QR コード詐欺の手口と見破り方 - 知っておくだけで身を守れる雑学
駐車場の料金メーターに偽 QR コードが貼られた事件
2022 年、アメリカのテキサス州で駐車場の料金メーターに偽の QR コードシールが貼られる事件が発生しました。本物の QR コードの上に、詐欺師が作った偽の QR コードシールを重ね貼りしたのです。スキャンすると本物そっくりの支払いページが表示され、クレジットカード情報を入力すると、そのまま詐欺師の手に渡る仕組みでした。
この手口は「キッシング (Quishing = QR + Phishing)」と呼ばれ、世界中で被害が報告されています。QR コードは見た目だけでは本物と偽物の区別がつかないため、フィッシング詐欺の新しい手段として悪用されているのです。
テキサス州の事件では、警察が注意喚起を行い、「駐車料金の支払いは公式アプリか現金で」と呼びかけました。QR コードの便利さが、そのまま詐欺の入口になり得るという教訓です。
飲食店のメニュー QR コードが差し替えられるケース
コロナ禍以降、飲食店のテーブルに QR コードを置いてメニューを表示するスタイルが一般的になりました。この QR コードを、詐欺師が自分の作った偽サイトへのリンクに差し替えるケースが報告されています。
手口はシンプルです。飲食店のテーブルに置かれた QR コードの上に、偽の QR コードシールを貼るだけ。スキャンすると「メニューを見るにはアプリのダウンロードが必要です」と表示され、マルウェア入りのアプリをインストールさせる。あるいは「Wi-Fi に接続してください」と表示され、偽の Wi-Fi 接続ページでパスワードを入力させる。
飲食店側も対策を始めています。QR コードをテーブルに「貼る」のではなく、テーブルの素材に直接「彫る」「印刷する」ことで、上からシールを貼られるリスクを減らす方法です。また、QR コードの横に「公式 URL: example.com」と記載し、スキャン後の URL が一致するか確認できるようにしている店舗もあります。
メールや郵便物に印刷された QR コードの罠
最近増えているのが、紙の郵便物に QR コードを印刷して送りつける手口です。「お荷物の再配達はこちらの QR コードから」「税金の還付手続きはこちら」「電気料金の未払いがあります」。公的機関や大手企業を装った郵便物に QR コードが印刷されており、スキャンすると偽サイトに誘導されます。
この手口が巧妙なのは、メールのフィッシングと違って「紙の郵便物」という信頼感があることです。「紙で届いたのだから本物だろう」という心理を突いています。実際には、詐欺師が印刷して投函しただけの偽の郵便物です。
対策は簡単です。QR コードをスキャンする前に、その郵便物が本物かどうかを確認すること。差出人の電話番号に直接電話する、公式サイトに自分でアクセスして確認する。「QR コードをスキャンしない」という選択肢を持つことが、最も確実な防御策です。
店舗の決済用 QR コードがすり替えられる手口
店舗の決済用 QR コードを偽物にすり替え、支払い金額を詐欺師の口座に送金させる手口です。利用者は正規の支払いだと思って送金するため、被害に気づきにくいのが特徴。
対策として、支払い後に店舗側で入金を確認してもらうことが重要です。また、 QR コードが印刷されたプレートが不自然に新しい、テープで固定されているなどの違和感があれば、店員に確認しましょう。
スキャンする前に確認すべき 3 つのポイント
QR コード詐欺から身を守るために、スキャンする前に以下の 3 つを確認する習慣をつけましょう。
1. シールが重ね貼りされていないか: QR コードの端を爪で軽く引っかけてみてください。上からシールが貼られている場合、端がめくれます。特に、公共の場所 (駐車場、バス停、飲食店) の QR コードは要注意です。
2. スキャン後の URL を確認する: QR コードをスキャンしたら、すぐにリンクを開かず、表示された URL を確認してください。公式サイトのドメインと一致しているか? 見慣れない短縮 URL ではないか? 「.com」が「.corn」になっていないか? URL に違和感があれば、リンクを開かないでください。
3. 個人情報の入力を求められたら立ち止まる: QR コードのリンク先で、クレジットカード番号、パスワード、マイナンバーなどの個人情報の入力を求められたら、それは詐欺の可能性が高いです。正規のサービスが QR コード経由で機密情報の入力を求めることは、ほとんどありません。
万一スキャンしてしまったときの対応
怪しいコードを読み取ってしまっても、表示されたページで情報を入力しなければ、被害につながらないことがほとんどです。慌てて指示に従わず、まずはページを閉じましょう。もし ID やパスワード、カード情報を入力してしまった場合は、すぐにそのパスワードを変更し、カード会社や利用しているサービスに連絡します。身に覚えのない請求や通知が来ていないかも確認します。早く気づき、早く動くことが被害を最小限に抑えます。一人で抱え込まず、しかるべき窓口に相談することも大切な対応です。
QR コードは「便利」と「危険」の表裏一体
QR コードの最大の強みは「スキャンするだけでリンク先に飛べる手軽さ」ですが、これはそのまま最大の弱点でもあります。URL を手入力する場合は、文字列を目で確認しながら入力するため、怪しいサイトに気づきやすい。しかし QR コードは、スキャンした瞬間にリンク先が開くため、確認する間もなく偽サイトにアクセスしてしまう危険があります。
だからといって、QR コードを使わないのは現実的ではありません。大切なのは「QR コードは便利だが、リンク先は必ず確認する」という習慣を持つことです。これは、メールのリンクをクリックする前に送信元を確認するのと同じ、デジタルリテラシーの基本です。
セキュリティの知識を深めたい方には、フィッシング詐欺対策の本が参考になります。QR コードに限らず、日常に潜むデジタル詐欺の手口と対策が分かりやすく解説されています。