定義
クイッシング（Qshing）とは、QRコードとフィッシング（Phishing）詐欺を組み合わせた造語で、偽のQRコードを使って個人情報を盗み取ったり不正アプリを感染させたりするオンライン詐欺の手口です。スマートフォンのカメラでQRコードを読み取ると偽の決済画面などに誘導され、そこで入力した情報が盗まれたり、指示通りにアプリをインストールすることで端末を遠隔操作される危険があります。
見分けがつかない「白黒模様」の罠
シェアサイクルやカフェのテーブルで、QRコードを読み取って決済した経験がある方も多いでしょう。白と黒の四角い点が複雑に並ぶQRコードは、人間の目で見てもどんなウェブサイトのURLが埋め込まれているかまったく判別できません。
詐欺グループはまさにこの盲点を突いてきます。街中の公共の場所に貼られた正規のQRコードの上に、偽のQRコードステッカーを重ね貼りして人々を騙す手口です。コインパーキングの精算機やシェアサイクル、飲食店の注文用コードなど、日常的に誰もが疑わずスマホをかざす場所が格好の標的になります。
普段通りにカメラでスキャンすると、本物そっくりに作られた偽の決済ページへと誘導されます。そこでうっかりクレジットカード情報や暗証番号を入力してしまうと、その情報がリアルタイムで攻撃者の元へと筒抜けになってしまうのです。
もう一歩深く知る：不正アプリが仕込まれる仕組み
クイッシングの手口は、偽の決済画面で情報を盗み取るだけにとどまりません。さらに危険なのは、アクセス先の偽サイトを通じて不正なインストールファイル（APKファイルなど）をダウンロードさせようとする攻撃です。APKは主にAndroid端末向けのファイル形式であるため、iPhone（iOS）では偽サイトでの個人情報入力詐欺が主流ですが、油断は禁物です。
偽サイトでは、公的機関や銀行を装って「セキュリティ強化のため専用アプリのインストールが必要です」といった警告を表示してユーザーを騙します。指示に従って確認ボタンを押してしまうと、スパイウェアなどの不正アプリが勝手にインストールされてしまいます。
こうして侵入した不正アプリは、ユーザーを言葉巧みに誘導してユーザー補助機能やSMS読み取りなどの重要権限を奪い取ります。その後、ネットバンキングに必要なワンタイムパスワードやSMS認証コードを盗み見たり、場合によっては通話履歴や位置情報まで抜き取ったりします。たった一度の「許可」やインストールの操作が、スマホへの侵入を許す決定打となってしまうのです。
日常でクイッシング被害を防ぐための実践ルール
クイッシング被害を防ぐには、QRコードを読み取る前後のちょっとした確認が欠かせません。まず、街中や店舗に置かれたQRコードを読み取る前に、軽く指で触れたり目視で確認したりしましょう。案内板の上にシールやステッカーを重ね貼りした跡があれば、絶対にスキャンしてはいけません。
また、スマホカメラをかざした際に画面へプレビュー表示されるURLを確認する習慣も重要です。公式サイトのアドレスと一文字だけ違っていたり、見慣れない短縮URLだったりする場合は、安易にアクセスしてはいけません。
そして、QRコードのリンク先でアプリやファイルのダウンロードを求められたら、すぐに画面を閉じてください。Android端末をお使いの場合は、セキュリティ設定で「不明なアプリのインストール」をブロックしておき、サイト側が解除を求めてきても決して応じないようにしましょう。これらを徹底するだけでも、不正アプリによる被害リスクを大幅に減らせます。
よくある誤解
QRコードをスキャンした瞬間、即座に銀行口座からお金が引き出される。
スキャンしただけで勝手にお金が引き落とされるわけではありません。接続された偽サイトで利用者が暗証番号やカード情報を自ら入力したり、誘導に従って不正アプリをインストールして権限を許可してしまった際に実際の被害が発生します。
日常で出会う場面
シェアサイクルの本体に元々貼られていた決済用QRコードの上に、悪意ある第三者が重ね貼りした偽ステッカー。
交通違反の反則金納付通知を装った郵便物のQRコードを読み取ると、公的機関に見せかけた偽の納付サイトへ誘導される事例。
つまり ひとことで
クイッシングは、改ざんされたQRコードを使って偽のフィッシングサイトに誘導したり不正アプリを感染させ、個人情報や金銭を騙し取るサイバー詐欺の手口です。