QRフィッシングで悪用最多のQR生成サービス

この発見によって、このブログの主張は意見から証拠に変わります。クィッシング、つまりQRコードで届けられるフィッシングが機能するのは、印刷された四角形を目で読めないからです。しかし、それが *拡大する* のは、正規の企業が10年かけて、見慣れない短縮ドメインをスキャンするのは普通だと人々に教えてきたからです。

Unit 42の2026年2月のテレメトリーでは、1日平均11,000件を超える悪質なQRコードを検出しています。QR短縮サービス経由の通信量は、2023年前半から2024年前半にかけて55%増加し、2025年前半にはさらに44%増えました。FBIとFTCはいずれも一般向けの警告を出しています。インターネット犯罪苦情センターは、犯罪者がコードを改ざんして資金や認証情報を盗む手口についてPSA 220118を公開し、2025年7月にはQRコード入りの身に覚えのない荷物についても注意喚起しました。FTCは、詐欺師が正規のコードを自分たちのステッカーで覆う手口を警告し、特に駐車メーターを挙げています。

なぜQRコードはスキャン前に確認できないのですか？

リンクをクリックする前に確認するよう、人々はある程度うまく教えられてきました。カーソルを合わせ、ドメインを読み、スペルミスを探すのです。この防御は、URLを目で確認できることが前提です。

QRコードはその前提を崩します。リンク先は、人間が目で解読できないパターンに埋め込まれています。カーソルを合わせることもできません。カメラを四角形に向け、何かが開くか、開かないかです。防御できる唯一の瞬間は、一部のスキャナーが先に表示するプレビューです。しかし小さな画面で急いでいると、そのプレビューは、多くの人が読まない途中で切れた文字列にすぎません。

主な攻撃はどのようなものですか？

NCSCはメールについて明確に指摘しています。すべてのセキュリティツールが画像をスキャンするわけではありません。そのため、悪質サイトを指すQRコードは、同じリンクがテキストなら検出できたフィルターを通過できます。また利用者は、勤務先が管理する端末の保護機能を持たない個人のスマートフォンでスキャンしがちです。当サイトのWi-Fi QRコードページでは、そのペイロード形式を説明しています。どのように見えるかを知ることが、確認するための鍵です。

リダイレクトは最後の防御をどう壊したのですか？

すべての正規企業が、自社ドメインを埋め込んだ静的コードを使っているとします。スキャナーのプレビューには restaurant-name.com/menu、cityparking.gov/pay、yourbank.com/verify と表示されます。見覚えのあるものです。x7q-cdn.click/8Hf2 と表示されるプレビューなら、これまでスキャンした正規コードとは違うため、明らかにおかしいと気づけるでしょう。

しかし、現実はそうなっていません。飲食店、小売店、博物館、交通機関、さらには政府機関まで、正規のコードの非常に多くが、スキャンする人には意味のない第三者の短縮ドメインを経由しています。結果は直接的です。QRプレビューに見慣れないドメインが表示されても、もはや何の警告にもならないのです。人々は何百回も、問題なくその先へ進むように慣らされてきました。

Unit 42は結果を率直に述べています。「URLプレビューを確認するセキュリティ意識の高い人でさえ、短縮リンクを見せられたとき、最終的なリンク先を判断できません」。リダイレクト業界がクィッシングを発明したわけではありません。一般の人が持っていた唯一の手がかりを取り除いたのです。その仕組みはリダイレクト乗っ取りで説明しています。

3つの二次的な影響

• クローキング。 リダイレクトは訪問者ごとに異なるリンク先を表示できます。調査員には安全なコンテンツを、標的地域のスマートフォンには本物のペイロードを返すのです。静的コードではこれはできません。ペイロードは固定され、全員に同じだからです。
• 遅れて有効化。 コードを数週間は無害な場所に向け、審査を通過させた後で切り替えられます。これは業界が機能として売り込んでいる、編集可能性と同じものです。
• 評判の洗浄。 認知された短縮サービスのドメインは、転送先に正当性があるように見せます。

スキャンするとき、自分を守るにはどうすればよいですか？

1. プレビューでドメインを読む。 スキャナーに表示機能がなければ、表示できるものを使ってください。NCSCは、ストアのアプリではなく、スマートフォンに組み込まれたスキャナーを推奨しています。
2. 身に覚えのない郵便やメールのコードは危険なものとして扱う。正規の組織が、緊急のアカウント問題を解決するために印刷された四角形をスキャンさせることはほとんどありません。上記のFBIの勧告はいずれも、まさにこの手口を扱っています。
3. ステッカーを実際に確認する。端をめくってみてください。ステッカーの上に別のステッカーが貼られているのは、最も一般的なクィッシングの仕掛けで、指先で検出できます。
4. スキャンして開いたページでは、決して支払い情報を入力しない。アドレスを入力するかアプリを開き、自分でサービスに移動してください。
5. 不安なときはスキャンせずに解読する。コードを撮影し、何も開かずに当サイトのデコーダーページでペイロードを確認してください。

悪質なコードをすでにスキャンしていたら？

スキャンしただけでスマートフォンが侵害されることはほとんどありません。重要なのはその後に何が起きたかです。そこから対処を判断してください。

1. ページを見ただけで閉じた場合、問題ない可能性が非常に高いです。報告が必要になったときのためにドメインを記録し、先へ進んでください。
2. パスワードを入力した場合、すぐに本物のサイトで変更し、使い回している場所でも変更してください。その際、多要素認証も有効にしましょう。
3. カード情報を入力した場合、ほかの確認をする前に、今すぐ銀行へ電話するか、銀行アプリでカードを凍結してください。異議を申し立てる購入ではなく、詐欺ページとして報告します。
4. 何かをインストールした場合、アンインストールしてから、アプリの権限と、要求された可能性のある端末管理者権限やユーザー補助権限を確認してください。多くのモバイル事例では、それらの権限がペイロードです。
5. コードからWi-Fiネットワークに接続した場合、そのネットワークを削除し、接続中に送信したものはすべて見られた可能性があると考えてください。
6. 報告する。米国では、FBIのIC3が報告を受け付け、FTCは消費者からの苦情を受け付けています。英国ではAction Fraudです。コードが公共設備のステッカーだった場合は、所有者にも伝えてください。駐車当局は、存在を知らない上貼りを撤去できません。

してはいけないことが1つあります。スキャンした自分が悪いと思わないでください。FBIとFTCが一般向けの警告を出しているのは、まさにこれらのコードが設計上、正規のコードと見分けられないからです。

企業として顧客を守るにはどうすればよいですか？

QRコードを印刷するなら、顧客が自分を守れるかどうかは、あなたの選択で決まります。

1. 自社ドメインを埋め込んだ静的コードを使う。プレビューに自社名が表示されるため、スキャン時に利用できる唯一の確認手段になります。これは、あなたができる最も効果の大きい変更です。
2. コードの横にURLを読みやすい文字で印刷する。スキャンせずにアクセスする道筋と、比較する対象を利用者に提供できます。
3. 物理的なコードを定期的に点検する。誰も確認しない間だけ、上貼りステッカーは機能します。
4. 自社名を含まないドメインを経由して顧客を誘導しない。不透明なリンク先でも問題ないと教えることになり、自社の正規コードがどのようなものか説明できなくなります。

ここには有益な一致があります。サブスクリプションによる人質化から自分を守る選択は、フィッシングから顧客を守る選択と同じです。

プレビューに自社ドメインが表示される静的コードを作成しましょう：URL QRコード。関連資料：QRコード詐欺の真実。