID・パスワードやクレジットカード情報を入力させようとします。

どこに偽QRコードが潜んでいるか

クイシングの被害は、意外と身近な場所で報告されています。代表的なのが、実在の場所に貼られた本物のQRコードの上に、偽物のステッカーを貼り付ける手口です。

「貼り付けられたシール状のQRコード」は、特に注意が必要です。本物のQRコードは印刷されていることが多いため、上から貼られたステッカーのQRは疑ってかかる方が安全です。

読み取る前・読み取った後の対策

クイシングを防ぐには、QRコードを読み取る前後でのちょっとした注意が効果的です。読み取る前には、QRコードのシールが不自然に貼られていないかを確認しましょう。多くのスマホでは、QRを読み取った瞬間に、開く前のURLが画面に表示されます。そのURLが、見慣れたドメインか、不自然な短縮URLや見知らぬドメインでないかを必ず確認してください。

もし読み取って偽サイトに飛んでしまっても、そこで何も入力しなければ被害はありません。ログイン情報やカード番号を入力するよう求められたら、それは強い警戒のサインです。すでに入力してしまった場合は、そのサービスのパスワードをすぐ変更し、カード情報ならカード会社に連絡して利用停止・再発行を依頼しましょう。公式の情報は、QRコードからではなく、公式アプリや公式サイトから直接アクセスするのが最も安全です。

QRコードって便利だから何も考えずに読み取ってたよ…。そんな危険があったなんて。

便利だからこそ、つい無防備になりがちなんです。ポイントは「読み取った瞬間に出るURLを、開く前に確認する」こと。それと、貼り付けられたシールのQRは疑う。この2つだけで、クイシングのほとんどは防げます。大事な手続きは、QRより公式アプリから直接アクセスしてくださいね。

QR決済そのものは安全に使い続けられる

クイシングの話を聞くと「QRコード自体が危険なのでは」と不安になるかもしれませんが、そうではありません。QRコードは情報を読み取りやすくする便利な技術であり、PayPayなどのQRコード決済そのものの仕組みが危険なわけではないのです。問題は、「リンク先が見えない」という性質を悪用して、偽のQRコードを紛れ込ませる犯罪者の側にあります。

安全に使い続けるコツは、場面ごとにリスクを意識することです。お店のレジで店員さんと一緒に使う決済QRはリスクが低く、誰でも貼り替えできる「屋外に貼られた」「郵便物で届いた」QRはリスクが高い。この感覚を持つだけで、便利さを手放さずに危険だけを避けられます。読み取り時にURLを確認する習慣と合わせて、QRコードと上手に付き合っていきましょう。

また、家族のなかでスマホに不慣れな人がいる場合は、「QRコードを読んだ後に、ログインやカード番号の入力を求められたら、その場で入力せず家族に確認する」というルールを共有しておくと安心です。クイシングは比較的新しい手口のため、手口の存在を知っているかどうかで、被害の確率が大きく変わります。この記事の内容を、ぜひ身近な人にも伝えてあげてください。

QRコード自体は悪者ではありません。「読み取ったあとのURL確認」と「貼り替えできる場所のQRは疑う」。この2つを覚えて、便利さはそのまま、危険だけを避けていきましょう。家族にも「入力前に確認」のルールをぜひ共有してくださいね。