QRコードのフィッシング対策：開く前に確認する順番
この記事はAIの支援を受けて原文を翻訳したものです。専門用語や数式は原文とあわせて確認してください。
QRコードの模様だけでは、リンク先が安全かどうか分かりません。メニュー、荷物、ポスターのどれでも、見るべきなのは移動先のアドレスと要求される操作です。読み取り、ページを開くこと、ダウンロード、情報入力を一つの出来事として扱わず、段階ごとに確認しましょう。
掲示された場所とリンクの信用を分ける
見慣れた看板にも別のQRステッカーが重ねられることがあります。「配送先の修正が必要」というメッセージも、送信者の主張にすぎません。FTCは偽サイトへ誘導する手口をQRコード詐欺の注意喚起で説明しています。いつもの場所にあるという理由だけで、リンクの運営者まで確認できたことにはなりません。
進む前に3回立ち止まる
- 状況：待っていた案内か、誰が掲示したか、突然ログインやアプリの追加を要求していないかを確認します。
- アドレス：カメラにリンクのプレビューが出る場合は先に読みます。短縮されて移動先が判断できなければ、既知の公式アプリやアドレスを使います。
- 操作：メニューを見るためにパスワードが必要でしょうか。配送状況を確認するために認証コードを他人へ渡す必要があるでしょうか。
説明用の予約ドメインを使った example.com.help.example.net は example.com のサブドメインではありません。ブランド名がアドレスの前方やパスにあるだけでは同じ運営者と判断できません。HTTPSも通信の保護を示すもので、期待した企業が運営している証明ではありません。
別の入口で同じ情報を確認する
配送案内ならメッセージ内の電話番号やリンクではなく、以前から知っている配送会社のアプリやウェブサイトを開きます。イベントの受付コードなら担当者に移動先を確認してもらいます。渡されたQRを使わずに依頼を確認できるかが、判断の助けになります。FTCのフィッシング案内でも独立した連絡経路を勧めています。
すでに開いた場合は、した操作を記録する
| したこと | 次の確認 |
|---|---|
| ページを開いて閉じた | ダウンロードと新たな権限の有無 |
| ファイルを取得した | 実行やインストールもしたか |
| ログイン情報を入力した | 公式サービスで安全設定とセッションを確認 |
「ページを見た」と「アプリを入れてパスワードを入力した」では対応が違います。順番を記録し、認証情報を渡した場合はサービスの公式手順でログイン活動などを点検します。真偽を試すために怪しいページへ戻ったり、そのページが勧める保護ソフトを入れたりせず、起きた事実から次の行動を選んでください。
急いでいる職場の受付でも同じ順番を使えます。担当者に直接確認できるのに個人メールのログインを求められたら、今回の手続きになぜ必要なのかを先に質問します。
あわせて読みたい記事
本文の理解を助けるために制作したオリジナルイラストです。