QRコードを読み取るだけで、個人情報やお金を盗まれる被害が広がっています。この攻撃手法は「クイッシング」と呼ばれ、飲食店・駐車場・郵便物など、日常のあらゆる場面に潜んでいます。QRコード詐欺の手口を知らないまま使い続けるのは、鍵をかけずに外出するようなものです。
この記事では、QRコード詐欺の仕組みから具体的な手口7選、被害に遭ってしまった後の対処法まで順番に解説します。「怪しいと気づけなかった」という声が多いのは、見た目では判断できないからです。まず構造を理解することが、最初の防御になります。
QRコード詐欺（クイッシング）とは？
QRコード詐欺は、偽のQRコードを使って不正なサイトへ誘導する攻撃です。「クイッシング（Quishing）」とも呼ばれ、QRコードとフィッシング詐欺を組み合わせた造語です。スマートフォン決済やQRログインが普及したことで、個人・企業を問わず被害が出やすい状況になっています。
まず基本の仕組みから押さえておきましょう。
QRコード詐欺が危険な理由とは？
QRコードは、スキャンするまで中身のURLが見えません。テキストリンクであれば「このドメインは怪しい」と気づける場面でも、QRコードでは確認する機会がありません。
URLを見て判断するという普段の防御が、QRコードには通用しない。これがクイッシングの最大の危険性です。メールフィルタやセキュリティゲートウェイも、画像データとして扱われるQRコード内のURLを検出できないケースが多く、悪意あるコードが素通りしやすい構造になっています。
フィッシングとどう違うのか？
従来のフィッシング詐欺は、メールやSMSに怪しいリンクを貼って誘導する手口です。それに対してQRコード詐欺は、リンクをQRコードという「画像」に変換することで、セキュリティツールの目をすり抜けます。
利用者にとっても「QRコードは便利なもの」という認識が定着しているため、警戒心が薄れやすい点も違いのひとつです。フィッシングよりも無警戒にスキャンしてしまいやすいという特徴が、クイッシングが広がっている背景にあります。
「スキャンしただけ」で被害は出るのか？
結論から言うと、スキャンしただけでは多くの場合、すぐに被害は発生しません。問題はその先です。
誘導先のサイトでIDやパスワード、クレジットカード番号を入力した瞬間に情報が盗まれます。また、一部のケースではサイトを開いただけでマルウェアがダウンロードされる場合もあります。スキャン後にURLを確認せず情報を入力することが、最も危険なステップです。
QRコード詐欺の仕組みとは？
「なぜQRコードを使った詐欺が成立するのか」を理解しておくと、手口を見抜く感覚が身につきます。構造を知ることが対策の土台になります。
偽のQRコードはどうやって作られるのか？
QRコードは、無料のオンラインツールで誰でも簡単に生成できます。攻撃者は偽のフィッシングサイトURLをそのままQRコード化するだけです。
技術的なハードルが低いため、犯罪の敷居が下がっています。作成コストがほぼゼロであることが、クイッシングが急増している現実的な理由のひとつです。印刷してステッカーにすれば、物理的な場所への設置も可能です。
スキャン後にどんな操作で情報が盗まれるのか？
スキャンすると、本物そっくりの偽サイトへ自動的に転送されます。ログイン画面やクレジットカード入力画面が表示され、入力した情報はそのまま攻撃者のサーバーへ送信されます。
サイトの見た目は正規のものと区別がつかないレベルで作り込まれています。ロゴ・レイアウト・文章がほぼ同じでも、URLだけが微妙に異なるのが特徴です。URLの確認を省いてしまうと、偽サイトを本物と思い込んだまま操作を進めてしまいます。
短縮URLが悪用される理由とは？
QRコードは長いURLをそのまま埋め込むと、印刷物への掲載が難しくなります。そのため短縮URLサービスが使われますが、これが悪用の温床になっています。
短縮URLはスキャン時に本来のリンク先が表示されず、どこへ飛ぶのかが完全に隠れた状態になります。正規企業のDMでも短縮URLが使われていたケースがあり、攻撃者はそこを狙って短縮URL自体を乗っ取る手口も確認されています。
QRコード詐欺の手口7選
被害を防ぐためには、「どこで・どんな形で」偽QRコードが使われるかを把握しておくことが重要です。場所や状況によって手口が異なるため、パターンごとに整理します。
1. 偽コードの上貼り（ステッカー型）
飲食店のテーブルや駐車場の精算機など、正規のQRコードの上に偽のステッカーを貼る手口です。利用者は本物のコードをスキャンしているつもりで、偽サイトへ誘導されます。
物理的に設置されているQRコードは、誰かに差し替えられている可能性がある。コードの周辺に「浮き」や「ズレ」がないか確認する習慣が有効です。海外ではこの手口によって、駐車料金支払い時に情報が盗まれる事件が複数発生しています。
2. 偽のメール・SMSに埋め込まれたQRコード
「不正利用を検知しました」「アカウントの確認が必要です」といった緊急を装うメールやSMSに、QRコードが貼り付けられているケースです。
テキストリンクの代わりにQRコードを使うことで、メールフィルタを回避しています。件名に「重要」「緊急」などが含まれていたら、まずQRコードをスキャンする前に公式サイトを直接検索して確認することをおすすめします。
3. ダイレクトメール・チラシへの混入
郵便で届くDMやポスティングチラシに、偽のQRコードが印刷されているケースです。「無料クーポン」「限定キャンペーン」などの文言とセットで個人情報の入力を促します。
大手企業を装ったDMで、実際に個人情報やクレジットカード情報が盗まれた事例が国内でも報告されています。印刷物のQRコードだからといって、信頼できるとは限りません。差出人が大手企業であっても、スキャン後のURLは必ず確認する必要があります。
4. フードコートや飲食店での偽メニューコード
フードコートや飲食店のテーブルに置かれたQRコードメニューを偽装する手口です。注文画面に誘導するふりをして、実際はフィッシングサイトへ転送します。
JSSSECもフードコートでのクイッシングについて注意喚起を行っています。お店が用意しているコードと見た目が似ていても、スキャン後のURLがその店舗のドメインかどうかを確認する習慣が重要です。
5. 駐車場・精算機への偽コード設置
駐車場の精算機や料金案内板に偽コードを貼り付け、偽の決済サイトへ誘導する手口です。料金を支払ったつもりが、クレジットカード情報が盗まれるケースがあります。
海外ではこの手口が公共の駐車スペースで多発し、警察が公式に注意喚起を出すほどになりました。日本でも類似の手口が確認されています。精算機のQRコードを使う際は、機器に直接印刷されているか、後から貼り付けられたものかを目視で確認してください。
6. SNS広告・キャンペーンを装った誘導
SNSに表示される広告やキャンペーン投稿に偽のQRコードを掲載する手口です。「プレゼント応募」「会員登録で特典」などを餌にして、個人情報の入力画面へ誘導します。
SNS広告はアカウントの信頼性を確認しにくいため、特に警戒が必要です。公式アカウントのバッジや、ブランド名のスペルを確認する習慣をつけましょう。
7. 「返金します」と言われてQRで送金させる手口
「○○ペイで返金します」という名目で、コード決済アプリのQRコードを使って逆に送金させる手口です。国民生活センターへの相談件数が増加しており、特に中高年層の被害が目立ちます。
詐欺師は「返金処理のためにこのQRを読み取ってください」と案内します。しかし実際は、読み取ることで送金が完了する仕組みになっています。コード決済の「読み取る」「見せる」の違いを正確に理解することが防御になります。
実際に起きたQRコード詐欺の被害事例とは？
手口を知った上で実際の事例を見ると、被害の実感がより具体的になります。「自分には関係ない」ではなく、「自分にも起こり得る」という視点で読んでください。
大手カー用品店のDM改ざん事例
2023年11月、大手自動車用品販売業者が会員向けに発送したDMのQRコードが改ざんされ、スキャンすると公式サイトに酷似した偽サイトへ誘導される事案が発生しました。
被害者はクレジットカード情報を入力し、不正利用される被害が相次ぎました。問題の原因として指摘されたのが短縮URLの悪用で、企業側が利用していた短縮URLサービスが攻撃者に乗っ取られたとみられています。企業が発行したDMであっても、短縮URLを経由するQRコードには注意が必要です。
公共駐車場パーキングメーター詐欺事例
米国テキサス州の複数都市で、公共パーキングメーターに不正なQRコードステッカーが貼り付けられる事件が発生しました。駐車料金を支払おうとした人が偽の決済サイトへ誘導され、支払い情報が盗まれました。
オースティン市警察が公式に調査を開始するほどの大規模な事案です。日本国内でも類似の手口が確認されており、物理的な場所への設置型クイッシングは他人事ではありません。
コード決済アプリを悪用した返金詐欺事例
「購入代金を返金する」と電話やメールで連絡があり、返金の手続きとしてQRコードのスキャンを求められる詐欺です。スキャンすると相手への送金が完了する仕組みになっており、被害者は返金されるどころか逆に金銭を奪われます。
この手口の被害は国民生活センターへの相談件数として集計されており、増加傾向が続いています。「返金のためにQRを読む」というシナリオは、詐欺のサインとして覚えておいてください。
偽のQRコードを見分けるポイントとは？
完璧に見分けることは難しいですが、いくつかの確認習慣で被害リスクを大きく下げられます。
コードが「貼り付けられている」かどうかを確認する
店舗や公共施設のQRコードをスキャンする前に、コードが印刷されたものか、後から貼り付けられたステッカーかを確認します。
ステッカーの浮き・ズレ・角の剥がれがないかを目視でチェックする習慣をつけましょう。偽コードは既存のコードの上から貼られることが多いため、コードの下に別のコードが透けて見える場合は要注意です。
スキャン後に表示されるURLを必ずチェックする
スキャン後、すぐにサイトを開かずに表示されたURLを確認します。確認すべきポイントは次の通りです。
- ドメイン名が公式のものと一致しているか
- 余分な文字や数字がドメインに混じっていないか
- 「https://」で始まっているか（ただしhttpsでも偽サイトは存在する）
- 短縮URLになっていて本来の遷移先が分からない場合は開かない
1秒の確認が、情報漏えいを防ぐ最後の砦になります。
読み取り先サイトの不審なサインを見分ける方法
サイトを開いてしまった場合でも、不審なサインを見逃さないことが重要です。
確認すべき点を以下に整理します。
| 確認項目 | 正規サイト | 偽サイトの傾向 |
|---|---|---|
| URLのドメイン | 公式ドメインと一致 | 微妙に異なる文字列 |
| ページの日本語 | 自然な表現 | 不自然な翻訳調 |
| 入力フォーム | 必要最小限の項目 | 過剰な個人情報の要求 |
| SSL証明書 | 正規の認証機関 | 確認できない場合あり |
サイトを開いてもすぐに情報を入力せず、一度ブラウザを閉じて公式サイトを別途検索することをおすすめします。
QRコードをスキャンしてしまったらどうするべきか？
スキャンしてしまった後でも、行動のタイミングによって被害を最小限に抑えられます。段階ごとに対応が異なるため、自分がどの状況かを先に確認してください。
スキャンしただけの段階での対処法
URLをスキャンしたが、サイトは開いていない状態です。この段階では被害は発生していない可能性が高いです。
取るべき行動は以下の通りです。
- スキャンを中断してカメラを閉じる
- スキャン履歴を削除する
- 念のためスマホのセキュリティスキャンを実行する
この時点で何もしていなければ、過度に不安になる必要はありません。
サイトにアクセスしてしまった場合の初動対応
URLを踏んでサイトを開いてしまった場合、すぐにサイトを閉じます。情報の入力をしていなければ、直接的な情報漏えいのリスクは低いです。
ただしマルウェアが自動ダウンロードされるケースも存在するため、以下を実施してください。
- ブラウザのキャッシュ・履歴を削除する
- セキュリティアプリで端末のスキャンを行う
- Wi-Fiを一時的にオフにして通信を遮断する
「何もしていないから大丈夫」と判断せず、端末の状態を必ず確認してください。
個人情報・クレジットカード情報を入力してしまった場合の手順
入力してしまった場合は、時間との勝負です。できる限り早く、以下の順番で行動してください。
- 入力したサービスのパスワードをすぐに変更する
- クレジットカード会社へ連絡してカードの利用停止・再発行を依頼する
- 銀行口座情報を入力した場合は、銀行へ連絡して不正利用の有無を確認する
- 消費者ホットライン（188）または警察（#9110）へ相談する
迷っている時間が被害を広げます。まずカード会社への連絡を優先してください。
お金を送金してしまった場合の緊急対応とは？
返金詐欺などで実際に送金してしまった場合、回収できる可能性は時間によって大きく変わります。落ち着いて、すぐに動くことが最優先です。
金融機関への連絡はいつまでにすべきか？
送金後、できる限り早く金融機関へ連絡することが重要です。振込詐欺救済法に基づき、被害申請を受け付けた金融機関は口座を凍結し、残高を返還する手続きを取ることができます。
送金から時間が経つほど、口座残高が引き出されて回収が難しくなります。「すぐ動けるかどうか」が被害額を左右します。
警察・消費者ホットラインへの相談方法
金融機関への連絡と並行して、以下の窓口へ相談してください。
| 相談窓口 | 連絡先 | 対応内容 |
|---|---|---|
| 警察相談専用電話 | #9110 | 被害相談・情報提供 |
| 消費者ホットライン | 188 | 詐欺被害の相談 |
| サイバー犯罪相談窓口 | 各都道府県警のHP | ネット詐欺の専門相談 |
相談時には、スクリーンショット・メール・振込明細などの記録を手元に用意しておくとスムーズです。
被害届の提出と証拠保全のポイント
警察署に被害届を提出する際、証拠が多いほど捜査が進めやすくなります。
保全しておくべき情報は次の通りです。
- 偽QRコードのスキャン履歴
- 誘導されたサイトのURL・スクリーンショット
- 詐欺師から届いたメール・SMS
- 振込・送金の明細
「もう遅い」と諦めずに被害届を出すことが、同じ被害を広げない抑止力にもなります。
QRコード詐欺に遭いやすい人の特徴とは？
「自分は騙されない」という思い込みが、最も危ないパターンです。どんな状況が被害のきっかけになるかを知っておくことが重要です。
無警戒にスキャンしてしまうシーンとは？
急いでいるとき・スマホ操作に慣れているとき・周囲に人が多いときは、URLの確認を省きがちです。
特に注意が必要なシーンを整理します。
- 飲食店でメニューを見ようとするとき
- 駐車料金を急いで支払うとき
- キャンペーンの締め切りが近いと感じたとき
焦りや急ぎの状況は、判断力を下げる格好の狙い目です。
「公式っぽい見た目」に騙されやすい心理的背景
人は視覚的に馴染みのあるデザインを「安全」と判断する傾向があります。偽サイトが正規サイトのロゴ・配色・レイアウトを模倣するのは、この心理を突いているためです。
見た目の再現度が高いほど、URLの確認を省いてしまいやすくなります。デザインへの信頼と、URLへの信頼は切り分けて考える必要があります。
高齢者・スマホ初心者が狙われやすい理由
スマートフォンの操作に慣れていない人は、スキャン後の画面をそのまま信じてしまいやすい傾向があります。また「QRコードを読む＝送金できる」という仕組みを理解していないと、返金詐欺に気づきにくいです。
家族や職場の同僚にQRコード詐欺の手口を共有することが、被害防止につながります。
スマホの設定でできるQRコード詐欺の予防策とは？
普段の使い方を少し変えるだけで、被害のリスクを下げられます。難しい設定は必要ありません。
URLプレビュー機能を活用する方法
多くのQRコードリーダーアプリには、スキャン後にURLを表示してからアクセスするかを選べる「URLプレビュー機能」があります。
スマホの標準カメラでスキャンする場合は、表示されたURLをタップする前に一度確認する習慣をつけましょう。プレビューを確認する1秒が、不正サイトへのアクセスを防ぎます。
セキュリティアプリの導入と設定方法
スマートフォンにセキュリティアプリを入れておくと、不正なURLへのアクセスを自動でブロックできる場合があります。
主な機能として次のものを確認してください。
- フィッシングサイトの自動検出・ブロック
- マルウェアのリアルタイムスキャン
- 不審なアプリのインストール警告
無料版でも基本的な保護は可能です。まず導入することが最初の一歩です。
公共Wi-Fi使用時に注意すべき理由
公共Wi-Fiを使用しながらQRコードをスキャンすると、通信内容が傍受されるリスクが高まります。
入力した情報が暗号化されないまま送信されるケースもあります。QRコードからのログインや決済は、信頼できるWi-Fiまたはモバイルデータ通信で行うことをおすすめします。
企業・店舗側が取るべき対策とは？
クイッシングの被害を受けるのは個人だけではありません。企業・店舗側が適切な対策を取ることで、顧客を守ることができます。
自社QRコードが改ざんされていないか確認する方法
自社が発行・設置したQRコードを定期的にスキャンして、意図した遷移先に正しく飛ぶかを確認します。
特に以下の場面では定期的なチェックが必要です。
- 店頭・テーブル・ポスターへの掲示物
- DM・チラシ・カタログへの印刷物
- 短縮URLを使用しているすべてのコード
設置後に確認していないQRコードは、改ざんされていても気づけません。
QRコード配布時に信頼性を伝えるデザイン上の工夫
QRコードの周辺に「このコードは〇〇の公式サイトに繋がります」と遷移先のドメインを明記することで、利用者が自分でURLを照合できるようになります。
短縮URLの使用を避け、フルURLをそのままQRコード化するのが最も安全な方法です。印刷物のスペースに余裕があれば、URLも並記するとより信頼性が伝わります。
社員・スタッフへの教育で防げることとは？
企業がQRコード詐欺の被害に遭う経路のひとつが、社員のスキャン操作です。業務上のメールに貼られたQRコードをスキャンしてしまうケースも報告されています。
定期的なセキュリティ研修で「業務上のQRコードは必ずURLを確認してからアクセスする」というルールを徹底することが、組織全体の防御になります。
QRコード詐欺の相談窓口一覧
被害に遭ったとき・遭いそうなとき、どこに連絡すればいいかを事前に把握しておくことが重要です。
警察・警察庁サイバー相談窓口への相談方法
警察への相談は「#9110（警察相談専用電話）」から受け付けています。ネット詐欺に関する相談は、各都道府県警のサイバー犯罪相談窓口でも対応しています。
被害届の提出は最寄りの警察署で可能です。相談だけでも問題ありません。「大した被害ではない」と思っても、情報として届けることが捜査の助けになります。
国民生活センター・消費者ホットライン（188）の使い方
「188（いやや！）」番号で繋がる消費者ホットラインは、詐欺被害の相談に対応しています。最寄りの消費生活センターへ繋いでくれます。
返金詐欺・フィッシング被害の相談実績が豊富で、対処法のアドバイスも受けられます。
クレジットカード会社・銀行へ連絡する際のポイント
カード情報を入力してしまった場合は、カード裏面の「紛失・盗難ダイヤル」へ連絡します。24時間対応しているカード会社がほとんどです。
伝えるべき情報を事前に整理しておくとスムーズです。
- スキャンした日時
- 入力したサイトのURL（スクリーンショットがあれば添付）
- 不審な請求が確認できる場合はその内容
口座情報を入力した場合も、銀行の不正利用受付窓口へすぐに連絡してください。
よくある質問（FAQ）
QRコード詐欺について寄せられることが多い疑問をまとめました。
QRコードを読み取るだけで個人情報は盗まれますか？
読み取るだけでは、通常すぐに個人情報が盗まれることはありません。リスクが高まるのは、誘導先のサイトでIDやパスワード・クレジットカード情報を入力したときです。
ただし、一部の高度な攻撃ではサイトを開いただけでマルウェアがインストールされるケースもあります。スキャン後は必ずURLを確認し、不審な場合はサイトを開かずにブラウザを閉じてください。
偽のQRコードを作るのは違法ですか？
偽QRコードの「作成」そのものを直接罰する法律はありませんが、それを使って詐欺行為を行えば詐欺罪・不正アクセス禁止法・個人情報保護法などに抵触します。
また、正規のQRコードに上貼りステッカーを貼る行為は、器物損壊罪に該当する可能性があります。行為の目的・結果によって複数の法律が適用されます。
スキャン後に何も入力しなければ安全ですか？
多くの場合、入力しなければ情報漏えいのリスクは低いです。ただし、サイトを開いた時点でフィンガープリント情報（端末の識別情報）が収集されるケースもあります。
また、マルウェア配布ページへ誘導された場合はアクセスしただけで端末に影響が出ることがあります。「何も入力しなかった」と安心せず、スキャン後はセキュリティアプリでのチェックを行うことをおすすめします。
QRコード詐欺に遭ったら警察に行くべきですか？
はい、被害届の提出をおすすめします。金額が小さくても、情報提供として価値があります。
警察署へ行く前に「#9110（警察相談専用電話）」に電話して状況を伝えると、手続きの案内を受けられます。金融被害がある場合は金融機関への連絡を先に行い、その後に警察へ相談する流れが効率的です。
スマホのウイルス感染はどう確認しますか？
以下の方法で確認できます。
- セキュリティアプリ（ウイルスバスター・ノートン・Avastなど）をインストールしてスキャンを実行する
- iPhoneの場合はApp Storeから公式のセキュリティアプリを使用する
- スマホの動作が急に遅くなった・知らないアプリが増えた・バッテリーの消耗が急激な場合は感染の可能性がある
感染が疑われる場合は、重要なアカウントのパスワードをすぐに変更してください。
まとめ
QRコード詐欺の被害を防ぐうえで根本的に重要なのは、「QRコードそのものは信用しない」という前提を持つことです。見た目では危険かどうかを判断できない以上、スキャン後のURLを確認するひと手間が唯一の実質的な防御になります。
被害に遭ってしまった後も、連絡の速さによって結果は変わります。カード会社・銀行・警察の連絡先を手元に控えておくだけで、いざというときの初動が変わります。家族や職場など、スマホ操作に不慣れな人への情報共有が、身近な被害を防ぐことにもつながります。今日からできる対策は、URLを1秒確認する習慣を始めることです。
参考文献
- 「QRコードを悪用した詐欺の手口と安全に利用するポイントとは？」 – サイバーセキュリティ情報局（キヤノンマーケティングジャパン）
- 「第13回 スマートフォン・サイバー攻撃対策ガイド 広がるQRコード詐欺（クイッシング）と対策」 – JSSEC（日本スマートフォンセキュリティ協会）
- 「QRコード詐欺（クイッシング）とは？よくある手口や対策について解説」 – ウイルスバスター セキュリティトピックス（トレンドマイクロ）
- 「QRコード詐欺とは？主な手口・対処法・予防策を解説」 – デジタルデータフォレンジック（DDF）
- 「令和7年上半期 サイバー空間をめぐる脅威の情勢等について」 – 警察庁
- 「『○○ペイで返金します』と言われた詐欺」 – 国民生活センター
- 「クイッシング（QRコード詐欺）とは？手口と企業が取るべき対策を解説」 – ALSOK デジタルセールスブログ