偽QRコードステッカーとは、正規のコードの上に他人が貼り重ねたもの、あるいは正規のコードが存在するはずのない場所に貼られたもので、読み取ると攻撃者が管理するサイトへ誘導されます。ほとんどの偽コードは、貼られた表面の改ざん痕を確認すること、その場所にあるはずのコードだけを読み取ること、そしてタップする前にスマホが表示するウェブアドレスを読むこと、この三つで見抜けます。すでに読み取って情報を入力してしまった場合は、該当アカウントのパスワードを変更し、支払いやカード情報を扱った場合は銀行に連絡し、その後のフィッシング攻撃に警戒してください。
なぜ偽QRステッカーは通用するのか
QRコードは沈黙しています。精巧に印刷されたステッカーは、店が正規に使うコードと見分けがつきません。そして多くの人は、長年のメニューや駐車アプリ、決済ポスターの経験から、考える前に読み取る習慣を身につけてしまいました。スマホが作業を代行するぶん、自分の目が仕事をしなくなるのです。
攻撃そのものは単純です。偽サイトへのリンクを持つコードを印刷し、駐車メーターや飲食店のテーブルの前を通りかかって、本物の上に貼る。読み取ると、公式決済サイトやアプリに似せたページが表示され、カード情報やログインを求められます。自分で読み取ったという行為があるため、見知らぬSMSよりもむしろ信頼できると感じてしまうのです。
セキュリティ業界では「クイッシング（quishing）」と呼ばれますが、名前より仕組みが重要です。QRコードは単なるリンクであり、リンクはどこでも指せる。防御の基本は、予期しないメールのリンクに接するのと同じ態度で、すべての読み取りに向き合うことです。
偽コードが出現しやすい場所
支払い、ログイン、ダウンロードを促すコードがある場所ならどこでも候補になります。特に多いのは次の場所です。
- 駐車メーターとコード決済の看板。偽コードから決済ページに誘導され、カード情報を搾取される被害が起こりやすい。
- 公共の充電ステーション、シェアサイクルのポート、電気自動車の充電器に貼られたステッカー。
- イベント、チャリティ、配達のポスターやチラシ。特に内金や「配送料」を求めるもの。
- 飲食店のテーブルにあるメニュー・決済用コード。
- 宅配便の伝票。「荷物を追跡」する偽コードから、再配達料金や個人情報を求めるフィッシングページに誘導される。
- ATM周辺、券売機、シールが密着する平滑な面を持つ公共端末全般。
共通点は、お金か認証情報です。Wi-Fiのログインページに誘導するコードより、支払いフォームに誘導するコードの方が狙われます。疑いの目は「支払え」「ログインしろ」というコードに集中させてください。
改ざんの物理的な兆候
読み取る前に、コードそのものを見ることに三秒使ってください。確認すべきは、その表面に本来属していない証拠です。
- 端と角。 印刷コードの上に貼られたステッカーは、端が浮き上がっていたり、角がわずかにめくれていたり、押さえた輪郭が薄く残っていたりします。表面が許せば、爪で端をなぞってみてください。
- 印刷品質の不一致。 駐車メーターや決済端末の正規コードは、設備の一部として印刷・刻印されているのが普通です。家庭用プリンターの出力は、色が微妙に違ったり、光沢が強かったり、セル（白黒の点）の周囲にドットの荒さが見えたりします。
- 位置のズレ。 コードが傾いていたり、中心から外れていたり、本来並ぶべき文字と重なっていたりする場合は疑ってください。
- 重ね貼り。 二つのコードが接近している、あるいは元のデザインの一部である枠やロゴをステッカーが覆っている場合は、隠蔽の強い兆候です。
- 劣化の不一致。 風化して色あせた表面に、真新しいコードが貼られていたら、表面と同じ期間そこにあったわけではありません。
- 糊の残り。 コードの周囲に滲み、気泡、古いシールの跡があれば、その場所は以前にも改ざんされた可能性があります。
どの確認も単独では確実ではありません。丁寧な攻撃者なら、まっすぐ整ったきれいなステッカーを印刷できます。それでも、改ざんの多くは手早く安上がりに行われるため、大抵は痕が残るのです。
開く前にリンクを確認する
QRセキュリティで最も有用な習慣はこれです。スマホは、確定する前にコードの行き先を表示してくれる。使わない手はありません。
最近のスマホの多くでは、標準カメラアプリでQRコードを読み取ると、ウェブアドレスを示す通知やバナーが出ます。すぐタップせず、まず読んでください。
アドレスで見るべき点：
- ドメイン。 最初のスラッシュの直前までの部分で、これだけが本当に重要です。
https://pay.parking-example.com/checkoutなら、ドメインはparking-example.comです。最初のドットの前（pay.）も最初のスラッシュ以降（/checkout）も、誰でも自由に選べる飾りにすぎません。 - 綴りの偽装。 攻撃者はわずかな違いに頼ります。
paYment-site.comのような大文字小文字の差、余計な文字、入れ替わった文字、本来ないはずのハイフン。金銭が絡むなら、ドメインを一文字ずつ読んでください。 - 見慣れない短縮URL。 短縮サービスのアドレス（非常に短いドメインにランダムな文字列が続く形）は、行き先を完全に隠します。展開しない限り行き先がわからないため、物理的なステッカー由来の短縮リンクは特に疑ってください。プレビューページを表示する短縮サービスもあります。表示されないサービスなら、金銭やログインが絡む場合はリンクを辿らないでください。
- 鍵マークは保証ではない。 鍵アイコンや「https」は接続が暗号化されていることを示すだけで、サイトが誠実であることを示しません。フィッシングサイトもhttpsを使います。鍵マークを正当性の証拠とみなさないでください。
- 即座の圧力。 開いたページが「今すぐログインせよ」「今すぐ支払え」「今すぐカード情報を入れろ」と要求するなら、その切迫感自体が警告です。正規の駐車決済ページは通常、支払い内容を確認してから進めます。
迷ったら、コードを使わず、組織の既知のアドレスを自分でブラウザに入力してください。三十秒のタイピングが、カードの乗っ取りを防ぎます。
読み取り後の危険信号
攻撃の中には、コードを開いて初めて見えるものがあります。次のいずれかが起きたら、中断して戻ってください。
- 選んでいないものの支払いとしてカード情報を求められる、または支払い内容を提示する前に支払いを求められる。
- メニュー、時刻表、料金表を期待していたのにログインページが出る。
- 公式アプリストア以外からアプリや構成プロファイルのインストールを求められる。
- その時点で正規の手続きに必要のない情報を求められる。カードの暗証番号（PIN）の全桁、ネットバンキングのパスワード、バンキングアプリのワンタイムコードなど。
- アドレスが短時間に何度も変わり、予想外のページにリダイレクトを繰り返す。
- 有名なサービスに見えるのに、アドレスバーのドメインがその本物の名前と一致しない。
戻ることのコストはゼロです。偽ページに情報を入力するコストは計り知れません。
すでに読み取って入力してしまった場合
後から偽ページを使ったと気づいたら、恥ずかしさより速度が重要です。この順で進めてください。
- カード情報を入力した場合は、直ちに銀行に連絡する。 カードの利用停止または再発行を依頼し、取引を不正として報告してください。多くの銀行は二十四時間対応の不正専用ダイヤルを設けています。番号はカード裏面か公式サイトにあり、QRコードが導いたページにはありません。
- パスワードを入力した場合は、今すぐ変更する。 該当サービスと、同じパスワードを使い回している全サービスで変更してください。パスワード管理ツールを使っていないなら、使い回しの解消を始める絶好の機会です。
- 支払いやログインを承認した場合は、取り消す。 アカウントのセキュリティ設定やセッション管理ページで不明なデバイスを確認し、サインアウトさせてください。
- アプリやプロファイルをインストールした場合は、削除する。 その後、スマホに内蔵のセキュリティスキャンがあれば実行してください。iPhoneでは設定画面で見覚えのない構成プロファイルを確認し、Androidでは身に覚えのないアプリをすべてアンインストールします。
- 追加攻撃に備える。 電話番号やメールアドレスを奪った攻撃者は、説得力のあるSMSや電話で追撃してくることがよくあります。事件に関する連絡はすべて疑い、組織には公式窓口から接触してください。
- 通報する。 コードを覆われた事業者に伝え、地域の警察や国のサイバー犯罪相談窓口に報告してください。他の利用者への警告につながり、場合によってはステッカーの撤去につながります。
何が起きたかの記録を残してください。誘導されたアドレス、支払いの参照番号などです。銀行や警察とのやり取りで必要になることがあります。
事業者が自店のコードを守る方法
QRコードを使う事業者は、顧客と自店の評判の両方を守る立場にあります。効果が大きそうな順に、実践的な対策を挙げます。
- コードの横に遷移先アドレスを印刷する。 コードの下に短く読めるウェブアドレスを添えると、顧客は行き先を確認でき、ステッカーを疑うときの代替手段も得られます。現状最も安価で効果の高い保護です。
- 改ざん防止ラベルを使う。 剥がすと破れたり、模様が残ったり、「VOID」の表示が出たりするセキュリティラベルなら、上貼りが一目でわかり、改ざんが目に見えるリスクになります。
- 上貼りできない取り付け方にする。 刻印プレート、くぼみパネル、設備への直印刷は、平らな面の紙シールよりはるかに交換が困難です。
- コードを定期的に点検する。 既存の業務ルーチンに目視確認を加えてください。飲食店なら開店時にテーブルコードを確認、駐車運営なら巡回にメーターを含める、小売店なら店頭ポスターを確認する。見るべきは、自社コードの上のステッカー、糊の残り、導入時と違う見た目のコードです。
- 自ら管理する短いドメインを使う。 短く覚えやすいアドレスは、パラメータだらけの長いアドレスより、顧客が一目で確認しやすくなります。
- 公共の場では盲目的な短縮リンクを避ける。 短縮を使うなら、行き先を確認できるプレビューや中間ページを表示するサービスを選んでください。
- 正規コードの見た目を顧客に伝える。 「当店の決済ページは○○です。PINの入力をお願いすることはありません」という小さな案内一枚で、確認することが普通だという期待を形成できます。
- 改ざん発見時は迅速に対応する。 偽コードを撤去し、表面を清掃し、改ざん防止版に交換し、普段の接点で顧客に注意喚起してください。
習慣として身につける
QRセキュリティに偏執病は不要です。必要なのは、一貫して適用する一つの習慣、すなわち「行動の前に確認する」ことです。物理的なコードに、事業者が設置したものではない痕跡がないか見る。タップ前にスマホの表示するアドレスを読む。圧力下でログイン、支払い、アプリ導入を求めるページは拒む。金銭が絡むなら既知のアドレスを自分で打つ。事業者なら、コードを物理的に偽造しにくくし、顧客に確認手段を与える。
技術が問題ではありません。QRコードはリンクであり、リンクは行き先を読めば安全です。リスクは自動操縦での読み取りから生じます。自動操縦をやめれば、こうした攻撃の大半は最初の一歩で失敗します。
まとめ
偽QRステッカーが成功するのは、ありふれた見た目をしているから、そして読み取りが安全で馴染みのある行為に感じられるからです。防御は数秒でできます。端の浮きや印刷の不一致を点検し、開く前にアドレスを読み、確認していないコードから辿ったページにはカード情報やパスワードを絶対に入力しない。すでに被害に遭ったなら、直ちに銀行へ連絡し、パスワードを変更してください。事業者は公共のコードすべてに遷移先アドレスを併記し、改ざん防止ラベルを使い、定期的に点検すべきです。要点は一つ。実際の行き先を読むまで、すべてのQRコードを他人からのリンクとして扱うことです。