QRコードを悪用した詐欺「クイッシング」の手口と対策

クイッシングとは何か

クイッシング(Quishing)は「QR」と「フィッシング」を組み合わせた造語で、QRコードに隠された悪質なURLへ誘導する詐欺手法です。攻撃者がメールなどでQRコードを送信し、スキャンするよう促します。

手口の概要

ESET Latinoaméricaの調査によれば、2026年上半期にフィッシングメールの約11%がQRコードを含んでいました。スキャン後、被害者は以下のような偽のページに誘導される可能性があります。

• 偽のログイン画面
• 不正な支払い画面
• 悪質なアプリケーションのダウンロード
• 正規アプリ内の不正操作

ESETの報告では、アメリカ(19%)、スペイン(17%)、メキシコ(6%)での検出が特に多くなっています。

従来のフィッシングとの違い

QRコードの最大の危険性は、スキャンするまでリンク先が見えないことです。テキストのURLなら内容を確認して疑問を持つことができますが、QRコードは白と黒の模様の中に目に見えない形で宛先が隠されています。

さらに、ESET Latinoaméricaの研究員Jonathan Ramosが指摘するように、攻撃者はメールなどの「比較的保護されている環境」から、「セキュリティ対策が不十分なことが多いスマートフォン」へ被害者を誘導します。多くのスマートフォンはパソコンほどセキュリティ対策がされていないため、攻撃が成功しやすくなります。

クイッシングから身を守る方法

慎重なスキャンと確認 QRコード読み取りアプリが表示するURLを必ず確認し、予想されるサイトのアドレスと一致しているか確認してください。疑わしい場合は開かないでください。

公式チャネルの利用 請求書、配送情報、サービス申請などの確認は、メールのQRコードからではなく、公式ウェブサイトに直接アクセスするか公式アプリを使用してください。

操作前の情報確認 特に支払いや認証情報(パスワード、クレジットカード番号など)の入力が必要な場合は、入力前に情報が正確であることを何度も確認してください。

不明なQRコードからのアプリ導入の回避 アプリケーションは必ず公式のアプリストア(App StoreやGoogle Play)からダウンロードしてください。QRコードから直接インストールしないでください。

不確かな場合は公式に確認 コードの出所や内容に疑問がある場合は、公式の電話番号やウェブサイトに直接問い合わせて確認してください。

デバイスの最新化と保護 スマートフォンを常に最新バージョンに更新し、信頼できるセキュリティソフトウェアをインストールしてください。

既に悪質なコードをスキャンしてしまった場合

もしスキャン後に疑わしい内容のページが開いた場合は、情報を入力せずに直ちにページを閉じてください。認証情報やクレジットカード情報が既に漏らされた可能性がある場合は、関連サービスのパスワード変更とカード会社への連絡を検討してください。