クイッシングとは？QRコードフィッシングの危険性と対策方法を徹底解説

クイッシングとは何か

QRコードを使って、URL の可視性を消したまま誘導する手口です

クイッシングは、QR コードを使ったフィッシング詐欺です。メール本文、請求書、ポスター、名刺、チャット、PDF などに QR コードを置き、利用者に読み取らせることで、URL を直接見ないままログイン画面や支払導線へ進ませます。見た目がきれいな案内や正規の紙面に見えるほど、利用者は疑いにくくなります。

Microsoft はHow Microsoft Defender for Office 365 innovated to address QR code phishing attacks↗で、メールに埋め込まれた QR コード経由の誘導が増えていることを整理しています。つまり、クイッシングは QR の利便性を使って、確認前に次の画面へ進ませる攻撃と考えるべきです。

スミッシングとの違いは、SMS ではなく QR が URL 確認を消す点です

broad hub として全体像を整理したフィッシング対策の記事から一段下げて見ると、クイッシングの主役は「QR によって URL の確認が抜けること」です。これはスミッシングのように SMS の短さや個人端末での即時判断を主役にする記事とは、媒介も盲点も異なります。

SMS は短い文面で急がせますが、クイッシングは「見た目が正規に見える紙面や案内」からスマートフォンを使わせることで、利用者に安心感を与えます。読み取った後に表示された URL を確認する習慣がなければ、そのまま偽サイトへ進みやすくなります。

紙面、店頭、イベント、PDF のような『正規に見える場所』ほど危険です

クイッシングが厄介なのは、QR コードが普段から正規の用途で使われていることです。来訪登録、注文、決済、アンケート、会員登録、資料ダウンロードなど、日常業務にも接客にも自然に入り込んでいます。そのため、利用者はQR を読み取る行為そのものを危険だと思いにくいです。

Microsoft のFive common QR code scams↗でも、偽の案内や不自然な QR 誘導への注意が示されています。つまり、クイッシング対策では「QR は便利なもの」という前提を崩さずに、読み取った後の確認をどう標準化するかが重要です。

なぜ成立するのか、どこが盲点になるのか

本当に危ないのは、QR を読んだ後に URL を見ないことです

クイッシングが成立する理由は、QR コード自体が危険だからではありません。読み取った後の URL を見ないまま進みやすいことが本質です。メールならリンク先を見ようとする人でも、QR を読むと「正規サイトへ飛ぶはずだ」と思って、そのままログインや支払へ進んでしまいやすくなります。

CISA のPhishing Guidance - Stopping the Attack Cycle at Phase One↗は、フィッシングを入口段階で止める考え方を示しています。クイッシングにも同じ考え方が当てはまり、「QR を読む前」ではなく「読んだ後にどこへ戻るか」を決める必要があります。

認証やセッションの弱さがあると、QR 誘導は入口以上の被害になります

偽の QR 誘導で本当に危ないのは、そこから認証情報、決済情報、回復コード、セッション状態まで取られることです。ログイン情報が取られた後に多要素認証の例外や弱い回復フローがあると、被害は QR の入口より先で大きくなります。

そのため、MFA未適用アカウントやOkta のセッション悪用事例は、クイッシングとも地続きです。入口は QR でも、被害が広がるのは認証と回復の設計に弱点がある時です。

正規の案内ページが多いほど、偽 QR はもっともらしく見えます

QR を使う案内は便利ですが、公開されたキャンペーンページ、古いログイン画面、残ったサポート導線、放置サブドメインが多いと、攻撃者は「本物らしい QR の誘導先」を作りやすくなります。これはメール本文の巧拙ではなく、公開導線の量と整理不足の問題です。

だから、クイッシング対策は QR の啓発だけで終わらせず、外部接続点の可視化やブランド悪用対策と一緒に見る必要があります。偽 QR の先にある公開導線を減らさない限り、再発しやすい構造が残ります。

企業で被害が大きくなる原因

一番危ないのは、QR を読むこと自体が『正しい行動』に見えることです

クイッシングで事故が起きる時、利用者は不審な行動をしているつもりがありません。案内に従って QR を読むことが、むしろ正しい手順に見えるからです。受付、支払、資料閲覧、会員登録など、普段から QR を使う場面ほど危険です。

そのため、企業としては「怪しい QR に注意してください」で終わらせず、どの業務で QR を使うのか、読み取った後は必ず何を確認するのか、QR では絶対に進めない処理は何かを決める必要があります。

入口対策と認証対策が切れていると、被害は後段で大きくなります

偽の QR 誘導で終わらないのは、そこから認証、支払、アカウント回復、共有ドライブ、サポート導線へつながるからです。入口対策だけ整えても、認証例外や弱い回復フローが残っていれば、被害は後段で大きくなります。

だから、クイッシング対策は QR の読み方の教育だけでは不十分です。認証の強さ、回復フロー、報告、掲示物の差し替え管理、公開導線管理まで同じ運用課題として持つ必要があります。

検知・防御・運用で押さえるべき対策

QR を読んだ後に『公式アプリへ戻る』ことを標準にするべきです

実務で効果が高いのは、QR を読んだらそのまま処理を進めるのではなく、公式アプリ、既知の URL、ブックマーク済みページへ戻る運用です。来訪登録や簡易案内は別として、認証変更、支払、権限付与のような重要処理を QR の遷移先に依存させない方が安全です。

Microsoft の QR 詐欺整理でも、読み取り後の確認が重要とされています。つまり、QR の読み取りを禁止するより、読み取った後に何を見て、どこへ戻るかを明確にする方が現実的です。

怪しい QR の報告と撤去を早くしないと、紙面や掲示物で被害が続きます

クイッシングは、メールと違って「見つけた後も現物が残る」ことがあります。掲示物、チラシ、印刷物、店頭表示、配布資料の QR が偽装されていると、何人も同じ導線へ進んでしまいます。だから、報告窓口だけでなく、誰が回収し、誰が差し替え、誰がリンク停止を依頼するかまで決める必要があります。

運用指標としては、怪しい QR の報告から撤去までの時間、差し替え済み掲示物の割合、正規導線の統一率、QR を使わない重要手続の比率などを見る方が、単純な啓発回数より改善につながります。

QR詐欺で信頼感を補強されやすい公開導線の棚卸しなら ASM診断 PRO

ASM診断 PRO はクイッシングそのものを検知する製品ではありません。ただし、偽 QR が成立しやすい理由には、外から見える公開導線が関わります。古いキャンペーン URL、残ったサポート接点、放置されたサブドメイン、ブランドに近い公開面が多いと、QR の飛び先に信頼感を持たせやすくなります。

ASM診断 PRO なら、そうした外部接点を外から見える範囲で棚卸しし、どの導線を止め、何を統一し、どこを強く保護すべきかを整理しやすくなります。QR の危険性を利用者教育だけに閉じず、攻撃者が使える材料を減らす視点まで広げたい時の補助線として使えます。

よくある質問（FAQ）

クイッシングとスミッシングは何が違いますか

スミッシングは SMS を使った詐欺で、短いメッセージと緊急性が主役です。クイッシングは QR コードを使って URL の確認を飛ばさせる点が主役で、紙面やポスター、メール本文、PDF からスマートフォンへ誘導するのが特徴です。

QRコードを全部禁止すれば防げますか

全面禁止だけでは現実的でない場面が多いです。重要なのは、どの業務で QR を使うのか、QR の先でログインや支払を直接させるのか、読み取り後に公式アプリや既知の URL へ戻るのかを決めることです。

紙の案内や店頭掲示も危険ですか

はい。クイッシングは、紙の案内や店頭掲示のように「本物らしく見える場所」で特に成立しやすいです。掲示物の差し替えや QR の飛び先管理が弱いと、メールより長く被害が続くことがあります。

多要素認証があれば QR 詐欺は防げますか

それだけでは不十分です。多要素認証があっても、例外アカウント、弱い回復フロー、セッション管理の弱さがあると、偽 QR の後に被害が広がります。入口対策と突破後の抑止を一緒に整える必要があります。

ASM診断 PRO は QR コードそのものを検知しますか

いいえ。ASM診断 PRO は QR 画像を検知する製品ではありません。役割は、偽 QR の飛び先として悪用されやすい公開導線や古い案内ページを棚卸しし、外から見える材料を減らすことです。端末側の確認ルールや認証強化と併用する前提です。

まとめ

クイッシングは、QR コードの利便性を使って URL の確認を飛ばし、利用者を偽サイトや危険な導線へ進ませる詐欺です。危険なのは QR 自体ではなく、読み取った後の確認が抜けやすいことと、認証や回復フローの弱さがそのまま後段の被害につながることです。

企業が優先すべきなのは、QR を使う業務と使わない導線を決めること、読み取り後に公式アプリや既知の URL へ戻る運用を作ること、認証例外と回復フローを見直すこと、怪しい QR の報告と撤去を早くすること、そして偽誘導先になりやすい公開導線を減らすことです。QR の便利さを否定するのではなく、確認の標準化と公開導線管理まで含めて整えてください。