QRコードのリスク

QRコードのここがダメ？（森井昌克） - エキスパート - Yahoo!ニュース (2017/08/20)

『導入が簡単であるばかりか誰でも勝手に作れてしまうQRコードという原始的な仕組みと書かれているように、QRコード自体には不正な利用に対する対策は何ら取られていません。パスワードと同様、導入や使い勝手も簡単なゆえに利用については、より深い理解と注意が必要です。』

 

QRコードを読み込むだけでお金が無くなる？　それ以外でもこんな被害が！（森井昌克） - エキスパート - Yahoo!ニュース (07/14)

『QRコードはURLだけでなく、Wi-Fi設定、決済命令、SNS連携など多彩な機能を含むことができ、

　 見た目ではそれが危険なコードなのかを判別することは不可能です。

…

お金の被害だけではありません。過去には、街角で「これを読み込むとイベント情報が見られます」などと声をかけられ、誘導されるままにQRコードを読み取ったところ、LINEの友達として自動追加され、その後イベントの勧誘がしつこく送られてきたという事例も報告されています。さらには、フィッシングサイトに飛ばされ、意図せず個人情報やクレジットカード情報を入力させられてしまうケースもあります。』

…

一部の高機能QRリーダーでは、スキャン後にURLの危険性を判定したり、アクセス前に確認画面を挟む機能が備わっています。』

 

QRコードのセキュリティ対策、欧米と日本の違い

---

 日本のQRコードセキュリティ対策

1. 普及率と意識のギャップ

日本ではQRコードの利用率は約6割にとどまり、欧米や中国に比べて普及が遅れているとされます [1] [2]。その背景には、セキュリティ意識の低さや、QRコード決済に対する不安感があると指摘されています。

2. 典型的な脅威と事例

• 偽装QRコードによるフィッシング：ポスターやチラシに貼られたQRコードが、実は偽サイトに誘導するものである事例が報告されています [3]。
• 短縮URLの悪用：QRコードに埋め込まれた短縮URLが、悪質な広告や詐欺サイトに誘導するケースも確認されています。
• 決済アプリの脆弱性：PayPayなどのQRコード決済では、スキャン後に即座に決済が完了する仕様が悪用され、数十万円の被害が発生した事例もあります。

3. 対策の現状

• 利用者への注意喚起が中心で、技術的な対策（例：QRコードの署名検証や読み取り前の警告表示など）は限定的。
• 一部企業では、QRコードの読み取り時にアドレス確認や警告表示を導入しているが、標準化は進んでいない [3]。

---

 欧米のQRコードセキュリティ対策

1. 普及と文化的背景

欧米ではQRコードの利用率が8〜9割と高く、特にレストランのメニューやイベントチケット、医療情報など多様な場面で活用されています [1] [6]。

2. セキュリティ設計の違い

• セキュリティ機能付きQRコード：一部の企業では、QRコードに電子署名や暗号化を施し、改ざんや偽装を防止する技術が導入されています [3]。
• 読み取りアプリの安全設計：欧米の多くのQRコードリーダーアプリでは、読み取り後にURLの安全性を評価し、警告を表示する機能が標準搭載されています [7]。
• 企業側の対策強化：QRコードを用いた決済や認証においては、二要素認証やトランザクション確認画面の導入が一般的です [8]。
  
  

---

 比較表：日本 vs 欧米

項目	日本	欧米
普及率	約6割	約8〜9割
主な脅威	偽装QRコード、短縮URL、決済アプリの脆弱性	偽装QRコード、フィッシング、改ざん
技術的対策	限定的（注意喚起中心）	電子署名、URL評価、警告表示など
利用者教育	一部企業が実施	業界全体で啓発活動が活発
決済安全性	スキャン即決済が多く、誤操作リスクあり	二要素認証や確認画面が標準化

---

QRコードは便利な一方で、セキュリティリスクも高まっています。欧米では技術的・制度的な対策が進んでいるのに対し、日本ではまだ利用者任せの部分が多く、今後の標準化や教育が課題です。

References

[1] 【世界のQRコード実態調査】日本はQRコード「後進国」？中国・欧米が使用率8～9割を超えるなか、日本は6割にとどまる結果に。

[2] 日本のQRコード普及、海外に遅れ コロナ禍で利用場面拡大も - ITmedia NEWS

[3] QRコードのセキュリティ対策｜偽装QRコードの仕組みや被害事例について徹底解説｜サイバーセキュリティ.com

…

[6] 【海外のQRコード決済事情】国別の特徴と最新動向を徹底解説！

[7] QRコードのセキュリティ：QRコードの概要と安全に使用する方法

[8] 【2025年最新】QRコード決済の最新動向とセキュリティ対策｜不正利用を防ぐDigishot®とは？ QRコード決済の普及が進む一方で、不正 ...

 

関連

PayPay詐欺 (06/26)

その他、関連記事クエリー → https://akasaka-taro.blogspot.com/search?q=QR%E3%82%B3%E3%83%BC%E3%83%89

PayPay詐欺

【追記ありx3】PayPayで一瞬にして73万円を騙し取られた話（1万円しかチャージしてなかったのに）｜Appliss (06/18-25)

『PayPay側の問題点

• QRコードの説明がない: … QRコードが具体的にどのような処理を行うのか、アプリ側にも明確な説明や注意喚起が一切ありませんでした … スキャン前にそのリスクを認識することが極めて困難です。
• 権限の過剰付与: …

自身の落ち度

• 安易なQRコードのスキャン: … QRコードのスキャンは、とてもリスクの高い操作であることを認識しておくべきでした。
• PayPayへの理解不足: そもそも残高が1万円だからそれ以上の被害はないだろうと思っていました。スキャンしただけでここまで権限を許してしまうPayPayの仕様への理解不足が、今回の詐欺被害に繋がったと深く反省しています。

』

 

PayPayのフィッシングが簡単すぎた話｜j416dy (06/19)

『…

QRコードのみPayPayから発行された本物のこのUIのみではスキャンするだけで抜かれるとはわからないでしょう

 

何が悪かったか

大きな失点が2点あります。

·       スマホの操作がQRコード2連続スキャンのみで、スキャン後も「連携完了」以上の情報がなく、フィッシングされると何が起きたかわからない

·       WINTICKETとPayPayと名義相違していもチェックがないと思われる

…

自衛策

口座連携をしない、と言っても都度削除は面倒だと思うので・・・。
右下のアカウント→「利用可能額の設定」より、チャージ上限が設定可能です。
日常利用に影響しない範囲で上限を設定しておきましょう。

』

 

PayPayカードを騙るフィッシングメールにご注意ください - PayPayからのお知らせ (06/20)

 

QRコードを2回読み取っただけで、73万円を不正に引き出された──PayPay巡る被害に「怖すぎ」の声　その巧妙な手口とは（1/3 ページ） - ITmedia NEWS (06/21)

『PayPay社の対策状況 …

被害を受けたユーザーに対しては「第三者による被害であると確認された場合、PayPayが用意する補償制度の対象となる」としており、申請フォームからの申告を呼びかけている。必要に応じて警察や関係機関との連携も図っていく方針だ。

』

 

PayPayがフィッシングに注意喚起、不審なメールのリンクは開かず、サービス連携の確認を - INTERNET Watch (06/25)

『

当該事象を受け、同社ではQRコードを用いたアカウント連携を停止し、別の方法でアカウント連携を行う際には、ハーフシート（画面下からポップアップのように表示されるメッセージ）により連携先が表示され、明確に実行の操作をしない限り連携されないように仕様変更を実施。あわせて、スマートペイメントに関するモニタリング強化も実施しており、当該事象のような詐欺による被害は、本記事の公開時点では発生しないとしている。

』

関連

ＱＲコード詐欺　https://akasaka-taro.blogspot.com/2025/05/qr.html

---> 08/09追記

パソコン博士TAIKIさんの動画。対策設定手順が分かり易い　↓

【史上最悪】PayPay詐欺の新手口がヤバすぎる！銀行口座から勝手に出金！預金が奪われる！絶対に騙されるな！  (08/08)

QRコード詐欺

日本で新手の「QRコード詐欺」が急増中!便利さの裏に潜む罠を解説（ピンズバNEWS） - Yahoo!ニュース (05/23)

『誰でも無料ツールで簡単にQRコードを作れるため、見た目では正規かどうかの判別が難しくなっています。

国民生活センターには、QRコード詐欺に関する相談が過去に例を見ないペースで寄せられているといいます。

…

　商品の購入代金として銀行振込で決済したところ、ショップから欠品につきキャンセルするとのメールが届き、「PayPayで返金するのでQRコードを送って下さい」などの指示に従ううちに、21万4890円をだまし取られた…

 

　最近では、駅や街角のポスターに本物そっくりの偽QRコードが重ね貼りされる手口も確認されています。読み取った先で個人情報の入力を求められ、知らぬ間に情報が抜き取られるケースが後を絶ちません。

 

　特に急増しているのが「返金詐欺」と呼ばれる手口です。返金を装ってLINEアカウントへ誘導し、送られてきたQRコードを読み取ると、知らぬ間にお金を送金させられるというもの。2024年にはこの手口による相談が前年の20倍に達しました。ある男性はネットで購入した衣類が「在庫切れ」とされ、返金案内の名目で送られたQRコードを読み取ったところ、約10万円が送金されてしまいました。

…

私たちが自分の身を守るには、まずQRコードが信頼できる情報源かどうかを見極めることが重要。「至急」「重要」といった言葉で不安をあおるケースや、不自然な日本語、URLのスペルミスなどにも注意を払う必要があります。

』

 

関連

PayPay詐欺 https://akasaka-taro.blogspot.com/2025/06/paypay.html

memo: QRコード詐欺「クイッシング」、IMSIウォッチャー、中高生のサイバー犯罪

QRコード詐欺「クイッシング」の基礎解説　サイバー攻撃者が仕掛ける3つのワナ - キーマンズネット (04/16)

『不明確なソースや予期せぬソースに添付されているQRコードのスキャンを禁止する …

公式なルートで配信されたメールであっても、添付されたQRコードの正当性を確認する …

QRコードを悪用した攻撃シナリオを含む定期的な予行演習 …

QRコードを使った攻撃を特定して、無効化できるソリューションの導入 …

企業が「加害者」にならないため … QRコードを使用した取引は避け、代わりに従来の方法を使い続ける … 』

 

スマホの回線を乗っ取る、“ニセ基地局”が国内で出現　詐欺SMSを強制送信　携帯各社も対策へ - ITmedia NEWS (04/15)

ついに日本でも、『「偽基地局」（IMSIキャッチャー）の存在が、東京都内や大阪市などで確認 …』

 

中高生がＡＩ悪用し通信回線を取得、サイバー犯罪拡散…ＳＮＳで手口を情報交換 : 読売新聞 (04/15)

『個人情報の売買は主にダークウェブ（闇サイト）上で行われてきたが、テレグラムに移った』

 

ニュース：1.QRコード事件、2.ブッキング・ドットコム悪用

・「いなげや」QRコードから不正サイトに誘導、カード情報抜き取られる被害 (11/10)

https://www.itmedia.co.jp/news/articles/2311/10/news120.html

『ネットスーパーの入会案内ポスター／チラシに記載したQRコードが、予定していない不正サイトにアクセスする事象が発生し、一部の顧客のクレジットカード情報が抜き取られる被害が発生した』

 

　短縮URLサービス利用時に表示された悪質な広告についてまとめてみた (11/12)

https://piyolog.hatenadiary.jp/entry/2023/11/12/014635

『QRコードの読込先として記載されていたURLは .. 短縮URLサービス「オンラインツール (onl.jp)」を使用していた .. 短縮先として指定されたURLへ遷移する前に当該サービスの読込ページが表示される場合があり .. 「Start」や「OK」などと誤ってつい押してしまいそうな悪質な広告が配信される場合がある .. そのまま操作を進めると「モバイルアクティベーションをする必要がある」などと何らかの入会などを装うサイトに接続し、クレジットカード情報の入力画面に誘導される。』

 

・オートバックスのDMにあるQRコードにアクセスしたら詐欺サイトに飛ばされてクレカ決済されてしまった「QRコードを乗っ取られた？」 (11/11)

https://togetter.com/li/2257076

 

・ブッキング・ドットコム悪用して客のカード情報盗む　世界規模で被害 (11/11)

　https://www.asahi.com/articles/ASRCC5GK1RC2ULZU00D.html

『世界最大級の宿泊予約サイト「ブッキング・ドットコム」の仕組みが悪用され、ホテルなど宿泊施設のパソコン端末がハッキングされて予約客のクレジットカード情報が盗まれる被害が、今年5月以降に日本国内で相次いでいる..

今回の被害は何者かが旅行者を装い、ホテルに英文のメールを送りつけることで始まる。メールにはウイルス感染を誘発するリンクが埋め込まれており、ブッキング・ドットコム用のホテルのID、パスワードを詐取。何者かはそれを使ってブッキング・ドットコムのサイトに不正にアクセスし、ホテルを装って旅行者にメッセージを送る。「事前決済が必要」と虚偽を伝え、同社に似せた偽サイトにカード番号を入力させて盗む、「フィッシング」という手法だ』

 

　Booking.comへの不正アクセス、国内ホテルでの被害相次ぐ (06/20)

https://xtech.nikkei.com/atcl/nxt/column/18/00598/021300221/

 

狙われる宅配ボックス

お届け済み、なのに荷物ない　宅配ボックス「不在票に記入」式に注意 (01/02)

　大手宅配ボックスメーカーによると (中略) 同社の宅配ボックスには▽宅配業者側が暗証番号をその都度設定し、不在票に記載するタイプ▽各部屋専用の暗証番号やＩＣカードがあるタイプ▽スマホアプリと連携してＱＲコードで解錠するタイプ、などがある。

　暗証番号を不在票に書くタイプは、価格や維持費が比較的安価で、賃貸やアパートタイプの集合住宅で設置される傾向にあるという。手頃な一方、暗証番号を知られるリスクがある。

メールで到着予告・連絡と、自宅の電子キーをかざしてボックス開錠するくらいで、使いやすさと安全性のバランスは十分と思う。

宅配ボックスが狙われる？盗難手口と盗難防止対策について (2025/02/20 更新)

宅配ボックスに荷物を入れたら、業者は不在票に宅配ボックス番号や解除番号を記載し、配達先世帯の郵便受けに投函します。この不在票を盗み、宅配ボックスを開けて荷物を盗む手口があります。

犯人は郵便受けの外から、新聞紙を丸めて粘着テープを巻き付けた棒を使って番号が書かれた不在票を抜き取り、ボックスを解錠し荷物を盗もうとします。

これは心配。

置き配　盗難被害相次ぐ (2025/08/15)

郵便受けから暗証番号の書かれた不在票を抜き取ったり、盗み見たりすれば、暗証番号を入手することができてしまう。

　中には、害虫駆除などに使われる粘着質の「とりもち」を利用して、カギのかかった郵便受けの中の不在票をひっつけて、抜き取るケースまで報告されているという。そのため島村さんは、暗証番号が不在票ではなくスマートフォンに通知されるサービスに変えたり、コンビニエンスストアなど自宅以外を受取場所に設定したりすることを推奨する。

※下線は筆者が加えたもの。

金券やクレカ更新なら書留にしてくれるが、ちょっとした電子製品とか換金性の高そうなものは、考え直さないといけないか。

【防犯カメラに犯行の一部始終】”宅配ボックス窃盗”　不在連絡票の暗証番号で解錠し品物を盗み出す　福岡市 (RKB 毎日放送, 2025.10.23)