知らないメールアドレスからQRコードが届いたら危険？クイッシング詐欺と「トクリュウ」との違い・安全な対処法

見ず知らずのメールアドレスから突然QRコードだけが送られてくると、「詐欺ではないか」「最近報道されるトクリュウ（匿名・流動型犯罪グループ）の手口なのか」と不安になることがあります。

結論として、知らない相手から届いたQRコードは安易に読み取らないことが重要です。QRコードを利用してフィッシングサイトへ誘導する攻撃は実際に確認されており、「クイッシング（Quishing）」などと呼ばれています。一方、QRコードが届いたという事実だけで、送信者がトクリュウだと判断することはできません。

この記事では、不審なQRコード付きメールの危険性、トクリュウとの違い、QRコードをまだ読み取っていない場合と読み取ってしまった場合の対処法を、公的機関の情報をもとに整理します。

知らないメールからQRコードが届いても「トクリュウ」とは断定できない

「トクリュウ」とは、警察が「匿名・流動型犯罪グループ」を指して使用している呼称です。警察庁によると、中核部分が匿名化され、SNSなどを通じて実行犯を募集し、メンバーを入れ替えながら特殊詐欺、強盗、窃盗など多様な犯罪を行う特徴があります。[参照] 警察庁「匿名・流動型犯罪グループの情勢」

したがって、「知らないメールアドレスからQRコードが届いた」という情報だけでは、そのメールがトクリュウによるものなのか、単純な迷惑メールなのか、フィッシングなのか、それとも送信先を間違えただけなのかを特定できません。

重要なのは犯罪グループの種類を推測することではなく、不審なQRコードを読み取らず、安全な状態を維持することです。

QRコードを悪用する「クイッシング」は実際に確認されている

QRコードだから安全とは限りません。IPA（情報処理推進機構）は、メール本文に貼り付けたQRコードを読み取らせ、フィッシングサイトへ誘導する攻撃事例を紹介しています。このようなQRコードを悪用したフィッシングは「Quishing（クイッシング）」などと呼ばれています。[参照] IPA「QRコードを悪用したフィッシング攻撃」

通常のフィッシングメールでは「こちらをクリックしてください」というリンクが書かれていますが、それをQRコードに置き換えたものと考えると分かりやすいでしょう。QRコードは画像なので、見ただけではリンク先のドメインが分かりにくいという特徴があります。

例えば「アカウントを確認してください」「支払いに問題があります」「荷物を受け取ってください」などの文章とQRコードを組み合わせ、偽サイトへ誘導してIDやパスワード、カード情報などを入力させる手口が考えられます。

QRコードをまだ読み取っていないなら基本的には何もしない

知らない相手から届いたQRコードをまだ読み取っていないのであれば、わざわざ「何のQRコードだろう」と確認するためにスマートフォンで読み取る必要はありません。

メールに返信することも避けたほうが無難です。「誰ですか？」と返信すると、そのメールアドレスが実際に使用されていることを相手へ知らせる可能性があります。

心当たりのないメールなら、迷惑メールとして報告・削除するのが基本的な対応です。添付ファイルがある場合も、不審なものは開かないようにしましょう。

読み取っただけなら直ちに被害が発生したとは限らない

すでにQRコードを読み取ってしまった場合でも、読み取ったという事実だけで、直ちにアカウントや銀行口座が乗っ取られたと判断する必要はありません。その後に何をしたかが重要です。

例えばカメラで読み取り結果を表示しただけでリンクを開いていない場合と、リンク先を開いてID・パスワード・カード番号まで入力した場合ではリスクが大きく異なります。

特にパスワードを入力してしまった場合は、メール内のリンクからではなく、普段使用している公式アプリやブックマークなどから正規サービスへアクセスして変更します。同じパスワードをほかのサービスでも使い回している場合は、そちらも変更を検討します。

QRコードの先で個人情報を要求されたら要注意

QRコードのリンク先で、メールアドレス、パスワード、SMS認証コード、クレジットカード番号、銀行口座情報、運転免許証の画像などを求められた場合は特に注意が必要です。

「本人確認が必要」「24時間以内に停止される」「返金を受けるには入力が必要」など、急がせる文章が表示されても、その場で情報を入力しないようにします。本当に利用しているサービスからの案内なのか確認したい場合は、メールやQRコードを経由せず、自分で公式サイトや公式アプリを開いて確認します。

また、QRコードの先でLINEなど別の連絡手段への移動を求められたり、「高額報酬」「簡単な仕事」などの勧誘を受けたりした場合にも慎重な対応が必要です。警察庁は、匿名・流動型犯罪グループがSNSや求人サイトなどを利用して犯罪実行者を募集する実態について注意を呼びかけています。[参照] 警察庁「匿名・流動型犯罪グループの特徴」

「QRコードを開いただけでスマホが乗っ取られる」と決めつけない

不審なQRコードが届くと、「読み取っただけでウイルス感染するのでは」と心配になることがあります。しかしQRコードは基本的に文字列やURLなどの情報を格納する仕組みであり、QRコードの画像がメールに表示されたというだけで端末が乗っ取られたことにはなりません。

危険性が高くなるのは、QRコードから不審なサイトへ移動し、認証情報を入力したり、不審なファイルやアプリをインストールしたり、端末の設定変更を指示されて実行したりした場合です。

そのため、「QRコードを受信した」「読み取った」「サイトを開いた」「情報を入力した」「ファイルを実行した」を分けて考えると、必要以上に慌てず適切な対応を取りやすくなります。

不審メールの送信者を自分で追跡しようとしない

知らないメールアドレスだからといって、送信者を自分で特定しようとしたり、相手に返信して問い詰めたりする必要はありません。表示されている差出人情報だけで実際の送信者を判断できない場合もあります。

また、仮に詐欺メールだったとしても、それだけで特定の犯罪組織や「トクリュウ」が送信したと断定することはできません。犯罪グループとの関連性は捜査によって明らかにされる性質のものです。

金銭被害が発生した、脅迫を受けた、個人情報を送ってしまったなど具体的な被害がある場合は、メールや画面のスクリーンショットなどを保存し、警察や関係する金融機関・サービス事業者へ相談することを検討します。

まとめ：知らない相手のQRコードは読み取らないのが最も安全

見ず知らずのメールアドレスからQRコードが届いた場合、その事実だけで「トクリュウ型犯罪」と判断することはできません。トクリュウは警察が匿名・流動型犯罪グループを指して用いている呼称であり、単独の不審メールから組織との関係を判断することは困難です。

一方で、QRコードを利用してフィッシングサイトへ誘導する「クイッシング」は実際に確認されています。そのため、心当たりのないQRコードは読み取らない、リンクを開かない、個人情報を入力しないという対応が基本です。

すでに読み取ってしまった場合も、読み取っただけなのか、サイトを開いたのか、パスワードやカード情報まで入力したのかによって対応は異なります。認証情報を入力した場合は正規サイトからパスワードを変更し、カード情報を入力した場合はカード会社へ相談するなど、実際に行った操作に応じて対処しましょう。