かつては物流環境専用の技術リソースだったものが、スペインでは日常的な要素となっている。それは、メニューを見たり、駐車料金を支払ったり、イベントに参加したり、バーのWi-Fiに接続したりするために毎日スキャンする、白黒の模様が描かれた四角いQRコードのことだ。しかし、その利便性には欠点もある。生成と使用が非常に簡単になったことで、その人気に乗じて悪用される新たな詐欺が横行するようになったのだ。
2020年はあらゆる変化が加速した年でした。新型コロナウイルスのパンデミックの到来により、企業は迅速な対応を迫られ、ペーパーレスで非接触型のメニューを提供する手段としてQRコードを見出しました。この習慣の変化は定着し、現在ではQRコードは飲食業界だけでなく、決済、デジタルチケット、事務手続き、さらには長いパスワードを入力せずにWi-Fiネットワークにアクセスするためにも利用されています。しかし、時が経つにつれ、QRコードはサイバー犯罪者にとって魅力的な標的となり、彼らは新たな攻撃手法を「QRishing」と名付けました。そして、この攻撃において最も脆弱なのは、たいていユーザーの焦りです。
QRコードとは何ですか？また、どのように機能するのですか？
QRコード（クイックレスポンスコード）は、情報を二次元的に記録する光学タグです。従来のバーコードはデータを一方向にしか記録しませんが、QRコードはグリッド内で水平方向と垂直方向の両方にデータを分散させます。この構造により、同じスペースにより多くのコンテンツを含めることができ、また、部分的な損傷や小さな汚れがあっても読み取れるように、エラー訂正システムも組み込まれています。
作成プロセスはシンプルです。ジェネレーターが目的のコンテンツ（URL、テキスト、電話番号、Wi-Fi接続データなど）をビットに変換し、グリッドに配置し、カメラの向きを合わせるための3つの角の正方形を追加します。この作成の容易さによって利用範囲は拡大しましたが、同時に、技術的な知識がなくても誰でも悪意のある目的でQRコードを作成できるという問題も生じています。
QRコードには、静的QRコードと動的QRコードという2つの種類があります。静的QRコードは情報を固定形式で保存するため、内容を変更する場合は新しいコードを生成して再配布する必要があります。これは、シリアル番号や一度限りの登録など、変更されないデータに適しています。一方、動的QRコードは短いリダイレクトを介して機能します。QRコードは変更可能な中間アドレスを指し示すため、印刷後に宛先を変更しても再印刷する必要はありません。レストランやショップでは、毎週新しいコードを生成することなくメニューやキャンペーン情報を更新できるため、このオプションが好まれています。
暗黒面：QRishingの仕組みはこうだ
サイバー犯罪者がQRコードを詐欺行為に最適な手段として利用し始めたことで、問題が浮上しました。QRishingは、従来のフィッシング詐欺の一種で、攻撃者が偽のコードを印刷し、正規のコードの上に貼り付けたり、パーキングメーター、駐車標識、壁、掲示板などの公共の場所に貼り付けたりします。被害者がそれをスキャンすると、企業、銀行、または公的機関を装った偽のウェブサイトに誘導され、パスワード、個人データ、または銀行情報を盗み出すことが目的となります。
最もよくある手口の一つは、レストランのテーブルや駐車場の料金支払い看板などに貼られた元のQRコードの上にステッカーを貼ることです。コードが剥がれていたり、位置がずれていたり、看板の他の部分と印刷品質が異なっていたりする場合は、スキャンしない方が賢明です。また、「配達確認」や「配送状況追跡」のためのQRコードが付いた、身に覚えのない荷物が自宅に届くケースもあり、実際には詐欺サイトに誘導されるケースもあります。さらに、デバイスをリンクするためにコードをスキャンするようにユーザーに促すWhatsAppメッセージも、スペインやヨーロッパ各地でよく使われる詐欺の一つです。実際には、第三者にアカウントへのアクセスを許可しているだけなのです。
年末年始の休暇シーズンは、リスクを著しく高めます。8月は、年末の決算手続きや季節雇用と重なるため、サイバー犯罪者が活動範囲を旅行業界全体に拡大すると専門家は警告しています。例えば、「緊急」郵便で送られてくる航空券、予約プラットフォームのなりすまし、遅延や未払い料金に対する不正な払い戻しなどが挙げられます。さらに、ビッシング（音声なりすまし）は進化しており、AIを活用した音声クローン技術を用いて従業員を騙し、送金や銀行口座の変更を不正に取得する手口が用いられています。このような場合、専門家は明確なアドバイスをしています。緊急の電話やメッセージを受け取った場合は、疑念を抱き、行動を起こす前に別の手段で発信元を確認することが重要です。
スキャンする前に偽のQRコードを検出する方法
スペイン国立サイバーセキュリティ研究所（INCIBE）は、この件について以前から警告を発しています。主な推奨事項は、URLを開く前にプレビューすることです。AndroidとiPhoneの両方で、コードをスキャンすると宛先アドレスが表示されるので、数秒かけて確認してください。ドメインが会社の正式名称と一致しない場合、スペルミスや不審な文字が含まれている場合、または短縮リンクの場合は、クリックせずにページを閉じるのが最善です。
もう一つの危険信号は、スマートフォンがAPKファイルのダウンロードを要求する場合です。これは特にAndroid端末ではマルウェアがインストールされる可能性があるため危険です。また、ページを開いた直後にパスワードや銀行口座情報の入力を求められる場合も注意が必要です。正規のウェブサイトでは、QRコード経由で初回アクセス時にこのような情報を要求することはほとんどありません。
専門家が繰り返し強調する実践的なヒントには、次のようなものがあります。
- 信頼できる情報源からのコードのみをスキャンしてください。できれば、後から貼られたステッカーではなく、固定された支持体上のコードをスキャンしてください。
- リンクを開く前にウェブアドレスを確認し、短縮URLサービスは信用しないでください。
- スキャンには、サードパーティ製アプリではなく、スマートフォンの標準カメラを使用してください。
- サイトに少しでも疑念を抱いた場合は、個人情報や銀行情報を入力しないでください。
- スマートフォンのオペレーティングシステムとアプリケーションは常に最新の状態に保ってください。
不審なコードをスキャンして見慣れないウェブサイトにアクセスしてしまった場合は、まずすぐにそのサイトを閉じてください。パスワードを入力した場合は、サービスの公式サイトでできるだけ早くパスワードを変更し、二段階認証を有効にしてください。見慣れないアプリをダウンロードした場合は、アンインストールしてデバイスのセキュリティスキャンを実行してください。さらに、連携している銀行口座の利用状況を確認し、不審な取引に気づいたら、銀行に連絡してカードを停止してもらうことをお勧めします。迅速な対応が、大きなトラブルとちょっとした不便との分かれ目となるでしょう。
詐欺以外にも、QRコードには良い面もある
リスクはあるものの、QRコードを悪者扱いすべきではありません。企業や政府機関にとって、QRコードは依然として有用で経済的、かつ非常に汎用性の高いツールです。パスワードを入力することなく、文書や動画へのアクセス、決済、デジタルチケット、美術館情報、位置情報共有、Wi-Fi接続などが可能です。紙媒体からモバイルへの移行が容易であることも、パンデミック後もQRコードが私たちの日常生活に欠かせない存在であり続ける理由です。重要なのは、QRコードを賢く利用し、サイバーセキュリティ専門家がよく指摘するアドバイス、つまり衝動的に行動せず、行動を起こす前に必ず情報源を確認することです。
ですから、次に街中やタクシーの中、あるいはバーなどでスマートフォンを取り出してQRコードをスキャンする際は、少し時間をかけてデバイスとそれが導くウェブサイトのアドレスを注意深く確認してください。テクノロジーのおかげでページを開くのはほんの一瞬になりましたが、そのスピードは同時に詐欺を企む者にも有利に働いています。少し注意を払うだけで、QRコードは私たちのデータを危険にさらすことなく、生活をより便利にしてくれるものとなるでしょう。
