QRコードは便利ですが、「読み取っただけ」で安心できるとは限りません。実際には、QRコードのリンク先で偽ログイン画面や偽決済画面を開かせ、入力させた情報を盗む手口が増えています。
慌てて操作を続けたり、アプリを削除したりすると、痕跡が消える恐れがあり、何が起きたのかを後から正確に確認しにくくなることがあります。
そこで本記事では、QRコードによる情報抜き取りの代表的な手口と、怪しいQRコードを読み取ってしまった場合の安全な対処法を解説します。
目次
QRコードによる情報抜き取りとは
QRコード自体に「情報が詰め込まれていて、それを読んだ瞬間に抜き取られる」というよりも、主なリスクはリンク先で起きます。
たとえば、QRコードから偽サイトへ誘導し、ID・パスワードやカード情報を入力させたり、悪意のあるファイルをダウンロードさせたりして被害につなげます。
このようなQRコードを悪用したフィッシングは「クイッシング」と呼ばれ、紙のチラシ・請求書・店頭ポップ・メール本文など、身近な場所に紛れ込む点が特徴です。
見た目では正規の案内と区別がつきにくいため、リンク先の確認と、入力やダウンロードを急がない姿勢が重要です。
情報抜き取りに使われる主な手口
QRコードを悪用する攻撃は、リンク先で「入力させる」「インストールさせる」「振込先や決済先をすり替える」という流れで成立します。代表的なパターンを把握しておくと、違和感に気づきやすくなります。
フィッシングサイトへ誘導して入力させる
本物そっくりのログイン画面や決済画面を用意し、QRコードからそこへ誘導してID・パスワード、ワンタイムコード、カード情報、住所・氏名などを入力させます。
「支払い方法に問題があります」「至急ご確認ください」といった文言で焦らせ、確認や手続きを装って入力を促すのが典型です。
マルウェア配布サイトへ誘導して感染させる
QRコード先のサイトで、不正なアプリやPDF、構成ファイルなどのダウンロードを促し、端末にマルウェアを入れる手口です。感染後は、キーボード入力の記録、画面情報の取得、認証情報の窃取、遠隔操作などにつながる可能性があります。
ダウンロードやインストールの画面が出た時点で、いったん立ち止まることが重要です。
偽QRコードで決済・振込情報をすり替える
請求書や店頭ポップなどにある正規QRコードの上から偽コードを貼り、読み取ると攻撃者の口座や偽決済ページへ飛ぶようにします。見た目の印刷物が自然でも、QRコード部分だけが差し替えられているケースがあるため、支払い前の確認が欠かせません。
抜き取り対象となる情報
QRコード経由の攻撃で狙われる情報は、入力した情報に限りません。端末内やクラウドに保存された情報が、感染や不正ログインをきっかけに盗まれることもあります。
ログイン認証情報
各種クラウドサービスやSNS、メールのID・パスワードが狙われます。加えて、ワンタイムコードや認証アプリの確認を促すなど、二要素認証を突破しようとする誘導も起き得ます。
認証情報が盗まれると、本人になりすまして設定変更や追加の詐欺に使われることがあります。
個人情報・支払い情報
氏名・住所・電話番号・生年月日などの個人情報に加え、クレジットカード番号や銀行口座情報、請求情報などが狙われます。決済画面の入力を促された場合は、とくに注意が必要です。
デバイス内の情報
マルウェア感染が起きると、端末内の連絡先、保存ファイル、写真、業務用アプリのデータなどが対象になります。タイプによっては遠隔操作が可能になり、長期間にわたって情報が盗まれるリスクもあります。
怪しいQRコードを読み取ってしまった場合の対処法
不審なQRコードを読んでしまっても、被害を確定させないためにできることはあります。大切なのは「操作を止める」「入力した情報に応じて対処する」「記録を残す」という順番を守ることです。
その場での操作を止める
不審な画面が開いた時点で、入力や同意を続けないことが最優先です。ログインやカード番号の入力を求められても、画面を閉じて操作を中断してください。URLを確認できない状態で「同意」「続行」を押すと、次の誘導に進んでしまうことがあります。
- 入力や同意操作を止め、ブラウザやアプリを閉じます。
- 画面のスクリーンショットを撮り、表示内容と時刻を残します。
- 開いたURLを可能な範囲で控えます。
入力してしまった情報に応じた緊急対応
ID・パスワードを入力した場合は、別の安全な端末から該当サービスのパスワードを変更し、多要素認証を有効化してください。クレジットカード情報を入力した場合は、カード会社へ連絡し、不正利用確認と利用停止・再発行を依頼することが重要です。
- 入力した情報の種類（ID・PW、カード情報、住所など）を整理します。
- アカウントはパスワード変更と多要素認証の有効化を行います。
- 決済情報はカード会社・金融機関へ連絡し、利用停止や確認を依頼します。
アプリ／ファイルを入れてしまった場合の対処
ダウンロードしたファイルやインストールしたアプリがある場合は、端末内の情報が盗まれる経路になっていないか注意が必要です。削除だけで安心できないケースもあるため、セキュリティアプリでフルスキャンを実施し、異常があれば追加対応を検討してください。
- インストール履歴やダウンロード履歴を確認し、該当アプリ・ファイルを特定します。
- 端末のセキュリティ機能または信頼できるセキュリティアプリでフルスキャンを実施します。
- 不審な権限（連絡先、SMS、アクセシビリティ等）を持つアプリがないか確認します。
証拠となり得るデータの保全と報告
組織や業務端末の場合、自己判断で初期化や大きな設定変更を行うと、後から事実確認が難しくなることがあります。
QRコードや遷移先URL、参照元のメールや紙面の写真、画面のスクリーンショットなど、状況を説明できる材料を残し、情報システム部門やCSIRTへ報告してください。
- QRコードの写真、遷移先URL、表示画面のスクリーンショットを保存します。
- 参照元（メール、紙の通知、店頭掲示など）を特定し、原本を保管します。
- 組織の窓口（情シス、CSIRT、上長）へ、入力有無やダウンロード有無を含めて報告します。
安全にQRコードを使うための予防策
被害を避けるには「読む前」「開いた直後」「入力前」の3段階で止まれるポイントを作ることが重要です。日常的なクセとして取り入れると、クイッシングへの耐性が上がります。
URLのドメインを確認してから開く
QRコード読み取り後に表示されるURLは、開く前にドメインを確認してください。似た文字の置き換えや、正規サービス名に見せた別ドメインが使われることがあります。短縮URLの場合は、可能なら展開してから判断することが安全です。
入力や決済は公式アプリ・公式ブックマークから行う
ログインや決済が必要な手続きは、QRコードから開いた画面でそのまま入力せず、公式アプリや公式サイトのブックマークからアクセスし直す方法が有効です。これだけで、偽サイトへの入力を避けられるケースがあります。
端末の基本設定を見直して被害を小さくする
OSとアプリを最新に保ち、不審なアプリのインストールを避け、アプリ権限（カメラ・SMS・連絡先など）を定期的に見直すことが有効です。多要素認証を有効にしておくと、認証情報が漏れた場合でも被害を抑えられる可能性があります。
詳しく調べる際はフォレンジック調査会社に相談を
サイバー攻撃、不正アクセス、マルウェア感染のような問題が発生した場合、どのような経路で、どのような情報が漏えいしたのか、被害の全容を正確に把握する必要があります。適切な調査によって原因究明を行うためにも、フォレンジック調査の専門家に相談することが重要です。
特に、法的手続きが絡むケースや被害が広範囲に及ぶ場合は、専門家の力を借りることで被害の最小化と信頼性の高い証拠の収集が可能です。
>情報漏えい時の個人情報保護委員会への報告義務とは？詳しく解説
当社では、インシデント対応のプロが初動対応から、専門設備でのネットワークや端末の調査・解析、調査報告書の提出、ならびに報告会によって問題の解決を徹底サポートします。
フォレンジックサービスの流れや料金については下記からご確認ください。
【初めての方へ】フォレンジックサービスについて詳しくご紹介
【サービスの流れ】どこまで無料？ 調査にかかる期間は？ サービスの流れをご紹介
【料金について】調査にかかる費用やお支払方法について
【会社概要】当社へのアクセス情報や機器のお預かりについて
デジタルデータフォレンジックの強み
デジタルデータフォレンジックは、迅速な対応と確実な証拠収集で、お客様の安全と安心を支える専門業者です。デジタルデータフォレンジックの強みをご紹介します。
累計相談件数47,431件以上のご相談実績
官公庁・上場企業・大手保険会社・法律事務所・監査法人等から個人様まで幅広い支持をいただいており、累積47,431件以上（※1）のご相談実績があります。また、警察・捜査機関から累計409件以上（※2）のご相談実績があり、多数の感謝状をいただいています。
（※1）集計期間：2016年9月1日～
（※2）集計機関：2017年8月1日～
国内最大規模の最新設備・技術
自社内に40名以上の専門エンジニアが在籍し、17年連続国内売上No.1のデータ復旧技術(※3)とフォレンジック技術でお客様の問題解決をサポートできます。多種多様な調査依頼にお応えするため、世界各国から最新鋭の調査・解析ツールや復旧設備を導入しています。
（※3）第三者機関による、データ復旧サービスでの売上の調査結果に基づく。(2007年～2023年)
24時間365日スピード対応
緊急性の高いインシデントにもいち早く対応できるよう24時間365日受付しております。
ご相談から最短30分で初動対応のWeb打合せを開催・即日現地駆けつけの対応も可能です。（法人様限定）自社内に調査ラボを持つからこそ提供できる迅速な対応を多数のお客様にご評価いただいています。
デジタルデータフォレンジックでは、相談から初期診断・お見積りまで24時間365日体制で無料でご案内しています。今すぐ専門のアドバイザーへ相談することをおすすめします。
調査の料金・目安について
専門のアドバイザーがお客様の状況を伺い、概算の見積りと納期をお伝えいたします。
機器を来社お持込み、またはご発送頂ければ、無料で正確な見積りのご提出が可能です。
まずはお気軽にお電話下さい。
【法人様限定】初動対応無料（Web打ち合わせ・電話ヒアリング・現地保全）
❶無料で迅速初動対応
お電話でのご相談、Web打ち合わせ、現地への駆け付け対応を無料で行います（保全は最短2時間で対応可能です。）。
❷いつでも相談できる
365日相談・調査対応しており、危機対応の経験豊富なコンサルタントが常駐しています。
❸お電話一本で駆け付け可能
緊急の現地調査が必要な場合も、調査専門の技術員が迅速に駆け付けます。（駆け付け場所によっては出張費をいただく場合があります）
よくある質問
対応内容・期間などにより変動いたします。
詳細なお見積もりについてはお気軽にお問い合わせください。
専門のアドバイザーがお客様の状況を伺い、概算の見積りと納期をお伝えいたします。
可能です。当社は特定の休業日はございません。緊急度の高い場合も迅速に対応できるように、365日年中無休で対応いたしますので、土日祝日でもご相談下さい。
もちろん可能です。お客様の重要なデータをお取り扱いするにあたり、当社では機密保持誓約書ををお渡しし、機器やデータの取り扱いについても徹底管理を行っております。また当社では、プライバシーの保護を最優先に考えており、情報セキュリティの国際規格（ISO24001）およびPマークも取得しています。法人様、個人様に関わらず、匿名での相談も受け付けておりますので、安心してご相談ください。
この記事を書いた人
デジタルデータフォレンジック
エンジニア
