東京報道新聞

電車内の広告を見て、スマートフォンを取り出し、QRコードを読み取る…。多くの人にとって、それは何の警戒心も抱かない当たり前の行動でしょう。

しかし2025年10月、その「当たり前」を悪用した出来事が起きました。京王線の電車内に掲示されていた大学広告に、広告主の知らないQRコードのシールが貼り付けられていたのです。

大学は広告を撤去し、「大学という社会的信用の高い組織が、鉄道広告という公共性の高い媒体に掲出した広告を狙ったもので、利用者が誤って読み込んでしまう危険性の高い悪質な事例と考えます」と発表しました。

利用者は鉄道内の広告に貼られているQRコードを偽物と疑いません。信頼できる場所だからこそ、いつも通りスマートフォンをかざしてしまう――。その心理を逆手に取った事例でした。

こうしたQRコードを悪用する詐欺は、「クイッシング（Quishing）」と呼ばれています。ポスターや宅配便の案内などにQRコードを貼り付け、利用者を偽サイトへ誘導し、個人情報や決済情報を盗み取る手口です。

日本スマートフォンセキュリティ協会（JSSEC）が公表した「スマートフォン利用シーンに潜む脅威Top10 2026」において、クイッシングは3位にランクインしました。QRコードが生活インフラとなった今、その危険性は急速に高まっています。

では、なぜQRコードが詐欺に悪用されるのでしょうか。神戸大学大学院工学研究科教授の森井昌克氏に話を聞きました。

<目次>

QRコードが悪用される3つの理由

クイッシングが増えている背景には主に3つの理由があります。森井氏は、最初の理由として「QRコードが社会に広く浸透したこと」を挙げました。

「QRコードが決済で利用されるようになり、『お金に関わるものだから安全だろう』という安心感が利用者の中に生まれています。犯罪者はその心理につけ込んでいます」

飲食店のメニュー注文やスーパーのキャッシュレス決済、行政手続きなどにQRコードは活用されています。その普及に伴い、私たちはQRコードを「安全で便利なもの」と受け入れるようになりました。しかし、その無意識の思い込みが狙われているのです。

2つめの理由が「操作が簡単すぎること」です。QRコードの読み込みから決済まで数タップで完了できるサービスも珍しくありません。森井氏は「詐欺は簡単にできるものほど成功しやすい」と話します。

「QRコードを読みこんだ後は、3回程度タップするだけで処理が終わります。だから詐欺にも非常に向いているのです」

もし複雑な入力が増えれば、利用者に「何か変だ」と気付く時間が生まれます。しかしQRコードを活用したサービスにその時間はありません。ユーザーの利便性を実現した仕組みが「だましやすい仕組み」として悪用されているのです。

3つめの理由は「QRコードのデザインが似ている」点です。従来のメールやSMSを悪用したフィッシング詐欺には文字情報が含まれていました。不自然な日本語や怪しいURLが記載されていることもあり、WebサイトのURLをクリックする前に詐欺の可能性に気づくこともできます。一方で、QRコードはモザイク模様であり、文字情報は含まれません。

「普及しているQRコードの見た目は似ており、一見しただけでは怪しさを感じ取ることはできません」

つまり、QRコードを読み込むまで危険性を判断できない構造になっています。

またQRコードのシールは手軽に貼ることができます。鉄道の大学広告の事例では、本物の広告に偽のQRコードシールが貼られました。大学という社会的信用と鉄道という公共性が重なることで、「疑う理由」がなくなってしまったのです。

森井氏も「紙のポスターであれば、QRコードを物理的に貼り替えることは可能です」と指摘します。

不便さを許容したサービスが必要

「他者の信頼性」を悪用するのがクイッシングの特徴です。「安全性と利便性はトレードオフの関係にある」と森井氏は指摘します。

これまで多くのサービスは「誰でも簡単に使えること」を優先してきました。

しかし、その結果として、詐欺師にとっても利用しやすい仕組みになってしまった側面があります。

「便利なものほど、安全性は下がる傾向にあります。サービスを提供する側も、利便性を下げて安全性を高める設計を考える必要があります」

銀行や証券会社では現在、二要素認証や追加認証の導入が急速に進んでいます。

利用者の手間は増えますが、その数十秒の確認が大きな被害を防ぐ可能性があります。

「今後は、便利さだけではなく、安全のための少しの不便さを社会全体で受け入れていく必要があるでしょう」

では、私たちはどう身を守ればいいのでしょうか。これまでのように「怪しいメールは開かない」「知らないWebサイトにアクセスしない」という対策だけでは十分ではありません。「信頼できる場所にあるQRコードも疑う」という新しい視点が求められます。

さらに「QRコードを読み込んだ後の情報を確認する習慣が重要」と森井氏は指摘します。

「読み込んだ先が何なのかを確認することです。当たり前のことですが、それがなかなかできません。アクセスしたWebサイトは公式サイトなのか。表示内容に違和感はないか。個人情報やクレジットカードの情報を求めてこないか。手続きを進める前に情報の信頼性を吟味することが必要です」

「かざす前」の一呼吸が被害を防ぐ

QRコードは、これからも私たちの生活からなくなることはありません。

行政サービスも、キャッシュレス決済も、交通機関も、ますますQRコードの利用は広がっていくでしょう。だからこそ必要なのは、「QRコードだから安全」という思い込みを手放すことです。

QRコードを読み込むこと自体を恐れる必要はありません。ただ、その前に「このQRコードは本当に正しいものだろうか」「開いた先のURLは公式サイトだろうか」と一呼吸置いてみましょう。

スマホをかざす、その1秒。

便利さが当たり前になった今だからこそ、その1秒に少しだけ慎重さを加えることが、これからのデジタル社会を安全に生きるための新しい習慣なのかもしれません。

森井 昌克（もりい・まさかつ）神戸大学名誉教授・特命教授。

工学博士（大阪大学）。専門は情報通信工学、サイバーセキュリティ、暗号理論。徳島大学教授を経て2005年より神戸大学大学院工学研究科教授に着任し、長年にわたり最先端の研究と人材育成を牽引する。内閣府や総務省などの政府系委員会において座長や委員を歴任し、経済産業大臣賞や総務省情報通信功績賞など受賞歴多数。サイバーセキュリティの第一人者として、メディアでの解説や啓蒙活動、政府への政策提言など多方面で精力的に活動している。