"クイッシング":QRコードとSMSリンクの詐欺

QRコードを読み取ると、スマホが直接Webサイトを開きます。アドレスを読んだわけでも、入力したわけでも、行き先を選んだわけでもありません。QRが代わりに決めました。その便利さこそがクイッシング(QR+フィッシング)の狙いです。行き先を隠したQRコードや短縮URLで偽サイトに誘導し、情報やお金を盗みます。

クイッシングはスミッシング(偽の罰金SMSなど)と別物ではありません。リンクを巧みに隠した同じ騙しです。罰金や宅配の偽SMSなら、注意すれば怪しいドメインが見えますが、QRは読み取るまで何も見えません。

偽QRが現れる場所

• パーキングの精算機や無人駐車場。 自治体や決済アプリの本物のQRの上に偽QRのシールを貼ります。読み取ると駐車料金の支払いを装ったサイトに飛び、カード情報を入力させます。国内で最も増えている亜種です。
• 飲食店のメニューやテーブルの案内。 本物の上に貼られたQR。偽アプリの導入や、適当な口実でのフィッシングサイト誘導が目的です。
• フロントガラスの罰金・警告の貼り紙。 「割引で支払える」QR付きの偽の処分通知。偽の罰金SMSと同じ餌の紙版です。
• 荷物と配達。 シールやSMSのQR(「再配達はこちらから」など)。宅配詐欺の亜種です。
• メールやSMSのQR。 リンクの代わりにQRの読み取りを求めます。「二段階認証」や「セキュリティのため」という口実もあり、リンクを検査するフィッシング対策の回避にもなります(画像は検査されないため)。
• 仮想通貨と支払い。 入金先アドレスや「返金」を含むと称するQR。送金したら戻りません。

原則:入る前に行き先を見る

通常のリンクは押す前にアドレスを読めます。QRは読めないので、その手順を手作業で足します。

1. 読み取るが、まだ入らない。 ほとんどのスマホは開く前にURL全体を表示します。そこが判断の場面です。急がず全文を読みます。
2. ドメインを確認する。 サービスの公式ドメインでなければなりません。余分なハイフンや不自然な末尾があれば偽物です。精算機のQRが自治体や公式アプリ以外のドメインに飛ぶなら偽物です。
3. 合わなければ入らず、自分で公式チャネルに行く。 公式の駐車場アプリ、銀行、店舗のアプリを開いて手続きします。銀行の電話やSMSの確認と同じ方法です。
4. 急がせるQRを疑う。 「今すぐ読み取り」「最終通知」「本日中に返送」。緊急性は詐欺の署名であり、QRもSMSも同じです。

街中の貼られたQRへの物理的な助言を一つ。シールの上にシールがないか見てください。精算機のQRが後から貼られたように見える、下に別のコードが隠れている場合は使いません。導入済みの公式アプリから支払います。

読み取って情報を渡した場合

• 行き先のサイトでカードを入力した:すぐにカード会社に電話し、カードを停止して再発行します。その後数週間の請求を監視します。
• QRからアプリを入れた:アンインストールし、スマホのセキュリティ機能で検査して、与えた権限(SMS、アクセシビリティ、通知が危険)を確認します。
• 読み取って閉じただけ:ほぼ確実に何も起きていません。読み取りだけでは何も導入されず、情報も渡りません。リスクはサイトで操作してから始まります。
• QRの写真(街中のものはシールと場所の写真)とサイトの記録を添えて警察に相談します(#9110や最寄りの警察署)。
• QRがSMSや電話で届いた場合は、発信番号を報告します(迷惑番号ディレクトリ)。

よくある質問

QRを読み取るだけで乗っ取られる? 読み取りだけでは、いいえ。QRは文字(通常はURL)を含むだけです。危険は行き先のサイトと、そこでする操作にあります。データを入れる、ファイルを落とす、権限を与える。だから防御は入る前に行き先を見ることです。

短縮URL(bit.lyなど)は同じ? 同じ問題です。行き先を隠します。正規の短縮サービスはプレビュー機能を持つものもありますが、実務の原則は同じです。行き先が分からず急がせるなら、押さずに自分で公式チャネルに行きます。

銀行から正規のQRが届くことはある? あります。アプリの連携や取引の確認など、自分が始めた手続きの中で、です。頼んでいないのに届く銀行のQRは原則通りです。使わずに自分で公式アプリに入ります。

高齢の家族を守るには? 一文で。「街中のQRを読み取って支払わないで、いつものアプリで払って」。精算機が最も多い接点です。詳しくは高齢者を電話詐欺から守る方法をご覧ください。

まとめは一行です。QRは読めないリンクなので、入る前に読む。 読み取って、URLを見て、公式ドメインでなければ閉じて、自分で公式チャネルに行く。その一瞬の間がクイッシング全体を無力化します。