QRコードのリスク

QRコードのここがダメ？（森井昌克） - エキスパート - Yahoo!ニュース (2017/08/20)

『導入が簡単であるばかりか誰でも勝手に作れてしまうQRコードという原始的な仕組みと書かれているように、QRコード自体には不正な利用に対する対策は何ら取られていません。パスワードと同様、導入や使い勝手も簡単なゆえに利用については、より深い理解と注意が必要です。』

 

QRコードを読み込むだけでお金が無くなる？　それ以外でもこんな被害が！（森井昌克） - エキスパート - Yahoo!ニュース (07/14)

『QRコードはURLだけでなく、Wi-Fi設定、決済命令、SNS連携など多彩な機能を含むことができ、

　 見た目ではそれが危険なコードなのかを判別することは不可能です。

…

お金の被害だけではありません。過去には、街角で「これを読み込むとイベント情報が見られます」などと声をかけられ、誘導されるままにQRコードを読み取ったところ、LINEの友達として自動追加され、その後イベントの勧誘がしつこく送られてきたという事例も報告されています。さらには、フィッシングサイトに飛ばされ、意図せず個人情報やクレジットカード情報を入力させられてしまうケースもあります。』

…

一部の高機能QRリーダーでは、スキャン後にURLの危険性を判定したり、アクセス前に確認画面を挟む機能が備わっています。』

 

QRコードのセキュリティ対策、欧米と日本の違い

---

 日本のQRコードセキュリティ対策

1. 普及率と意識のギャップ

日本ではQRコードの利用率は約6割にとどまり、欧米や中国に比べて普及が遅れているとされます [1] [2]。その背景には、セキュリティ意識の低さや、QRコード決済に対する不安感があると指摘されています。

2. 典型的な脅威と事例

• 偽装QRコードによるフィッシング：ポスターやチラシに貼られたQRコードが、実は偽サイトに誘導するものである事例が報告されています [3]。
• 短縮URLの悪用：QRコードに埋め込まれた短縮URLが、悪質な広告や詐欺サイトに誘導するケースも確認されています。
• 決済アプリの脆弱性：PayPayなどのQRコード決済では、スキャン後に即座に決済が完了する仕様が悪用され、数十万円の被害が発生した事例もあります。

3. 対策の現状

• 利用者への注意喚起が中心で、技術的な対策（例：QRコードの署名検証や読み取り前の警告表示など）は限定的。
• 一部企業では、QRコードの読み取り時にアドレス確認や警告表示を導入しているが、標準化は進んでいない [3]。

---

 欧米のQRコードセキュリティ対策

1. 普及と文化的背景

欧米ではQRコードの利用率が8〜9割と高く、特にレストランのメニューやイベントチケット、医療情報など多様な場面で活用されています [1] [6]。

2. セキュリティ設計の違い

• セキュリティ機能付きQRコード：一部の企業では、QRコードに電子署名や暗号化を施し、改ざんや偽装を防止する技術が導入されています [3]。
• 読み取りアプリの安全設計：欧米の多くのQRコードリーダーアプリでは、読み取り後にURLの安全性を評価し、警告を表示する機能が標準搭載されています [7]。
• 企業側の対策強化：QRコードを用いた決済や認証においては、二要素認証やトランザクション確認画面の導入が一般的です [8]。
  
  

---

 比較表：日本 vs 欧米

項目	日本	欧米
普及率	約6割	約8〜9割
主な脅威	偽装QRコード、短縮URL、決済アプリの脆弱性	偽装QRコード、フィッシング、改ざん
技術的対策	限定的（注意喚起中心）	電子署名、URL評価、警告表示など
利用者教育	一部企業が実施	業界全体で啓発活動が活発
決済安全性	スキャン即決済が多く、誤操作リスクあり	二要素認証や確認画面が標準化

---

QRコードは便利な一方で、セキュリティリスクも高まっています。欧米では技術的・制度的な対策が進んでいるのに対し、日本ではまだ利用者任せの部分が多く、今後の標準化や教育が課題です。

References

[1] 【世界のQRコード実態調査】日本はQRコード「後進国」？中国・欧米が使用率8～9割を超えるなか、日本は6割にとどまる結果に。

[2] 日本のQRコード普及、海外に遅れ コロナ禍で利用場面拡大も - ITmedia NEWS

[3] QRコードのセキュリティ対策｜偽装QRコードの仕組みや被害事例について徹底解説｜サイバーセキュリティ.com

…

[6] 【海外のQRコード決済事情】国別の特徴と最新動向を徹底解説！

[7] QRコードのセキュリティ：QRコードの概要と安全に使用する方法

[8] 【2025年最新】QRコード決済の最新動向とセキュリティ対策｜不正利用を防ぐDigishot®とは？ QRコード決済の普及が進む一方で、不正 ...

 

関連

PayPay詐欺 (06/26)

その他、関連記事クエリー → https://akasaka-taro.blogspot.com/search?q=QR%E3%82%B3%E3%83%BC%E3%83%89

スマホを狙う「偽基地局」が増加中？

偽基地局に繋がる仕組みや接続を避ける自衛策とは（スマホライフPLUS） - Yahoo!ニュース (07/10)

『4G/5Gでは端末と基地局が相互に正当性を確認（双方向認証）しますが、

2Gでは基地局が端末を認証するのみで、端末側は接続先の基地局が本物かどうかを確認する仕組みがありません。 さらに2Gで使われる暗号化技術は古く、現代の計算能力では簡単に解読可能とされています。これにより、通信内容の盗聴や改ざんが比較的簡単に行えてしまいます。

…

主な目的は以下の通りです。

・フィッシング詐欺：銀行やクレジットカード会社を装った偽のSMSを送りつけ、フィッシングサイトへ誘導し、ID、パスワード、個人情報を盗み取る。

・情報収集：端末固有の識別番号であるIMSI（国際移動体加入者識別番号）やIMEI（国際移動体装置識別番号）を収集する。

・通信傍受：暗号化が脆弱な2G通信を介して、通話内容やSMSメッセージを盗聴する。

』

関連

https://akasaka-taro.blogspot.com/search?q=%E5%9F%BA%E5%9C%B0%E5%B1%80

フィッシングによるものとみられるインターネットバンキングによる預金の不正送金被害が急増しています

https://www.fsa.go.jp/ordinary/internet-bank_2.html (2024/01/24)

『メールやショートメッセージサービス（SMS）、メッセージツール等を用いたフィッシングと推察される手口により、インターネットバンキング利用者のＩＤ・パスワード等を盗み、預金を不正に送金する事案が多発しています。』

Q. 犯人側にリスクがあるのに何故?

A. SMSによるフィッシング（いわゆる「スミッシング」）は、確かに犯人側にとってリスクがある手法です。

　　以下に、犯人目線でのリスクや避けられる理由をいくつか挙げてみます。

---

■ SMSフィッシングが「足が付きやすい」理由

1. 電話番号のトレースが可能
• SMSは携帯電話番号を使うため、通信キャリアや警察が捜査すれば、送信元の端末や契約者情報にたどり着ける可能性があります。
2. 送信元の偽装が難しい
• メールと違ってSMSは送信元の番号を偽装するのが難しく、送信元が特定されやすいです（ただし、SMS送信サービスを使って偽装する手法も存在します）。
3. 国内法の適用範囲が広い
• SMSは基本的に国内の通信インフラを使うため、日本国内での捜査がしやすく、国際的な捜査協力が不要な場合もあります。
4. SMS送信にはコストがかかる
• 大量送信には費用がかかるため、犯人にとってはリスクとコストのバランスが悪い。
5. 端末の物理的証拠が残る
• SMSを送るには端末が必要であり、押収された場合に証拠が残りやすいです。

---

■ それでもSMSフィッシングが使われる理由

• 高い開封率：メールよりもSMSの方が開封率が高く、リンクをクリックされる可能性が高い。
• 信頼性の錯覚：SMSは「公式っぽく」見えるため、受信者が疑いにくい。
• ターゲットが広い：スマホを持っている人なら誰でも対象になり得る。

---

 

Q. SMS送信サービスを使った偽装手法とは

A. フィッシング犯が自分の電話番号を使わずに、第三者のサービスを経由してSMSを送信することで、送信元情報を隠したり、信頼性を装ったりする手法です。以下に代表的な方法を紹介します。

---

■ SMS送信サービスによる偽装の主な手法

1. SMSゲートウェイサービスの悪用
• 一部のSMS送信サービス（Twilio、Nexmo、ClickSendなど）は、APIを使って任意の番号や名前を送信元として設定できる場合があります。
• これを悪用すると、「銀行名」や「宅配業者名」などを送信元として表示させることが可能です（ただし、正規のサービスでは本人確認や制限がある）。
2. アルファベット送信元（Sender ID）の偽装
• 一部の国やキャリアでは、SMSの送信元を電話番号ではなく「文字列（例：JP_BANK）」として表示できる機能があります。
• これを使って、公式っぽい名前を表示させることで信頼性を装うことができます。
3. 海外のSMS送信サービスの利用
• 海外の規制が緩いサービスを使えば、送信元の偽装がしやすく、国内の捜査が及びにくくなります。
• VPNや仮想通貨を使って匿名でアカウントを作成することも可能。
4. SIMボックスやSMSスプーフィングツールの使用
• SIMカードを大量に挿した機器（SIMボックス）を使って、物理的に大量のSMSを送信する。
• 一部のハッキングツールでは、送信元番号を偽装することも可能（ただし、技術的・法的リスクが高い）。

---

■ ただし注意点

• 多くのSMS送信サービスは、不正利用を防ぐために厳しい審査や監視を行っています。
• 日本国内では、SMS送信元の偽装は違法行為に該当する可能性が高く、通信事業法や刑法に抵触することがあります。
• キャリア側も、フィッシングSMSの検知・ブロック技術を強化しており、成功率は下がってきています。

---

 

Q. 事例

A. 以下は、実際に報告された偽SMS（スミッシング）詐欺のスクリーンショット例や文面の一部です。これらは日本国内で確認された事例で、信頼できる企業を装って個人情報を盗もうとする手口が使われています。

---

■ 偽SMSのスクリーンショット例（文面）

 宅配業者を装った例（ヤマト運輸・佐川急便など）

「お荷物のお届けにあがりましたが不在のため持ち帰りました。下記よりご確認ください。https://bit.ly/xxxxxx」

• 特徴：短縮URLを使用し、再配達を装って偽サイトへ誘導。
• 見た目：送信元が「YAMATO」などの文字列になっていることも。

 銀行を装った例（三井住友銀行など）

「【SMBC】お客様の口座に不正アクセスがありました。確認はこちら：https://smbc-secure.com/xxxx」

• 特徴：緊急性を煽る文面で、偽サイトに誘導しログイン情報を盗む。
• 見た目：本物そっくりのURLや銀行名を使う。

 通信事業者を装った例（ドコモ・auなど）

「【ドコモ】dアカウントがロックされました。解除はこちら：https://docomo-auth.com/xxxx」

• 特徴：アカウント停止などの不安を煽る内容。
• 見た目：送信元が「DOCOMO」などになっている場合も。

 ECサイトを装った例（Amazon・楽天など）

「【Amazon】プライム会費のお支払いに問題があります。確認はこちら：https://amazon-prime.jp/xxxx」

• 特徴：支払いトラブルを装ってカード情報を盗む。
• 見た目：本物のAmazonからの通知に酷似。

---

■ スクリーンショット付きの事例紹介ページ

以下のページでは、実際の偽SMSの画面例や手口の詳細が掲載されています：

• IPA（情報処理推進機構）による偽SMSの事例と画面例 [1]
• ドコモのセキュリティ対策ページ：SMS詐欺の事例と予防策 [2]
• サイバーセキュリティ.com：スミッシングの実例と対処法 [3]

---

References

[1] 【2025年最新】フィッシング詐欺の事例8選！対策と被害に遭った時の対処法も解説

[2] スミッシングとは？手口・被害事例・効果的な対策を徹底解説｜総合ネットセキュリティサービス｜GMOセキュリティ24

[3] フィッシング詐欺の実例 | お知らせ | NTTドコモ

 

CISA が Known Exploited Vulnerabilities (KEV) カタログに 2+1+3 個の脆弱性を追加

CISA Adds Two Known Exploited Vulnerabilities to Catalog (06/16)

CISA has added two new vulnerabilities to its Known Exploited Vulnerabilities (KEV) Catalog, based on evidence of active exploitation. 

• CVE-2025-43200 Apple Multiple Products Unspecified Vulnerability
• CVE-2023-33538 TP-Link Multiple Routers Command Injection Vulnerability

 

CISA Adds One Known Exploited Vulnerability to Catalog (06/17)

CISA has added one new vulnerability to its Known Exploited Vulnerabilities (KEV) Catalog, based on evidence of active exploitation. 

•  CVE-2023-0386 Linux Kernel Improper Ownership Management Vulnerability 

CISA Adds Three Known Exploited Vulnerabilities to Catalog (06/25)

CISA has added three new vulnerabilities to its Known Exploited Vulnerabilities (KEV) Catalog, based on evidence of active exploitation.

• CVE-2024-54085 AMI MegaRAC SPx Authentication Bypass by Spoofing Vulnerability
• CVE-2024-0769 D-Link DIR-859 Router Path Traversal Vulnerability
• CVE-2019-6693 Fortinet FortiOS Use of Hard-Coded Credentials Vulnerability