QRコード詐欺「クイッシング」の見分け方と対策

飲食店のテーブル会計、シェアモビリティの解錠、イベントのチケット確認など、QRコードを読み取る場面は日常のあちこちにあります。その利便性を逆手に取った「クイッシング(Quishing)」と呼ばれるQRコード詐欺が、2026年に入って急増しています。ESETの調査では2026年上半期のフィッシングメールの11%に悪質なQRコードが含まれていたと報告されました。

⚠️ 2026年に増えている手口

早稲田大学の森達哉教授の指摘(BBSS調査より)では、PayPay等のQRコード決済の支払い画面へ利用者を誘導し、利用者自身に送金・支払い操作をさせる手口が急増しているとされています。被害者が自分の意思で操作してしまうため、通常の不正ログイン対策(多要素認証など)が効きにくい点が深刻です。また、飲食店の決済パネルやシェアモビリティのQRコードに偽のステッカーが貼られる「物理的なすり替え」の事例も報告されています。

🔍 見分け方のポイント

QRコード自体は見た目で真偽の判断ができません。読み取った後に表示される内容で判断することが重要です。

✅ QRコードを読み取る前後のチェックリスト

• ☑ 店舗の公式掲示物にQRコードが「貼り足されたような跡」がないか確認した
• ☑ 読み取った直後に表示されたURLのドメインが公式のものか確認した
• ☑ 決済・送金の確認画面が出たら、金額・送金先を自分で読み上げて確認した
• ☑ 「企業幹部」「会社のチャットグループ作成」を名乗る依頼は、QRコードや送金操作の前に別経路で本人確認した
• ☑ メール内のQRコードは、差出人が不明な場合は読み取らずに削除した
• ☑ スマホに不審サイト・詐欺サイトを警告してくれるセキュリティ機能を入れている

備えとしてのセキュリティ機能

QRコード自体の真偽判定は人の目視が基本ですが、読み取った後に遷移する悪質サイトやフィッシングサイトを事前にブロックしてくれるセキュリティ機能を併用すると、うっかりアクセスしてしまった際の被害を減らせます。NordVPNの「脅威対策」機能のように、悪質なサイトへのアクセスを検知してブロックするタイプのツールもあります。