フィッシングと聞いてまずメールを思い浮かべるとしたら、それはあなただけではありません。しかし今、テキストメッセージを使った新しい手口の詐欺が広がっています。象徴的なのが、米国郵便公社（USPS）を装った一見正規のショートメッセージで、受信者に「荷物」が配送センターに到着したと知らせるものです。荷物を受け取るには、リンクをクリックして配送先情報を入力するよう促されます。
これは、フィッシング攻撃の一例にすぎません。フィッシングとは、ログイン情報、クレジットカード番号、社会保障番号といった個人情報を利用者に明かさせたり、マルウェアのダウンロードや送金といった行動を取らせたりする詐欺のことです。比較的コストが低く成功率が高いことから、フィッシングは今日オンラインアカウントが侵害される最も一般的な経路となっています。
多くのフィッシング攻撃は、偽装リンクや添付ファイルを含むメールで行われますが、先ほどの例のようにテキストメッセージで届くものや、電話によるものもあります。フィッシング攻撃は、なじみのあるブランドからの本物のメール・メッセージ・Webサイトのように見えることがあります。実際、44%の人が、信頼するブランドから届いたメールであれば「安全」だと考えています。
そして今、思いがけないところから、また新しいフィッシング攻撃が増えています。QRコードです。
QRコードとは何か、どのようにフィッシングに使われるのか
QRコードは、正方形の格子状に表示されるバーコードの一種で、主にスマートフォンのカメラで読み取ります。QRコードには、プレーンテキストのほか、アプリのダウンロードリンク、製品情報やメニューへのアクセス、送金や受け取り、Wi-Fiネットワークへの接続、（ポイントプログラムなどの）アカウントへのログイン、モバイルチケットの利用など、さまざまな情報を格納できます。
2022年には、米国のスマートフォン利用者8,340万人がQRコードを読み取りました。この数字は2025年には9,950万人に達すると見込まれています。当然ながら、QRコードの普及にともない、利用者がQRコードに慣れてきたことを逆手に取ったフィッシング攻撃の新たな「餌」としても使われるようになりました。
QRコードを使ったフィッシング攻撃、いわゆる「クイッシング（quishing）」は、物理的またはデジタルのQRコードを用いて利用者を偽のWebサイトへ誘導し、機微な情報を盗んだり、端末に侵入してマルウェアに感染させたりします。
他のフィッシングと同様、この攻撃も信頼を悪用します。QRコードそのものへの信頼と、それに結びつけられたブランドへの信頼です。さらに多くの攻撃は、（懸賞などの）利益や、（アカウントの凍結などの）行動しないことによる不利益をちらつかせ、切迫感を演出します。2023年9月には、同年1月から8月までの累計と比べてクイッシング攻撃が51%増加しました。また同月に読み取られたQRコードのうち、9.5%が不正なものでした。
QRコードを使ったフィッシング攻撃はどのようなものか
QRコードを使ったフィッシングは、広く使われている技術がもたらす「信頼」を悪用します。攻撃者は、信頼できそうに見える物理的な場所に新たな不正QRコードを設置するか、メールやテキストによるフィッシング攻撃の一部として不正なQRコードを送りつけます。いくつか例を見てみましょう。
物理的なQRコード
銀行の扉にQRコードが貼られています。読み取ると、100ドルが自動的に口座に入金される懸賞に応募するために、銀行口座へサインインするよう求められます。Webサイトはその銀行のブランドで作り込まれています。
しかしこのQRコードは実際には偽物であり、入力された銀行口座の情報はそのまま不正利用に使われてしまいます。
デジタルのQRコード
お気に入りの小売店から、新しいポイントプログラムに登録するためのQRコードが記載されたメールが届きます。パソコンの画面上でそのコードを読み取ると、氏名、住所、ユーザー名、パスワードといった個人情報の入力を求められます。
同様に、このメールにも不正なQRコードが含まれており、フィッシング攻撃です。他のあらゆるフィッシングと同じ手口が、新しい技術を使って行われているにすぎません。入力された情報は、その小売店のサイトと、そこに保存されたクレジットカード情報を含むあらゆる情報へのアクセスに使われる可能性があります。そのパスワードを他のサイトでも使い回していれば ― 39%の人がそうしていると認めています ― 別の詐欺にも悪用されかねません。さらに個人情報は闇市場で売買され、将来のフィッシング攻撃に利用される可能性もあります。
QRコードを使ったフィッシングから身を守るには
出どころが正規のものか、立ち止まって確認する
QRコードそのものを乗っ取ることはできませんが、正規のQRコードの上に新しい不正なQRコードのシールを貼ることはきわめて簡単です。シール状のもの、ブランド表示のないもの、不自然な場所に貼られているQRコードには注意が必要です。見知らぬ出どころのQRコードは信用すべきではありません。メールで届いたQRコードは、第三者が読み取るモバイルチケット（コンサートのチケットなど）を除き、常に細心の注意をもって扱ってください。
少しでも疑わしい場合は、QRコードの指示に「簡単に」応じるのではなく、そのブランドの正規サイトから直接連絡する、カスタマーサービスに電話する、店舗のスタッフに直接尋ねるなどして、そのQRコードが正規のものかを確認してください。
個人情報の扱いに注意する
個人情報や金融情報を適切に守り、あるWebサイトを信頼してよいか判断することは、多くの人にとって難しいものです。実際、約32%の人が、詐欺サイトや偽の小売サイトを見分ける自信がないと答えています。
フィッシング攻撃の見分けが難しくなり、QRコードのような新しい誘導手段が使われるようになるなか、個人情報・ログイン情報・金融情報を求めるWebサイトには十分に警戒してください。
支払い方法に注意する
便利である一方、すべての支払い方法が同じように保護されているわけではありません。PayPal、Venmo、e-Transferのような手段や、保護のないデビットカードの利用は避けましょう。購入には、消費者保護のあるクレジットカードを選んでください。QRコードをきっかけとしたやり取りで、銀行口座の情報を伝えたり、送金したりすることは決してしないでください。
強固でフィッシングに強いMFAをすべてのアカウントで有効にする
可能な限り、アカウントで多要素認証（MFA）を有効にし、フィッシング攻撃が成功しにくい状態を作ってください。どのようなMFAでも、ユーザー名とパスワードだけよりは確実に優れていますが、すべてのMFAが同じというわけではありません。YubiKeyのようなハードウェアセキュリティキーを含む、デバイス紐づけ型パスキーなど、フィッシングに強いMFAを選び、オンラインアカウントに高度な保護を与えましょう。セキュリティキーは、知っているもの（パスワード）と持っているもの（セキュリティキー）の両方を必要とし、端末に挿し込んで物理的に触れることを求めることで、フィッシング攻撃を食い止めます。
フィッシングに強い方式にまだ対応していないサイトについては、1Passwordのような信頼できるパスワード管理ツールを使い、サイトごとに強固で固有の認証情報を生成し、端末間でのログインを容易にしてください。
原文（英語）: 「QR code phishing attacks (Quishing): What to know and how to stay secure」 https://www.yubico.com/blog/qr-code-phishing-attacks-quishing-what-to-know-and-how-to-stay-secure/
