QRコードは、読むことのできないリンクです。tuj-events.example.com という文字列なら、ひと目見て何かおかしいと気づけるかもしれません。しかし、黒い四角が並んだ模様は、同じようには確認できません。この死角こそが、「クイッシング（quishing）」、つまりQRフィッシングが2026年に最も急速に増えている攻撃手法のひとつになった理由です。
この問題に関する数字は、かなり大きなものです。Microsoftの脅威インテリジェンスチームは、2026年1月に760万件、3月には1,870万件のQRフィッシングメールを確認しました。わずか1四半期で146%の増加で、同社のメールデータではQRコードが最も急速に増えている攻撃経路となりました [1]。また、ESETは別に、2026年上半期に検出したフィッシングメール全体の約11%に悪意のあるQRコードが含まれていたことを確認しています [2]。
なぜ詐欺師はこれほどQRコードを好むのでしょうか。メールフィルターは、テキストとして書かれたリンクを検査するように作られています。QRコードは画像で、たいていは添付ファイルの中に入っています。2026年3月の時点で、Microsoftが追跡したQRフィッシングの70%はPDFで届けられていました [1]。2つ目の利点は、端末の切り替えです。メールはブラウザの保護機能があるかもしれないノートパソコンで読み、スキャンはスマートフォンで行います。表示されるリンクは小さくて読みにくいことが多く、人は反射的に、また手軽さから、よく読まずに表示されたリンクをクリックしてしまいがちです。そのため、悪意のあるリンクをクリックしてしまう可能性が高まります。
QR詐欺がよく行われる一般的な方法は3つあり、それぞれを個別に理解し、どう違うのかを知っておくことが大切です。悪意のある攻撃者が使う手口を一つひとつ理解することで、急増しているこの詐欺の被害に遭うのを防ぐことができます。
1つ目は、信頼できるコードの上にステッカーを貼る方法です。たとえば、悪意のある攻撃者が自分のQRコードを印刷し、レンタサイクルやパーキングメーター、レストランのテーブルにある正規のコードの上に注意深く貼り付けることがあります。2024年には、カリフォルニア州レドンドビーチの警察が、市の駐車料金支払機で少なくとも150枚の偽のコードを発見しました。いずれも支払いページの偽物につながるものでした [3]。米連邦取引委員会（FTC）も同じ手口について警告しています [4]。この手口はコードでお金をやり取りする場所ならどこでも通用し、PayPayをはじめとするQR決済アプリが日常生活の一部になっている日本では、多くの場所が対象になり得ます。
2つ目の手口は、メールの受信箱に潜んでいます。たとえば、荷物を配達できなかった、あるいは「不審なアクティビティ」があったためパスワードをリセットする必要がある、という内容のメールが届き、リンクの代わりにQRコードが添付されていたとします。FTCは、まさにこうした口実を挙げています [4]。ここでの対策は、正規のサービスがログインのためにメールのQRコードをスキャンするよう求めることは、ほとんどないと理解しておくことです。
3つ目の手口は、何らかの特典をうたうチラシに見られます。無料のコンサートチケット、相場をはるかに上回る給料のアルバイト、さらには留学生向けの助成金まで、内容はさまざまです。こうしたチラシは、スキャンさせることだけを目的にしていることが多く、悪意のある攻撃者は学生用のログイン情報、LINEアカウントの認証情報、クレジットカード番号などの機密情報を手に入れようとします。うますぎる話だと感じたら、たいていは実際にその通りなのです。
このように、攻撃者はQRコード詐欺をさまざまな方法で使っており、何も知らない人をだます工夫は絶えず進化し続けているようです。次々と変わるこうした手口の攻撃に、決して引っかからないようにするにはどうすればよいのでしょうか。
QRコードをスキャンしたら、まずは落ち着いて、スキャン後に表示されるリンクのプレビューを注意深く読みましょう。QRコード自体には目に見える危険信号がなくても、読めるリンクになれば、信頼できない接続先である兆候が見えることがあります。2つ目に、QRコードからログインを求められても、決してログインしないことをおすすめします。代わりに、公式のポータルやウェブサイトを自分で開くほうが安全です。目的のアドレスに自分でアクセスすれば、QRコードの潜在的なリスクを完全に避けられます。3つ目に、QRコードが改ざんされているかもしれないと思ったら、実物のコードに触れて縁が浮き上がっていないかを確かめ、ステッカーが貼られていないかを確認することをおすすめします。4つ目は見落とされがちなポイントですが、QRコードの読み取りには端末のカメラを使うことです。FTCは、別のQRコード読み取りアプリを使わないよう呼びかけています。最後に、メールで送られてきたQRコードには十分に注意してください。先ほど述べたように、確認できるリンクを添えずにQRコードだけが送られてくることは、めったにありません。
不審なコードを見つけたらどうすればよいでしょうか。スキャンはせずに写真を撮り、見つけた場所を記録したうえで、建物の管理者や店主に伝えて撤去してもらいましょう。フィッシングメールは、フィッシング対策協議会（info@antiphishing.jp）に報告できます。すでに不審なコードにカード情報や重要なログイン情報、そのほか悪用されるおそれのある情報を入力してしまった場合は、すぐにカード会社や、その認証情報が属する組織に電話してください。被害については、消費者ホットライン（188）で相談できます。最後に、大学生のみなさんがキャンパス内でQRコード詐欺の可能性があるものを見かけたら、できるだけ早く大学の職員に知らせ、見つけた詐欺の情報をTUJ Cyber Shield Clubにも送ってください。私たちがこうした問題を報じ、キャンパスにいる学生と職員の安全を守り続けるために役立てます。
出典
- Microsoft Threat Intelligence. "Email threat landscape: Q1 2026 trends and insights." April 30, 2026. microsoft.com
- ESET / WeLiveSecurity. "How QR-code phishing can slip past corporate security measures." 2026. welivesecurity.com
- Gizmodo Japan. "そのリンク先は正しい? 「QRコード詐欺」にご注意を." September 2024. gizmodo.jp
- CNBC. "QR codes may be a gateway to identity theft, FTC warns." December 7, 2023. cnbc.com
