そのQRコード、開いて大丈夫？読み取った後の確認ポイント

結論

駐車場の精算機、飲食店のテーブル、届いたメールやSMS。QRコードを読み取る場面は増えましたが、役割はリンクの入口と同じです。開いてよいかは、模様ではなく、表示される行き先と、その先で求められる操作で判断します。支払いやログインを求められたら、その場で入力せず、公式アプリや自分で知っている窓口から同じ案内を確かめます。

模様だけでは行き先が分からない

QRコードは、四角い模様に文字の情報を詰めたものです。中身の多くはURL（ページの住所）ですが、模様を見ても、どこにつながるかは分かりません。

米国の消費者保護の機関であるFTC（連邦取引委員会）は、2023年12月の注意喚起で、正規のQRコードの上に別のコードを貼る手口や、配達の失敗、アカウントの問題などを理由に読み取りを促すメールやSMSを挙げています。米国向けの案内ですが、確かめ方は日本でも参考になります。SMSを使ったフィッシング（偽のページへ誘って情報を入力させる手口）は、スミッシングとも呼ばれます。

例えば、精算機に貼られたQRコードのシールの縁がはがれかけている、覚えのない「再配達のご案内」のSMSにQRコードが付いている、といった場面では、読み取る前に一度立ち止まります。

URLは、ドメインの右側を見る

多くのスマホは、読み取るとページを開く前にURLを表示します。開く前にそこを読み、開いた後もアドレス欄で行き先を確かめます。途中で別のページへ移ることがあるためです。

見るべきは、URLのうちドメインの部分です。ドメインはインターネット上の名前で、「https://」の後から最初の「/」までに書かれています。持ち主を表すのは右側の部分です。

「apoul.jp.example.com」は、example.com の持ち主が作れるサブドメインで、apoul.jp とは別のドメインです。会社名やドメイン名に見える文字が含まれているだけでは、その会社のページとは言えません。FTCは、つづりの誤りや文字の入れ替えにも気をつけるよう呼びかけています。

鍵マークと短縮URL

HTTPSや鍵マークは、通信が暗号化されていることを示す表示で、相手が正当な会社であることまでは示しません。偽のページでもHTTPSは使えます。

短縮URLは、長いURLを短い別のURLに置き換える仕組みです。表示から行き先が分かりにくい一方、正規の案内でも使われるため、短縮URLというだけで詐欺とは決められません。行き先が分かりにくいときほど、ログインや支払いの前に別の経路で確かめます。

入力してしまったときの対応

読み取っただけ、ページを開いただけで被害が確定するわけではありません。何を入力したか、何をインストールしたかを落ち着いて整理し、内容に合わせて動きます。

• パスワードを入力した：公式アプリや自分で知っているURLからログインし、パスワードを変更します。同じパスワードを使い回しているサービスも変更し、2段階認証を設定できるなら設定します。
• カード情報を入力した：カードの裏面などに書かれたカード会社の窓口に連絡し、利用の停止や明細の確認について案内を受けます。
• アプリや設定を入れてしまった：会社の端末なら、自分で操作を続けずに社内の担当者へ連絡します。

まとめ