クイッシングとは？増加するQRコード詐欺の手口と対策【保存版】

駐車場の精算機に貼られた四角い模様。飲食店のテーブルに置かれた注文用の紙。会社に届いたメールに埋め込まれた白黒のパターン。わたしたちは今、一日に何度もスマートフォンのカメラを四角い模様に向けています。その習慣そのものを武器に変えたのが「クイッシング」という新しい詐欺です。

クイッシングとは何か

クイッシング（Quishing）は、二次元コードとフィッシング（Phishing、なりすまし詐欺）を組み合わせた造語です。日本語では「二次元コード詐欺」と呼ばれることもあります。

仕組み自体はとても単純です。偽サイトへ飛ばすためのアドレスを、あの白黒の四角い模様の中に隠しておく。ただそれだけ。読み取った人は偽物のログイン画面や偽物の決済画面に誘導され、そこで入力した情報がまるごと犯人の手に渡ります。

セキュリティ企業の解説では、文字として書かれたリンクの代わりに二次元コードを使うことで、メールの検査システムをすり抜け、多くの人が二次元コードに寄せている信頼を逆手に取る攻撃と説明されています。つまり技術的な新発明ではなく、人間の習慣の隙を突いた「発想の転換」なのです。

なぜ二次元コードだと防げないのか

元金融系エンジニアの視点で見ると、クイッシングは「検査の網の目をどこで抜けるか」を非常によく計算した攻撃です。防御が効かない理由は大きく三つあります。

三つめが特に厄介です。金融システムの設計では、障害や侵入の影響範囲を区切る「切り分け」の考え方を徹底します。ところがクイッシングは、守りの固い領域から守りの薄い領域へ利用者自身の手で情報を運ばせる。会社が用意した防御線を、社員のスマートフォンが物理的に跨いでしまうわけです。

数字で見る拡大のスピード

「よくある注意喚起でしょう」と思われるかもしれません。しかし各国の公的機関や調査機関が出している数字は、想像よりかなり深刻です。

実際の手口　六つの典型パターン

報道や公的機関の資料から確認できている代表的な型を並べます。「自分ならひっかからない」と思う方こそ、最後まで読んでみてください。

一　駐車場の精算機に上から貼る

最も被害が多い型です。本物のコードの上にシールを貼るだけ。誘導先は正規の駐車料金アプリそっくりの偽画面で、ロゴも書体も支払いの流れも精巧に真似ています。英国では一件あたり六十ポンド前後を抜かれた例のほか、知らないうちに毎月引き落とされる契約に登録させられ、数週間後から身に覚えのない出金が続いた例も報告されています。ある被害者は一万三千ポンド超を失いかけました。

重要なのは、そもそも二次元コードでの支払いを一切採用していない自治体の精算機にコードが貼ってあったという報告が複数あることです。あって当たり前だと思い込んでいると気づけません。

二　業務メールに埋め込む

「認証の設定を更新してください」といった件名で、コード付きの案内が届きます。読み取ると業務用サービスのログイン画面そっくりの偽ページが開き、社員番号とパスワードを抜かれます。国内の専門家は、この形式の攻撃が一年で百七十五倍に増えたと述べています。

三　返金を装って送金させる

国内で特に注意すべき型です。通販で商品を買った後「在庫がないので決済アプリで返金します」と連絡が来て、案内に従ってコードを読み取り、送られてきた数字を入力する。ところがその操作は受け取りではなく送金の操作だった、という被害が確認されています。二十五万円を失った事例も報じられました。

この型が恐ろしいのは、偽サイトを一切使わない点です。本物の決済アプリを本物のまま使わせて、操作の意味だけを取り違えさせる。だから「アドレスを確認する」という対策が効きません。

四　お店のレジ横に置き換える

店舗の支払い用コードを差し替え、客の支払いを丸ごと犯人の口座へ流す手口です。二〇二六年六月には、飲食店を訪れた男が海外の決済サービスを名乗って自前のコード台を店に置かせようとする様子が防犯カメラに記録され、報道されました。被害者は客ではなくお店側になります。

五　郵便物やチラシに印刷する

自宅に届くダイレクトメールや不在通知を装った紙にコードを印刷しておく型です。紙の郵便物は「デジタルより信用できる」と感じる人が多く、その心理が突かれています。税や保険料の納付、給付金の案内を装う例も国内で確認されています。

六　狙い撃ちで送りつける

特定の人物だけを狙う型です。連邦捜査局によれば、二〇二五年五月、海外の顧問を装った差出人が研究機関の責任者へ「アンケートに答えてほしい」とコード付きの依頼を送りつけた事例が確認されました。誘導先は端末の情報を収集したり、業務サービスの携帯版ログイン画面を模倣したりするものだったとされています。狙われたのは主に研究機関や大学、政府関係者でした。

なぜ人はひっかかるのか

被害に遭った方の多くは、注意力が足りない人ではありません。この手口が刺さる理由は三つあると考えています。

第一に、急いでいる。駐車場で読み取るのは、たいてい約束の時間に遅れそうなときです。犯人はその状況を選んで貼っています。

第二に、場所が信用を肩代わりしている。市の駐車場に貼ってある、行きつけの店のレジにある。わたしたちはコードそのものではなく「そこにある」という事実を信用しています。ところがシールは誰でも貼れる。信用の根拠が、実はまったく担保されていないのです。

第三に、確認する手順が存在しない。メールの差出人なら疑えます。リンクの綴りなら見比べられます。ところが四角い模様には、疑うための取っかかりが用意されていない。クイッシングは人間の油断ではなく、確認手段が最初から欠けている仕組みの問題です。

被害に遭わないための八つの習慣

ここからが本題です。難しい設定は一つもありません。習慣を少し変えるだけで、ほとんどの被害は防げます。

読み取ってしまったときの初動

読み取っただけで即座に被害が出ることはまれです。問題は、その先で何を入力したか。落ち着いて順番に対応してください。

お店や施設を運営している方へ

クイッシングは、客だけでなく事業者も被害者になります。売上が丸ごと他人の口座に流れ、しかも客からは「お店に騙された」と見えてしまう。信用の損失のほうが金額より重い場合もあります。

やるべきことは地味です。開店時と閉店時に支払い用コードの現物を目と手で点検する。台やスタンドは固定して、簡単に置き換えられないようにする。飛び込みで「決済サービスの案内です」と来た相手から、その場でコードやスタンドを受け取らない。契約は必ず正規の窓口を通す。そして最も大切なのは、不審なものを見つけたら剥がす前に写真を撮ることです。

金融システムでは、何が起きたかを後から追える記録を必ず残します。防犯カメラの映像と発見時の写真は、その記録にあたります。実際に飲食店で不審な人物の様子が映像に残っていたからこそ、手口が世に知られることになりました。

よくある質問

二次元コードそのものが危険なのですか

いいえ。仕組み自体は文字を模様に置き換えているだけで、それ自体に善悪はありません。危険なのは、誰が置いたかわからないコードです。お店や自治体が正式に設置したものと、上から貼られたものを見分ける習慣が要点になります。

安全な読み取りアプリを入れれば解決しますか

補助にはなりますが、決め手にはなりません。危険なアドレスの一覧は常に後追いですし、返金を装って本物のアプリで送金させる型には、そもそもアプリの検査が働きません。道具より習慣です。

二段階の認証を入れていれば安全ですか

かなり有効ですが、万能ではありません。近年は、正規の画面と利用者の間に割り込んで通信のやり取りを横取りし、認証を通した後の状態ごと奪う手口が確認されています。物理的な鍵の形をした認証機器が、現時点で最も強い守りとされています。

読み取っただけで乗っ取られますか

通常はサイトが開くだけで、そこで情報を入力しなければ被害には至りません。ただし訪問しただけで端末の種類や所在地といった情報が相手に渡ることはあります。開いてしまったら閉じる、が正解です。

まとめ

クイッシングは、高度な技術で殴ってくる攻撃ではありません。わたしたちが二次元コードに与えてしまった無条件の信頼という、たった一つの穴を突いているだけです。だからこそ、こちら側の対処も高度である必要はありません。

触ってみる。行き先を見る。急かされたら止まる。外に貼ってある模様でお金を払わない。この四つを家族で共有できていれば、まず大丈夫です。

便利さは、それを支える信頼のうえに成り立っています。その信頼が誰にも守られていない場所では、疑うことこそが正しい使い方です。この記事を、スマートフォンに不慣れなご家族に一言伝えるきっかけにしていただければ幸いです。