知らないメールアドレスからQRコードが届いたら詐欺？「クイッシング」の危険性と安全な対処法

メールの受信ボックスに、まったく知らない送信者からQRコードだけ、あるいはQRコード付きの案内が突然届くことがあります。心当たりがなければ、QRコードを読み取らず、そのまま削除する対応が基本です。

QRコードが送られてきたという事実だけで「オレオレ詐欺」と断定することはできませんが、QRコードから偽サイトへ誘導する「クイッシング（Quishing）」と呼ばれるフィッシング手口は実際に確認されています。IPA（情報処理推進機構）もQRコードを悪用したフィッシングについて注意を呼びかけています。[参照] IPA「QRコードを悪用したフィッシング詐欺」

ここでは、知らないメールアドレスからQRコードが届く目的、読み取っていない場合の危険性、読み取ってしまった場合の対処法を整理します。

知らない相手からQRコードが届いたら読み取らない

注文、会員登録、本人確認などの心当たりがないのにQRコード付きメールが突然届いた場合、そのQRコードを試しに読み取る必要はありません。迷惑メールとして処理し、削除するのが安全です。

QRコード自体にはURLなどの情報を埋め込めます。文字で表示されたURLとは違って、画像を見ただけではどのサイトへ移動するのか分かりにくい点が特徴です。

IPAは、攻撃者が実在する事業者などをかたり、メールに掲載したQRコードをスマートフォンで読み取らせて偽サイトへ誘導し、ID・パスワードやクレジットカード情報などを狙う手口を紹介しています。[参照] IPA「QRコードを悪用したフィッシング攻撃」

QRコードを使った「クイッシング」とは

クイッシングとは、「QRコード」と「フィッシング」を組み合わせた呼び方です。メール本文に一般的なURLを載せる代わりにQRコードを掲載し、それを読み取らせてフィッシングサイトへ誘導します。

例えば「アカウントの有効期限が切れます」「本人確認が必要です」「荷物を受け取るには手続きしてください」などと表示し、QRコードを読み取らせるケースが考えられます。アクセスした先に本物そっくりのログイン画面を用意し、メールアドレスやパスワードを入力させる仕組みです。

警察庁も、メールやSMSに記載されたリンクは偽装でき、正規サイトに似たドメインを利用するフィッシングサイトも存在するため、安易にアクセスしないよう注意を呼びかけています。[参照] 警察庁「フィッシング対策」

「新手のオレオレ詐欺」とは限らない

知らない送信者からQRコードが来たからといって、必ずしもオレオレ詐欺とは限りません。オレオレ詐欺は一般に家族などを装って金銭を要求する特殊詐欺の手口を指します。一方、QRコード付きメールでは、フィッシングや別の詐欺、単なる迷惑メールなど複数の可能性があります。

また、QRコード付きメールがすべて悪意のあるものというわけでもありません。正規のサービスでもログイン、決済、イベント受付などにQRコードを利用します。重要なのは、自分が何も手続きをしていないのに突然届いたかという点です。

送信者に心当たりがなく、なぜQRコードが送られてきたのか説明もない場合は、正体を確かめるために読み取るのではなく、不審なメールとして扱うほうが安全です。

QRコードを読み取らずごみ箱へ捨てたなら基本的にはそれでよい

不審なメールを受信したものの、QRコードを読み取らず、リンクや添付ファイルも開かずに削除したのであれば、基本的には追加操作をする必要はありません。

IPAはフィッシングメールについて、メールやSMSを開いただけでは被害は発生せず、不審なURLや添付ファイルを操作せず削除することを案内しています。[参照] IPA「インターネットサービスへの不正ログインによる被害が増加中」

「メールを受信した」「受信ボックスでメールを見た」「その後ごみ箱へ移動した」だけで、直ちにパスワードや銀行口座の情報が盗まれたと考える必要はありません。不安になってメールへ返信したり、確認のためQRコードを読み取ったりしないことが重要です。

QRコードを読み取ってしまった場合はどこまで操作したか確認する

誤ってQRコードを読み取った場合でも、それだけで必ず被害が発生したとは限りません。重要なのは、その後に何をしたかです。

IPAは、フィッシングサイトへアクセスしてしまった場合でも、情報入力やアプリのインストールなどを行っていなければ基本的に被害は発生しないと説明しています。ただし、不審なページではそれ以上操作せず閉じるのが安全です。

IDやパスワードを入力した場合は、メール内のQRコードから再度アクセスするのではなく、公式アプリや自分で確認した正規サイトから変更します。同じパスワードを別サービスでも使っている場合は、使い回しているサービスについても変更を検討します。

カード番号や個人情報を入力した場合は早めに対応する

偽サイトに氏名、住所、電話番号だけでなく、クレジットカード番号、有効期限、セキュリティコードなどを入力してしまった場合は、放置せずカード会社へ相談しましょう。

カード会社へ連絡するときは、不審なQRコードからアクセスしたサイトへカード情報を入力した可能性があることを説明します。カード会社の連絡先は怪しいメールに記載された番号ではなく、カード裏面や公式アプリ、公式サイトなどから確認します。

ネットバンキングや通販サイトなどの認証情報を入力してしまった場合も同様です。正規サービスへ直接アクセスしてパスワードを変更し、利用できる場合は多要素認証・2段階認証を設定します。

「配信停止はこちら」のQRコードにも注意

迷惑メールに「今後メールを受信しない場合はこちら」「配信停止するにはQRコードを読み取ってください」などと書かれていても、知らない送信者なら操作しないほうが安全です。

迷惑メールの送信者に対して返信したり、指定されたページを開いたりすると、自分から相手側へ接触することになります。本当に利用しているサービスからのメールか確認したい場合は、メールのリンクやQRコードではなく、公式アプリやブックマークした公式サイトから確認します。

IPAも、突然届いた身に覚えのないメールやSMSは基本的に無視して削除し、利用中のサービスに関する内容なら正規サイトや公式アプリから確認するよう案内しています。[参照] IPA「情報セキュリティ安心相談窓口」

不審なQRコードメールを受信したときの安全な対応

知らない相手からQRコード付きメールが届いたときは、次の順番で対応すると分かりやすいでしょう。

• QRコードを読み取らない
• メール内のURLを開かない
• 添付ファイルを開かない
• メールへ返信しない
• 記載された電話番号へ電話しない
• 迷惑メールとして報告・削除する
• 本物か確認する必要がある場合は公式アプリや公式サイトから確認する

例えば銀行を名乗るメールに「重要なお知らせ。QRコードから本人確認してください」と書かれていたとしても、そのQRコードは使いません。普段利用している銀行の公式アプリを自分で起動し、同じ案内が掲載されているか確認する方法が安全です。

実際に金銭被害やアカウントの不正利用などが発生した場合は、サービス事業者や金融機関へ連絡するとともに、必要に応じて警察へ相談します。警察庁はフィッシング被害について、最寄りの警察署またはサイバー事案に関するオンライン窓口への相談を案内しています。[参照] 警察庁「フィッシング対策」

まとめ：知らない相手のQRコードは読み取らず削除でOK

見ず知らずのメールアドレスから突然QRコードが送られてきた場合、それだけでオレオレ詐欺と断定することはできません。しかし、QRコードを利用して偽サイトへ誘導する「クイッシング」は実際に確認されているため、心当たりのないQRコードを読み取る必要はありません。

QRコードを読み取らず、リンクや添付ファイルも操作せず、ごみ箱へ捨てただけなら基本的には適切な対応です。メールを見ただけで直ちにパスワードやカード情報が盗まれたと考える必要もありません。

一方、QRコードからアクセスしたページでID・パスワード、カード情報などを入力してしまった場合は対応が変わります。正規サイトからパスワードを変更する、カード会社へ相談するなど、入力した情報に応じた対処を早めに行いましょう。