QRコード：安易に読み取ってはいけないハイテクの罠

QRコードは、従来の一次元バーコードの情報容量不足を解決するため、1994年に日本のデンソーウェーブ社によって開発されたマトリックス型二次元コードです。当初は自動車部品を工場内で追跡管理するために考案された技術でしたが、今や現代人の日常生活において最も無防備なセキュリティの抜け穴となっています。

インターネット上のセキュリティ問題の多くは、本来「善意の信頼メカニズム」の上に成り立っています。私たちはGoogleを信じ、かつての「悪事を働かない（Don’t be evil）」というスローガンを記憶しているからこそ、各種サービスにアカウント権限を躊躇なく付与します。官公庁のWebサイトを利用する際も、自然と信用を抱くでしょう（たとえそれらの公的サーバーが過去に幾度となくサイバー攻撃を受けてきたとしても）。ネット上の信頼感とは、人間とコンピュータの間に働く、非常に奇妙で脆弱な直感の反射に過ぎません。

これまで当サイトでもスマートフォンのセキュリティリスクについて警鐘を鳴らしてきました。『詐欺の罠：セブン-イレブンの電子ギフト券当選を装うSMSは絶対に開くな』や『ハイテク詐欺：巧妙化するスマートフォンとネット詐欺の手口』といった記事の中で、出所不明のURLを安易にタップしないよう繰り返し注意を促しています。

では、なぜSMSの怪しいリンクには警戒できるのに、電柱の張り紙や駐車場の精算機、飲食店のテーブルに置かれたQRコードに対しては、何の疑いもなくスマホをかざしてしまうのでしょうか？

目隠しをしてタクシーに乗るようなもの

身も蓋もない言い方をすれば、QRコードとは「幾何学模様に図形化されたURLやコマンド」に過ぎません。

街中のQRコードをスキャンする行為は、目隠しをしてタクシーに乗り込むことと同義です。ドライバー（スマートフォンのカメラ）に暗号のようなメモを渡し、目的地に到着する（Webページが完全に読み込まれる）まで、自分がどこへ連れて行かれるのかまったく分からないのです。

それが単なる飲食店のランチメニューであれば幸いですが、悪意あるトロイの木馬を含んだAPKファイルのダウンロードページかもしれませんし、第三者決済サービスに巧妙に偽装したフィッシング詐欺サイトである可能性も極めて高いのです。

「物理的な偽装」が心理的防壁を打ち破る

この技術の最大の弱点は、複雑で危険なデジタル情報を「無害そうに見える幾何学模様」へと圧縮してしまう点にあります。

攻撃者は高度なサーバー攻撃や暗号化の突破スキルを必要としません。必要なのは家庭用プリンターと数枚の両面テープだけです。この手法は「クイッシング（Quishing / QRフィッシング）」と呼ばれ、本物の正規バーコードの上に、悪意ある偽のQRコードシールを寸分違わず上貼りするだけで成立します。現実世界の物体が持つ偽りの権威性により、利用者は自治体の駐車料金を支払っていると思い込みながら、海外の詐欺グループへクレジットカード情報を直接送信してしまうのです。

さらには、自分でQRコードを作成しようとしたユーザーが、悪質な偽ジェネレーターサイトによってリンク先をすり替えられた画像を掴まされる事例すら存在します（詳細は『ビットコイン送金QRコード生成を騙る詐欺サイトの手口』をご覧ください）。

シェアサイクルからテーブル決済まで

身の回りのサービスを見渡すと、物理的な上貼り攻撃の標的は至る所に存在します。

シェアサイクルの車体ロック解除コード、コインパーキングの事前精算機、EV充電スタンド、居酒屋のテーブルに貼られたLINE Payや決済用コードなどです。多くの人はiPhoneやAndroidの標準カメラを向け、画面上に表示された黄色いURLリンク枠を反射的にタップしてしまいます。ドメイン名のスペルミスを確認することもなく、自らシステムの防壁を明け渡しているのです。

スマートフォンの小さな画面では表示されるURLが途中で省略されることも多く、ユーザーの警戒心をさらに鈍らせます。

スキャンを拒否するのではなく「場面」を見極める

QRコードという技術自体に罪はありません。防御の鍵は「動的」か「静的」かを見分けることにあります。

コンビニのレジでPOS画面にリアルタイムで表示されるコードや、友人のスマートフォン画面に直接表示されたLINEの友だち追加コードなど、「動的に生成され、有効期限が短い」QRコードは比較的安全です。

反対に、紙に印刷されたもの、壁や電柱に貼られたもの、アクリル板の下に挟まれているだけの「静的な」コードは、スキャンする前に「誰かが工作した可能性がある」と疑ってかかる必要があります。

鷹眼の結び

今度街中でQRコードを見かけたら、スマホを取り出す前に、まず指先でシールの縁を軽く触ってみてください。もし段差があり、上からシールが貼られているような感触があれば、直ちに操作を中止してください。

見知らぬ人から道端で差し出されたお菓子を安易に口にしないのと同様に、「確認の取れないコードを無闇に読み取らない」ことこそが、デジタル社会における最も基本的な生存本能なのです。