ブログ

クイッシング：QR コード詐欺の仕組みと確認方法

iPhone をかざして駐車メーターの QR コードを読み取ろうとしている手。元のコードの上には、無地の四角いシールが貼られている。その間に虫眼鏡がある

クイッシングは、駐車メーター、荷物、テキストに仕込まれた QR コードを使うフィッシングです。開く前にコードを確認する方法と、スキャンしてしまった場合の対処を紹介します。

Marco Lee読了目安 6 分

クイッシングは、QR コードを使ったフィッシングです。詐欺師はリンクをコードの中に隠し、それをシール、荷物、メッセージに載せます。スキャンした人が偽のページでサインインしたり支払ったりすることを狙っています。スキャンは、コードを読み取るだけです。被害は、そのあとに開いたもの、入力したもの、インストールしたものから生じます。ですから私は、まず行き先のアドレスを確認するようにしています。

クイッシングとは何か？

FBI は、この手口を次のように説明しています。「サイバー犯罪者は、デジタルと物理の両方の QR コードを改ざんし、正規のコードを悪意のあるコードに置き換えています。」被害者は「正規のものだと思ってコードをスキャンしますが、改ざんされたコードは悪質なサイトへ誘導し、そこでログイン情報や金融情報の入力を求められます」（FBI IC3）。また FBI は、「QR コードそのものが悪意を持っているわけではない」とも付け加えています。問題になるのは、コードの指し示す先です。

FTC も同じ警告をしています。スキャンしたコードは、情報を盗むために作られた偽のサイトに誘導したり、マルウェアをインストールさせたりすることがあります（FTC）。同じ仕組みをテキストメッセージで行うのが、スミッシングとは？で説明しているものです。今すぐコードを確認したい場合は、このサイトにある無料の QR コードスキャナーで、開く前に行き先を確かめられます。

偽の QR コードが現れる場所

  • パーキングメーターや支払い端末のシール。 FTC は、詐欺師が駐車メーターの本物の QR コードを自分のコードで覆い隠すことがあり、偽のコードは、お金や個人情報、またはその両方を盗むためのサイトに誘導しうると警告しています（FTC）。FBI も、改ざんの兆候として「元のコードの上に貼られたシール」を挙げています（FBI IC3）。
  • 頼んでいない荷物。 FTC は、予期しない荷物に、誰が送ったのか、どう返品するのかを知るためにコードをスキャンするよう書かれたメモが付いているケースを説明しています。そのコードは、フィッシングサイトやマルウェアのダウンロードに誘導しうるとされています（FTC）。FBI はこれを「ブラッシング詐欺」の一種だとし、「出どころの分からない QR コードはスキャンしないでください」と述べています（FBI IC3）。
  • リンクではなくコードが載ったテキストやメール。 FTC によると、詐欺師は、配達の失敗、アカウントの問題、不審な動きといった作り話の理由をつけて、コードをテキストやメールで送ってきます（FTC）。USPS の偽のテキストに特化した QR コードの注意喚起は見つけられませんでした。そのため、配達のテキスト全般については USPS の詐欺テキスト：偽物の見分け方をご覧ください。
  • 支払いが失敗したというメール。 FBI の例では、支払いが失敗したので、QR コードからしか完了できないというメールが届きます。FBI の助言は、メール内の番号ではなく、信頼できるサイトにある番号を使って会社に電話することです（FBI IC3）。

iPhone でスキャンすると何ができて、何ができないか

Apple の手順は次のとおりです。カメラを開き、写真モードでコードに向けてから、「画面の下に表示されるリンクをタップ」します（Apple サポート）。つまり、カメラはコードを読み取り、リンクを提示するだけです。タップするまで、何も開きません。その一瞬の間に、アドレスを読むことができます。

そのあとどうなるかは、ページ次第です。FBI は、悪意のあるコードが、ログインや金融情報を求めるサイトに誘導したり、マルウェアを埋め込んだりすることがあると述べています（FBI IC3）。スキャンしたあとに、パスワード、カード番号、アプリのインストールを求めるページは、そうでないと証明されるまで疑ってください。

開く前に QR コードを確認する方法

  1. まずリンクを見ます。 FTC は、開く前に「URL を確認する」ことと、綴りの間違いや入れ替わった文字がないか確かめることを勧めています（FTC）。偽のアドレスは、本物に近い綴りで、一文字の打ち間違いや位置の違う文字を含んでいることがあります（FBI IC3）。
  2. 本当のアドレスを表示するスキャナーに通します。 QR コードスキャナーでは、コードの写真やスクリーンショットをアップロードします。画像はブラウザ内で読み取られ、アップロードはされません。リンクの本当の行き先を大きな文字で表示し、警告サインにフラグを立てます。例えば、名乗っている会社と一致しないサイト、短縮リンク、暗号化されていないリンク、IP アドレスだけのリンク、通行料金・罰金・配達に関する文言、ファイルやアプリのダウンロード、暗号資産での支払いなどです。このスキャナーが安全だと判定することはありません。また、短縮リンクをたどることもできません。指し示す先を開かないからです。問題が見つからなかったというのは、コードに怪しい点が見つからなかった、というだけの意味です。Safari が警告するページについては、Safari の詐欺ウェブサイトの警告への対処もご覧ください。
  3. 物理的なコードを確かめます。 指でなぞってみてください。別のコードの上に貼られたシールなら、使わないでください（FBI IC3）。
  4. 予期しないもの、または急かすものは、スキャンしない。 FTC は、思い当たらないメッセージのコードを避け、本当だと分かっている電話番号やウェブサイトを使って会社に連絡するよう勧めています（FTC）。支払いの場合、FBI は、信頼できる既知のアドレスを自分で入力することを勧めています（FBI IC3）。
  5. コードからアプリをインストールしない。 FBI は、「QR コードからアプリをダウンロードしないでください。より安全なダウンロードには、お使いの端末のアプリストアを使ってください」と述べています。また、ほとんどの端末にはカメラに読み取り機能があるため、別の QR スキャナーアプリもダウンロードしないよう勧めています（FBI IC3）。

すでにスキャンしてしまった場合は？

スキャンは、コードを読み取るだけです。リンクをタップするまで、何も開きません。ページを開いてしまった場合は、FTC に従って、私ならこうします。

  • 詐欺師に連絡しない。 偽のサイトを通じて連絡すると、さらにお金や情報を求められるおそれがあります（FTC）。
  • パスワードを入力した場合は、 本物のサイトで、同じパスワードを使っているアカウントでもパスワードを変更し、2ファクタ認証をオンにしてください（FTC）。
  • カードや銀行の情報を入力した、または支払った場合は、 カードと銀行の利用明細に、身に覚えのない取引がないか確認し（FTC）、銀行に連絡してください。FBI は、「送金後の資金の回収を保証することはできない」と警告しています。ですから、待たずに動いてください（FBI IC3）。
  • 何かがインストールされた場合は、 iPhone がハッキングされているか確認する方法をご覧ください。
  • 信用情報を確認します。 FTC は、AnnualCreditReport.com で無料の信用情報レポートを確認し、個人情報が盗まれた場合は IdentityTheft.gov で回復計画を立てることを勧めています（FTC）。

QR コード詐欺を報告する方法

  • FTC に ReportFraud.ftc.gov で報告します（FTC）。
  • FBI のインターネット犯罪苦情センター（ic3.gov）、または最寄りの FBI 支局に報告します（FBI IC3）。荷物の場合は、送り主の名前や会社名、連絡方法、関係したアプリや許可の情報を含めてください（FBI IC3）。
  • パーキングメーターや支払い端末のコードの場合は、その管理者にも伝え、撤去してもらうのがよいと私は考えます。この手順について公式の情報源は見つけられませんでした。そのため、これは私の提案です。

Mistero でできること、できないこと

Mistero は、メーターに偽のシールが貼られるのを止めることはできませんし、詐欺のメッセージが届くのを止めることもできません。お金を取り戻すこともできません。また、リンクが安全だと言うこともできません。

アプリの掲載ページにあるとおり、Mistero ができるのは次のことです。「QR コードをスキャンし、開く前にリンクを確認できる」「既知のフィッシングページや悪質なドメインのブロックを助ける」「iPhone で、発信者識別、迷惑電話のブロック、SMS フィルタリングを有効にできる」（App Store の掲載ページ、2026年11月4日閲覧）。これらは、大事な一つのこと、つまりタップする前にアドレスを読むことを補う追加のチェックです。詳しくは Mistero のセキュリティをご覧ください。

出典

料金 新規購読者は3日間の無料トライアルを利用できます。トライアル終了後は、終了の24時間以上前に解約しない限り、週$12.99で自動更新されます。解約は設定 > [ユーザ名] > サブスクリプションから行えます（Apple サポート）。買い切りの終身プラン（$99.99）もあります。価格は2026年10月時点の米国 App Store の価格です。購入画面では、確定前に現在の価格が表示されます。

よくある質問

クイッシングとは何ですか？

クイッシングは、QR コードを使ったフィッシングです。詐欺師はシール、荷物、チラシ、またはメッセージの中のコードにリンクを隠します。そのコードは、ログインや支払いを求める偽のサイト、またはダウンロードへ誘導します。FBI は、犯罪者がコードを改ざんして、被害者を悪質なサイトに誘導し、ログインや金融情報を盗むと説明しています。

QR コードをスキャンするとハッキングされますか？

コードはただのテキストで、iPhone では、カメラがリンクを表示し、それを自分でタップする必要があります。被害は、開いたページから生じます。偽のサインインや支払いのページ、またはダウンロードです。FBI と FTC はどちらも、悪意のあるコードはマルウェアにつながりうると述べています。ですから、コードの指し示す先から何もインストールしないでください。

QR コードが安全かどうかは、どう見分けられますか？

四角い図柄そのものからは判断できません。開く前に、それが導く先のアドレスを確認し、綴りの間違いや入れ替わった文字がないかを見てください。物理的なコードが、元のコードの上に貼られたシールではないかも確かめてください。このサイトにあるような無料のスキャナーを使えば、本当のアドレスが分かり、警告サインも表示されますが、リンクが安全だと言うことはありません。

詐欺の QR コードをスキャンしてしまったら、どうすればよいですか？

偽のサイトを通じて詐欺師に連絡しないでください。同じログイン情報を入力したアカウントのパスワードを変更し、カードや銀行の情報を入力した場合は、利用明細に覚えのない取引がないか確認して、銀行に連絡してください。ReportFraud.ftc.gov で報告しましょう。
すべての記事を見る
セキュリティ読了目安 8 分2026年11月9日iOS 27 のペアレンタルコントロール：新機能と表示されない理由iOS 27 では、子ども向けのスクリーンタイムが再設計されました。App Limits は許容時間に、Downtime はスケジュールに組み込まれ、ウェブサイト閲覧のリクエストが新しく加わりました。表示されない理由を説明します。セキュリティ読了目安 7 分2026年11月9日iPhone で「このウェブサイトは許可されていません」と出るとき：意味と直し方「Website Not Allowed」は、スクリーンタイムの Web フィルタです。英国とオーストラリアの年齢確認を含め、表示される理由と、大人、子ども、仕事用の iPhone それぞれの正しい直し方を説明します。セキュリティ読了目安 7 分2026年11月6日ネットワークに不明な端末がある？ 特定する方法Wi-Fi にある不明な端末は、多くの場合ご自身のスマートフォンやスマートホーム機器です。メーカーを調べ、プライベートアドレスを見分け、いつパスワードを変えるべきかを説明します。