QRコードの仕組みと安全性|偽QRコード(クイッシング)から身を守る方法

結論: QRコードは、URLや文字などを、白黒のマス目で表した「情報の入れ物」です。読み取っただけで危険になるわけではなく、危ないのは、読み取った先のURLと、その後の操作です。偽のQRコードに誘導する手口「クイッシング」に備えて、読み取った後のURLの確認を、習慣にしましょう。

QRコードとは

QRコードは、縦横に並んだ白黒のマス目で、情報を表す二次元コードです。1994年に、日本の企業が開発しました(「QRコード」は、開発元の登録商標です)。バーコードより、多くの情報を記録でき、どの方向からでも、素早く読み取れる点が特徴です。

なぜ読み取れるのか

3つの角の四角

QRコードの、3つの角にある、大きな四角のマークは、位置と向きを知らせる目印です。この目印があるため、斜めから撮影しても、上下が逆でも、読み取ることができます。

誤り訂正:汚れや欠けに強い

QRコードには、誤り訂正の仕組みがあります。データに加えて、修復用の情報も記録しておくことで、一部が汚れたり、欠けたりしても、元の内容を復元できます。誤り訂正には、複数の段階があり、強くするほど、欠けに強くなりますが、その分、記録できる情報量は減ります。

記録できる情報

主に次のような情報を、記録できます。

• Webサイトのアドレス(URL)
• 文字(メッセージ)
• Wi-Fiの接続情報
• 連絡先
• 決済の情報(QRコード決済など)

QRコードの危険性:クイッシング

QRコード自体は、単なる情報の入れ物ですが、読み取った先が、安全とは限りません。QRコードを悪用して、偽サイトに誘導する手口は、クイッシング(QRコードを使ったフィッシング)と呼ばれます。

代表的な手口

• 貼り替え:駐車場の精算機、ポスター、飲食店のテーブルなどにある、本物のQRコードの上に、偽のQRコードのシールを貼る
• メールやSMSに添付:「ご確認ください」などの文面と一緒に、QRコードを送り、偽サイトに誘導する
• チラシ・郵便物:本物そっくりの案内に、偽のQRコードを載せる

偽サイトで起きること

• ID・パスワード・カード番号を、盗まれる
• 不審なアプリを、インストールさせられる
• 不正な支払いや、サブスクの契約に、誘導される

フィッシングの手口の全体像は、フィッシング詐欺とはで解説しています。

身を守る5つのポイント

1. 読み取った後の、URLを確認する:ブラウザで開く前に、表示されたアドレスが、公式のドメインか確認する(綴りが少し違う偽ドメインに、注意)
2. 貼られているコードに、違和感がないか確認する:上から、シールが貼られていないか、ずれていないか
3. メール・SMSのQRコードは、読み取らない:公式のアプリや、ブックマークから、アクセスする
4. IDやパスワード、カード番号の入力を求められたら、立ち止まる:本当に、そのサービスのログイン画面か確認する
5. アプリのインストールを、QRコードから行わない:公式のストアから、探して入れる

アドレスの「https」と「http」の違いは、HTTPとHTTPSの違いで解説しています。ただし、HTTPSでも、偽サイトの可能性があるため、鍵マークだけで安心しないでください。

自分で、QRコードを作る時の注意

名刺、チラシ、イベントの案内などに、QRコードを使う場合は、次の点に気をつけましょう。

• 印刷前に、必ず、実際に読み取って、正しいURLに飛ぶか確認する
• 白い余白(クワイエットゾーン)を、十分に確保する
• 色を薄くしすぎない、背景とのコントラストを保つ
• 貼り替えを防ぐため、人目につく場所に置き、定期的に確認する

振り返ると

QRコードは、便利な情報の入れ物ですが、読み取った先の安全は、利用者が確認する必要があります。読み取った後のURLを確認し、メールやSMSのQRコードには、特に慎重になりましょう。

関連記事:二段階認証とパスキーの違い