飲食店のメニュー、イベントの受付、支払い、宅配便のお知らせ。QRコードは、長いURLを入力しなくても目的のページを開ける、とても便利な入口です。

ただ、カメラに映した黒い四角だけを見ても、その先が本物のサイトかどうかは分かりません。ここが普通のリンクより少し厄介です。読み取れた瞬間に安心して、そのままログイン画面まで進んでしまいやすいからです。

IPA（情報処理推進機構）は、QRコードを悪用して偽サイトへ誘導するフィッシングを「クイッシング（Quishing）」とも呼ぶと説明しています。実在するサービスを装ったメールにQRコードを載せ、ID・パスワードやクレジットカード情報を入力させる手口が確認されています。

怖がってQRコードを全部避ける必要はありません。読み取る前後に5つだけ確認すると、便利さを残したまま危険を減らせます。この記事では、メール、紙の案内、店頭掲示で迷ったときの見方と、うっかり開いた後の対応まで整理します。

QRコードは「安全の印」ではなく、行き先を隠した入口 🔍

QRコードには、WebサイトのURLだけでなく、文字列などの情報を入れられます。便利なのは、長い文字を人が打たなくてよいこと。反対に困るのは、見ただけでは行き先の文字列を読めないことです。

私はここが、初心者にとって一番の落とし穴だと思います。青いリンクなら、完全ではないにしても、押す前に会社名やドメインを眺められます。QRコードは「公式のチラシに見える」「企業ロゴが横にある」という雰囲気で、行き先まで本物だと感じやすいのです🤔

IPAのJ-CSIPレポートでは、メール本文のQRコードからMicrosoftアカウントのログイン画面を模した偽サイトへ誘導した事例が紹介されています。QRコードは画像なので、文字列のURLを調べるメールのセキュリティ対策をすり抜ける目的があったと考えられる、と分析されています。

つまり、次の3つは同じではありません。

  • QRコードを読み取れた
  • Webページが開いた
  • 本物のサイトだと確認できた

読み取り成功は、単に「中に入っていた情報をカメラが認識できた」というだけです。安全確認は、その次にあります。

確認1：誰が、どこで案内したQRコードかを見る

最初に見るのは、QRコードそのものより置かれていた状況です。

店員さんから手渡された当日の案内、公式サイトのログイン後に表示された設定用コード、予約したサービスから事前に説明されていた受付コード。このように、発行元と用途を自分で説明できるものは判断しやすくなります。

一方、次のようなQRコードは一度止まってください。

  • 心当たりのないメールやSMSに突然載っている
  • 「本日中」「アカウント停止」など、急ぐ言葉が強い
  • ログイン、支払い、本人確認をいきなり求めている
  • 駐車場、掲示板、チラシなどに後から貼ったシールのように見える
  • 発行元へ別の方法で確認できない

大事なのは、見慣れた会社名があるかではありません。IPAは、本物のメール文面やサイトデザインが盗用されることがあり、見た目だけで真偽を見抜くのは難しいと案内しています。

「ロゴがあるから大丈夫」は判断材料として弱い。少し疑い深いくらいで、ちょうどよい場面です💦

確認2：読み取っても、表示された行き先をすぐ開かない

スマートフォンのカメラでQRコードを読み取ると、画面上に通知やリンク候補が表示されます。ここで反射的にタップせず、表示できる範囲で行き先を見ます。

確認したいのは、主にドメインです。ドメインは、URLの中でサービスの住所に当たる部分です。たとえば、会社名に似た文字が入っていても、つづりが一文字違う、余分な単語が付いている、無関係な短縮URLになっていることがあります。

ただし、スマートフォンの表示は短く省略されることがあります。小さな文字を見て「自分なら偽物を必ず見抜ける」と考えるのも危険です。見分けに自信がなければ、次の確認3へ進むのではなく、QRコードから離れて公式アプリやブックマークを開く方が堅実です。

この「別の入口から行く」が地味ですが強い方法です。怪しい入口の前で推理を続けなくてよいからです😊

確認3：ログインや支払いは公式アプリからやり直す

QRコードの先で、ID・パスワード、ワンタイムパスワード、クレジットカード番号を求められたら、その画面では入力せず一度閉じます。

そして、普段使っている公式アプリ、保存済みのブックマーク、または自分で検索した公式サイトから同じお知らせがあるか確認します。IPAも、メールやSMSが本物か迷う場合は、本文中のURLや電話番号を使わず、公式サイトや公式アプリから確認するよう勧めています。

たとえば「宅配便の再配達が必要」と表示されたなら、QRコードのページで住所やカード情報を入れず、いつもの宅配アプリを開きます。「クラウドの容量が切れる」と言われたなら、メールのQRコードからではなく、いつものアプリの設定や契約画面を見ます。

本当に手続きが必要なら、正規の入口から入っても同じ案内を確認できるはずです。見つからなければ、公式サイトに掲載された問い合わせ先へ自分から連絡します。

ここでのコツは、怪しい画面に表示された電話番号も使わないことです。確認のために電話したつもりが、相手が用意した窓口へつながってしまっては、入口を変えたことになりません。

確認4：「急がせる」「秘密を求める」「送金させる」で止まる 🛑

QRコードの先で、次のような指示が重なったら操作を止めます。

  • 数分以内に確認しないと利用停止になる
  • ワンタイムパスワードや復旧コードを入力・送信する
  • カード情報を入れて本人確認する
  • アプリを新しくインストールする
  • 指示どおりに送金や返金操作をする
  • 家族や勤務先に知らせないよう求める

急ぐ必要があるように見えると、人はURLの細かな違いを読む余裕を失います。私も「期限まであとわずか」と出たら、内容より先にボタンを探しそうになります😅 だから、冷静さだけに頼らず、お金・ログイン・秘密のコードが出たら一度閉じるとルール化した方が実行しやすいのです。

ワンタイムパスワードは短時間しか使えないので安全に感じますが、偽サイトへ入力した値を攻撃者がすぐ本物のサイトで悪用する「リアルタイムフィッシング」もIPAが説明しています。「一回だけの番号だから渡しても平気」ではありません。

確認5：開いてしまった後は「何をしたか」で対応を分ける

怪しいQRコードを読み取っただけで、すぐ端末の中身が全部盗まれた、と決めつける必要はありません。まず、どこまで操作したかを落ち着いて分けます。

ページを開いただけで、入力もインストールもしていない

IPAは、フィッシングサイトへアクセスしても、情報入力やアプリのインストールなどをしていなければ、基本的に被害は発生しないと説明しています。ページを閉じ、同じメールやSMSは削除します。不安をあおる画面へ戻って確認を繰り返す必要はありません。

ID・パスワードを入力した

本物の公式サイトや公式アプリを自分で開き、速やかにパスワードを変更します。同じパスワードを他のサービスでも使っている場合は、そちらも変更が必要です。利用履歴やログイン中の端末を確認できるサービスなら、不審なものがないか見ます。

クレジットカード情報を入力した

カード裏面や公式アプリなど、正規の連絡先からカード会社へ相談します。「しばらく様子を見る」より、入力した事実を早めに伝える方が安心です。

アプリを入れた、送金した、画面共有を許可した

自分だけで元に戻そうとせず、サービス提供者、金融機関、警察や消費生活相談窓口などへ早めに相談します。何を入れたか、どの時刻に何をしたかをメモし、怪しい相手との連絡は続けません。

失敗したと感じると、画面を全部消して誰にも言いたくなくなるものです。でも、ここは恥ずかしがる場面ではありません。早く相談できることの方が、ずっと大切です。

家族で決めたい「QRコードの30秒ルール」 📱

子どもやシニアの家族へ「怪しいものを開かないで」とだけ伝えても、何が怪しいか分からなければ動けません。次の30秒ルールなら、行動にしやすくなります。

  1. 出どころを見る：誰から、何の目的で届いたか
  2. 行き先を見る：表示されたURLをすぐ開かない
  3. 秘密を入れない：パスワード、確認コード、カード番号で止まる
  4. 公式から入り直す：いつものアプリやブックマークを使う
  5. 迷ったら画面を見せる：一人で続きを判断しない

全部のQRコードを禁止すると、受付やメニューまで使いにくくなります。攻めた対策は「QRコードを使わない」ことですが、日常では少し現実的ではありません。私が勧める堅実な方法は、読み取りはしても、ログインや支払いの前に入口を確認し直すことです。

QRコードは悪いものではありません。便利な入口だからこそ、攻撃する側にも利用価値があります。この両方を知っておくと、「怖いから全部避ける」と「便利だから全部開く」の間に、ちょうどよい使い方を作れます。

まとめ：QRコードの先で、入力する前に一度止まる

QRコードを安全に使うポイントは、難しい専門知識ではありません。

  • 誰が何の目的で出したものかを見る
  • 読み取り後のURLを反射的に開かない
  • ログインや支払いは公式アプリからやり直す
  • 急がせる指示、秘密のコード、送金で止まる
  • 開いた後は、入力・インストールの有無で対応を分ける

特に覚えておきたいのは、QRコードを読み取れたことと、安全を確認できたことは別という一点です。これだけでも、次にカメラを向けたときの行動が変わります。

SCROOMでは、スマートフォンやパソコンの画面を一緒に見ながら、「この表示は何を意味するのか」「どこから確認し直せばよいか」を初心者の方にも分かる形で整理します。届いた案内に迷ったときは、急いで入力せず、まず正規の入口を探すところから始めてください。

参考にした公式情報