クイッシング
Quishing
概要（サマリー）
クイッシングとは、QRコードを読み取らせ、文字列では見えない偽サイトへ誘導するフィッシングである。
QR code と phishing を組み合わせた呼び名である。
白黒の模様は、それ自体が安全な印ではない。模様の中に、偽のURLが入っている。
読み取り後に開くフィッシングサイトで、パスワードなどの入力を求める。
詳細解説
リンクの文字を、模様の中に隠す
通常のフィッシングメールは、本文に URL の文字がある。
受信側の仕組みは、その文字を見て危険な宛先を止めることがある。
QRコードは URL を画像にするため、本文の文字だけでは宛先が分からない。
IPA の J-CSIP 報告では、Microsoft からのメールアカウント更新の通知を装い、QRコードを読み取ると Microsoft アカウントの偽ログイン画面へ進む事例が紹介されている。
メールのセキュリティが URL の文字を見る方式だと、この形はすり抜けやすい。
読み取る端末が、会社の外に出ることがある
パソコンで届いたメールの QRコードを、個人のスマートフォンで読むことがある。
スマホが会社のネットワークを通らない場合、社内のフィルタを経由せずに偽サイトへ到達する。
「会社のパソコンでは開けないようになっているから大丈夫」は、スマホで読んだ時点で成り立たない。
スミッシングが SMS の短さで急がせるのに対し、クイッシングは宛先の見えにくさで確認を飛ばさせる。
どちらも、最後は偽サイトや偽の連絡先へ連れていく点は同じである。
メール以外の場所にも置かれる
QRコードは、ポスター、卓上のスタンド、請求書の紙、名刺サイズのシールにも印刷できる。
駐車場の精算や、店のメニューなど、普段から読み取る場面に混ぜられる。
正規の紙の上に、別のコードを貼り替えることもある。
メールの中だけを疑えば足りる、という話ではない。
読み取り前に「このコードは、自分が今からやりたい手続きのものか」を見る。
開く前に、表示されたアドレスを確認する
スマホの標準カメラは、読み取ると開く先のアドレスを小さく表示し、タップでページを開くものが多い。
一方、読み取りアプリによっては、確認なしでそのままページを開くこともある。
タップする前に表示されたアドレスを読み、ドメインが公式のものと一致するかを見る。
ログイン画面のデザインが似ていても、ドメインが違えば公式ではない。
ブラウザの鍵マークや、見慣れたロゴだけでは判断しない。
公式アプリや、自分で登録したブックマークから目的のサービスを開き、そこで同じ手続きができるなら、コードは使わない。
読んでしまったとき
コードの先でパスワードやカード番号を入力した場合は、公式アプリから自分でログインし、パスワードを変える。
同じパスワードの使い回しがあるなら、他のサービスもそれぞれ別のパスワードへ変える。
会社のアカウントなら、定められた窓口へ、読んだ時刻と入力した内容の種類を伝える。秘密の文字列そのものをチャットで再送しない。
ログイン画面まで進んでも、そこで入力しない
QRコードの先が、見慣れたロゴのログイン画面でも、入力の前にドメインを見る。
アドレスバーが隠れる画面いっぱいに表示されるサイトもある。
その場合は、いったん閉じて、公式アプリから同じサービスを開き直す。
「期限が今日まで」「アカウントが停止される」と書かれていても、コードの中のページでパスワードを更新しない。
本物のサービスなら、公式アプリの中にも同じお知らせが出るか、登録済みのメールアドレスへ別経路で届くことが多い。
一つの QRコードだけが、唯一の手続き窓口になっていたら立ち止まる。
AIコーディングとの関係
イベント案内や、自分のサービスへのログイン QR を AI に作らせることがある。
正規のコードでも、利用者が中身の URL を確認できないと、偽のコードと見分けがつかない。
AI には「QRコードの近くに、開く先のドメインを人が読める文字でも書いてください」と頼むと、確認の材料が増える。
生成されたコードを公開する前に、自分の端末で読み、開くドメインが意図どおりかを確認する。
AI との会話に、本番の管理画面 URL や、利用者のログイン情報を貼らない。
よくある勘違い
QRコードなら、文字のリンクより安全？
コードは URL を隠して運ぶ入れ物である。
中身が公式サイトとは限らない。読み取り後に表示されるドメインを確認する。
紙に印刷されていれば本物？
紙や卓上ポップは、あとから別のコードへ貼り替えられる。
場所が店の中であることと、コードの中身が店の公式であることは別である。
読み取っただけで、パスワードまで盗まれる？
読み取りは、まずページを開く操作である。
被害の中心は、開いた先でパスワードやカード番号を入力してしまうことにある。
開いた直後に入力を求められたら、公式の入り口からやり直す。
まとめ
- クイッシングは、QRコードの中の URL で偽サイトへ誘導するフィッシングである。
- メール本文の文字検査や、社内ネットワークのフィルタを避ける狙いがある。
- 紙やポスターのコードも、中身を確認してから開く。
- ログインは、コードではなく公式アプリやブックマークから行う。
情報ソース
より詳しくAIに聞いてみよう
- クイッシングを、メールに貼られた白黒の模様をスマホで読む場面で説明してください。
- URL が文字で書いてあるフィッシングと、QRコードのフィッシングの違いを整理してください。
- QRコードを開く前に確認する項目を、初心者向けに列挙してください。
- 自分のサービス案内に載せる QRコードを、偽コードと見分けやすくする指示を AI に出す文を作ってください。
- 生成した QRコードのリンク先を、AI に秘密情報を渡さずに確認する手順を教えてください。