クッシング（QRフィッシング）とは、QRコードが本物の代わりに偽の支払いページ、ログインフォーム、ダウンロードへ誘導する詐欺です。QRコードはスキャンするまでリンクを隠してしまうため、防御はシンプルです：リンクをプレビューし、ドメインを確認し、見知らぬスキャンの後にパスワードやカード情報を入力しないこと。
クッシングとは何か、なぜ効くのか
QRコードはショートカットにすぎません：テキスト（通常はウェブアドレス）を符号化した点のパターンです。スマホがそのテキストを解読して開くか尋ねます。問題は、点の並びを目で読めないため、コードがどこへ行くのか画面に表示されるまで分からないことです。
詐欺師は2つの点を突きます。第一に習慣：メニュー、駐車標識、ポスターのスキャンは日常的な操作に感じられ、日常とは考えるのをやめるということです。第二に借りてきた信頼：壁や手紙や請求書に印刷されたコードは公式に見えますが、無料のジェネレーターがあれば誰でも数秒で作れます。クッシングという言葉は「QR」と「フィッシング」を組み合わせたもので、偽メールと同じ手口を四角いシールで届けるものです。
最も多いクッシング詐欺の手口
本物のコードの上に貼る偽シール。 典型的なのはスマホ決済の駐車場です。詐欺師は自分のQRコードをシールに印刷し、駐車メーターや標識の本物の上に貼ります。ドライバーがスキャンすると精巧な決済サイトのコピーに着地し、カード情報を入力すると、お金もカードデータも詐欺師のものに。同じ手口はEV充電器、レンタサイクルやキックボード、レストランのテーブル、寄付ポスター、募金箱にも現れます。
メールや手紙の中のコード。 メール内のQRコードは通常画像なので、テキストベースのスパムフィルターは読むものが少なくなります。紙の手紙も同じです：「アカウントを閉鎖します」「荷物をお届けできませんでした」「返金があります — スキャンして受け取ってください」。手紙という形式が権威を与え、QRコードがリンクを隠します。
支払いの催促。 多くのクッシングメッセージは通常のフィッシングと同じ急所を突きます：今すぐ払わなければならない罰金、配送拠点で保留中の荷物、停止されたアカウント。焦らせるのは確認させないためです。
スキャンはページを開く以上のこともできます。内容によっては、受取人を事前入力した状態で決済アプリを開いたり、連絡先やカレンダー項目を追加したり、ダウンロードを開始したり、スマホをWi-Fiネットワークに接続したりします。そのどれもが悪用され得ます。
開く前にリンクをプレビューする
最近のスマホのほとんどは、内蔵カメラでスキャンするとリンク先をバナーまたは通知で表示します — タップするまで何も開きません。このプレビューこそがすべてです：急いでいるときでも毎回読みましょう。
多くのスマホではプレビューを長押しすると完全なウェブアドレスが展開されます。短縮されて見えるリンクや奇妙なリンクでは必ずやりましょう。スキャナーアプリが勝手にブラウザを開いたり、確認なしにダウンロードを始めたりするなら、乗り換えましょう。常にリンクを先に表示するスキャナー — QRCodeMax.Vipの無料スキャナーはこの方式です — は判断をあなたの手に戻します。
もう一つの習慣：お金やログインが絡むものはスキャンを完全にやめて、公式アプリを開くか、知っているアドレスを直接入力しましょう。QRコードは便利なだけで、必須ではありません。
数秒でドメインを確認する方法
ウェブアドレスで重要な部分は1つ：ドメイン、つまり最初のスラッシュの直前の言葉です。pay.meters.example.com ではドメインは example.com。example.com.meters-pay.info ではドメインは meters-pay.info — 先頭の「example.com」は飾りです。詐欺師は、人が左から右に読んで見慣れた言葉で止まることに賭けています。
次に類似ドメインを探します：「o」の代わりの「0」、「m」の代わりの「rn」、余分なハイフン、無関係な末尾に付けられた見慣れたブランド名。正規の組織は支払い用ドメインを少数に絞っています。見たことのないドメインを指す駐車シールは、やめる十分な理由です。
ドメインに見覚えがなければ、支払わず、ログインせず、ダウンロードしません。ページを閉じてください。
焦らせるものを疑う — 見知らぬスキャンの後に認証情報を入力しない
焦らせるのは最も大きな危険信号です。本物の罰金、本物の配達、本物のアカウント問題は30分で期限切れにならず、正規の組織が急いでパスワードを求めることはありません。すぐにスキャンして支払わなければ罰金、レッカー移動、荷物の紛失、アカウント閉鎖を脅かすメッセージは、そうでないと証明されるまで敵対的なものとして扱うべきです。
ほぼすべてのクッシングの被害から守るルール：見知らぬスキャンの後は、パスワード、カード番号、ワンタイムコードを絶対に入力しないこと。ページを見るのは構いませんが、入力はしないこと。駐車料金や請求を本当に払う必要があるなら、シールが示したものではなく、普段使っているアプリやウェブサイトで支払いましょう。
スキャンで開いた支払い画面を確定する前に、受取人名と金額を確認してください。QR決済は事前入力された状態で表示されることがあり、その事前入力こそが詐欺の手口です。また、QRコードに言われたからといって、アプリのインストールや権限の付与を絶対にしないでください。
改ざんされたステッカーと不審な設置場所の見分け方
物理的な詐欺には物理的な手がかりがあります。屋外でコードをスキャンする前に、2秒ほどよく見てください:
- 端がめくれている、気泡がある、印刷ラベルの上にステッカーが重なっている
- 周囲の看板より鮮明すぎる、にじんでいる、色が違う印刷
- 置かれる理由のない場所にあるコード(街灯の支払い用コードなど)
- 元の文字や別のコードの一部を覆っているステッカー
コードを、その横に平文で印刷されたウェブアドレスと見比べてください。一致しない場合は明らかな危険信号です。少しでも違和感があればスキャンせず、別の方法で支払い、機械や看板に印刷された電話番号で運営者に改ざんを報告してください。ステッカー自体に記載された番号は絶対に使わないでください。
リンクを先に表示するスキャナーを使う
スマートフォンの内蔵カメラが通常は最適です。リンクをプレビューし、勝手に何かをインストールすることはありません。どのスキャナーを使う場合でも、重要な点は3つです。何かを開く前にリンク先を表示すること、ファイルを自動ダウンロードしないこと、そして出所不明のアプリストアの登録ではなく信頼できる提供元から入手したものであること。
スマートフォンのOSとブラウザも最新に保ってください。最新のブラウザは多くの既知のフィッシングページを検出して警告します。ただしその安全網は役立っても保証ではありません。新しいドメインの偽ページは本物と見分けがつかないことがあり、だからこそツールよりもドメインを読むことのほうが重要です。
ビジネスでQRコードを使っている場合
印刷したコードは一種の約束であり、張り替えられたステッカーはそれをお客様への攻撃に変えてしまいます。次の習慣でその約束を守れます:
- 物理コードごとに担当者を決め、駐車、決済、無人機など高リスクのコードを定期的に点検する。
- 自分で管理する短く一貫したドメイン経由のマネージド型または「ダイナミック」QRコードを使う。リンク先が侵害されても数分で変更・無効化でき、ポスターをすべて印刷し直す必要がない。
- すべてのコードの横にリンク先ドメインを平文で印刷する。お客様はコードの行き先を確認でき、その文字を覆うステッカーは即座に不審と分かる。
- リンク先を隠す無関係な短縮リンクは避け、短縮するなら自分のドメインを使う。
- コードはスタッフの目が届く場所に設置するか、改ざん防止ケースで保護し、屋外の無人箇所にあるコードは常時リスクとみなす。
- 支払いを求める方法と求めない方法をお客様に伝え、スタッフにはメール内のQRコードをリンクと同じ警戒心で扱うよう訓練する。
最後に、公開中のすべてのコードが正しいページに接続されるかを定期的に確認してください。張り替えを知る最悪のタイミングは、お客様からの指摘です。
重要なポイント
QRコードはただの変装したリンクです。見知らぬ人からのリンクと同じ扱いをしてください。プレビューし、ドメインを読み、急かされても応じず、予期しないスキャンの後にはパスワードやカード情報を絶対に入力しない。タップ前の2秒の立ち止まりが、ほぼすべてのクイッシング詐欺を防げます。