あなたのビジネスは、どのQRコードが改ざんされたかを知らずにQRコードを使用していませんか？QRコードフィッシング（一般に「クッシング」と呼ばれる）は、日常的な利便性を認証情報窃盗の罠に変え、従来のセキュリティフィルターではしばしば完全に見逃されます。このガイドでは、これらの攻撃がどのように機能するか、ビジネスにどのようなコストがかかるか、そしてそれらを阻止するために導入できる具体的な対策について説明します。.
QRコードフィッシングの仕組み
QRコードフィッシングは、根本的な弱点、つまりQRコードが人間には読めないことを悪用します。従来のURLであれば、訓練された目を持つ人は、偽装されたドメインや疑わしい文字列をしばしば見破ることができます。QRコードは、そのすべてを隠蔽します。MobileIronのグローバルバイスプレジデントであるアレックス・モシャーは次のように説明しています。
“「QRコードは本質的にその宛先を隠蔽します。したがって、検出されることなくQRコードを別のリソースを指すように変更する能力は、単純かつ非常に効果的です。」”
攻撃者は、悪意のあるURLをQRコード内に埋め込み、被害者を認証情報を収集するために設計された偽のログインページや、マルウェアのダウンロードを引き起こすサイトにリダイレクトします。問題をさらに複雑にしているのは、多くのメールセキュリティシステムがQRコード画像をデコードできないことです。これらはリンクではなく画像として認識するため、通常のフィッシングURLを捕捉するフィルターをすり抜けてしまいます。.
2023年には、QRコードフィッシングが全フィッシング攻撃の22%を占めました。ある大規模なクッシングキャンペーンは数ヶ月で2,400%増加し、企業を標的とした作戦の分析では、悪意のあるメールの約29%にQRコードが含まれていることが判明しました。.
攻撃者が悪意のあるQRコードを仕掛ける場所
メールおよび文書攻撃 は最も一般的な配信方法です。攻撃者は、メールセキュリティフィルターを回避するために、PDFまたはWordの添付ファイル内にQRコードを埋め込みます。2023年には、クッシング攻撃の82%が信頼できるブランドを装っており、観測されたケースの51%でMicrosoftが標的となり、DocuSignが31%、Adobeが15%と続きました。2024年中頃から後半にかけて、研究者たちはPDFに埋め込まれたQRコードを含む50万件以上のフィッシングメールを発見しました。.
物理的な改ざん も同様に危険です。攻撃者は、レストラン、パーキングメーター、空港、小売店などの人通りの多い場所に、正規のコードの上に不正なQRコードステッカーを貼り付けます。サンフランシスコでは、犯罪者が駐車違反切符に偽造QRコードを貼り付け、ユーザーをクレジットカード情報を盗むために設計された偽の交通機関ページに誘導しました。社会保障庁は、公式の標識にある正規のQRコードは通常ステッカーではないと特に警告しており、ステッカーとして貼られたコードは疑わしいものとして扱うべきだと述べています。.
ソーシャルエンジニアリングの誘惑 が全体像を完成させます。被害者は、割引を受けたり、無料Wi-Fiに接続したり、アンケートに回答したりするためにQRコードをスキャンするよう促されます。シンガポールで記録されたあるケースでは、ある女性がバブルティーショップでロイヤルティ報酬を期待してコードをスキャンしました。しかし、代わりに悪意のあるアプリが彼女の携帯電話にダウンロードされ、攻撃者は彼女の銀行口座から2,000ドルを引き出しました。.
これらの攻撃がビジネスにもたらすコスト
認証情報とデータの窃盗
クッシング攻撃のほぼ90%は、ログイン認証情報と機密データを盗むために特別に設計されています。攻撃者は、被害者をMicrosoft 365、SharePoint、または銀行ポータルの説得力のあるレプリカにリダイレクトします。役員は、その認証情報が重要なシステムと特権データを解除するため、不釣り合いに標的とされます。.
個人のデバイスがこれをさらに悪化させます。従業員が企業管理に登録されていない携帯電話でQRコードをスキャンすると、ITチームは何が起こったか、何にアクセスされたかについて可視性がありません。.
経済的損失
2023年のデータ侵害の平均コストは$445万ドルに達し、ビジネスメール詐欺（BEC）の平均は$489万ドルでした。これは規制当局からの罰金や法的費用を考慮に入れる前の数字です。直接的なフィッシングによる損失は前年比で76%急増しました。個々の事例はその規模を示しています。英国の鉄道駅での詐欺により、ある被害者は13,000ポンドの負債を抱え、カルガリーのある家族はFacebook MarketplaceのQRコード詐欺で$1万ドルを失いました。.
中小企業は損害の不均衡な割合を吸収しています。英国では、中小企業は毎日推定65,000件のサイバー攻撃に直面しており、成功した攻撃を解決するための平均コストは約$33,700ドルです。.
業務の中断と風評被害
盗まれた認証情報は、ランサムウェア展開の侵入経路となることが頻繁にあります。2023年、組織はランサムウェア事件からの復旧に平均$182万ドルを費やしました。建設・エンジニアリング企業は平均よりも19.2倍高いQRコード攻撃のリスクに直面し、専門サービス企業は18.5倍高いリスクに直面しています。.
業務停止時間以外にも、顧客データが漏洩した場合、企業は顧客離れ、サイバーセキュリティ保険料の増加、規制当局の監視に直面します。侵害後に信頼を再構築するには、技術的なインシデント自体を解決するよりもはるかに時間がかかります。.
QRコードフィッシングを防ぐ方法：多層的なアプローチ
単一の制御でクッシングを排除することはできません。セキュリティ研究者、連邦機関、および企業セキュリティチームからの共通の推奨事項は、メールフィルタリング、ID制御、エンドポイント保護、従業員トレーニング、および報告ワークフローを組み合わせた多層防御です。.
メールセキュリティ制御
標準的なリンクスキャンを超える機能を備えたメールセキュリティシステムを構成します。効果的な制御には以下が含まれます。
- OCR対応フィルタリング メール内のQRコード画像をデコードし、埋め込まれたURLを脅威インテリジェンスと照合して分析するもの
- アンチフィッシングポリシー 画像ベースのペイロード、特にPDFやOfficeドキュメントの添付ファイルに埋め込まれたQRコードを検出するように調整されたもの
- メール内の未承諾のQRコードをデフォルトで高リスクとして扱う厳格なスパムゲートウェイ規則
Microsoft 365環境に特化して、Microsoft Defender for Office 365は、評判チェックとセーフリンク評価のために埋め込まれたURLを表面化させるQRコード画像デコードを含んでいます。.
IDとアクセス制御
盗まれた認証情報は、使用できる場合にのみ有用です。多層的なID制御は、そのリスクを大幅に軽減します。
- 多要素認証 (MFA) すべてのアカウントに適用し、高特権ユーザーや役員にはより強力な認証要件を課す
- フィッシング耐性のあるMFA方式 ハードウェアセキュリティキーやパスキーなど、正規のドメインに紐付けられており、不正なサイトによって傍受されないもの
- MFAをサポートしないレガシー認証プロトコルをブロックし、一般的なバイパス経路を排除する
- 未管理デバイスからのサインイン試行をフラグ付けまたはブロックする条件付きアクセス ポリシー
QRコードが認証ワークフローとどのように交差するかについてのより深い文脈については、以下を参照してください。 QRコードが多要素認証をいかに簡素化するか.
エンドポイントとデバイスの保護
最新のエンドポイントセキュリティを備えた管理対象デバイスは、重要なセーフティネットを提供します。
- すべての管理対象デバイスにエンドポイント検出および応答 (EDR) を展開する
- 既知のフィッシングドメインに到達する前にユーザーに警告するブラウザの評判チェック (Microsoft SmartScreenなど) を有効にする
- 業務でQRコードをスキャンするために使用される電話にセキュリティベースラインを強制するモバイルデバイス管理 (MDM) ポリシーを適用する
- 企業ネットワーク上の未管理デバイスからのダウンロードを制限する
FTCは、デバイスのオペレーティングシステムを最新の状態に保ち、アカウント全体で強力でユニークなパスワードを使用することを、フィッシングの試みが成功した場合の影響を軽減する基本的な衛生対策として推奨しています。.
従業員のトレーニングと意識向上
従業員はクッシングに対する最も直接的な防御線であり、トレーニングは明確でなければなりません。一般的なフィッシング対策の意識は、QRコードの脅威に自動的に転用されるわけではありません。.
効果的なトレーニングプログラムは以下をカバーします。
- QRコードが危険な理由：スキャンするまで宛先が隠されているため
- QRコードを含むメールの危険信号：緊急性、一般的な挨拶、既知のブランドからの未承諾メッセージ、ログイン資格情報の要求
- 物理的な改ざんの兆候：印刷物の上にステッカーとして貼られたコード、非公式の標識にあるコード
- 確認の習慣：予期せぬメールでQRコードが届いた場合、コードをスキャンするのではなく、既知の電話番号または公式ウェブサイトを通じて送信者に連絡する
- URLの検査：スキャン後、資格情報を入力する前にブラウザバーのURLを確認する – スペルミス、文字の入れ替わり、または見慣れないドメインに注意する
米国保健福祉省は、エンドユーザーに対し、健全な懐疑心を保ち、疑わしい送信元アドレス、偽装されたリンク、不適切な文法などの兆候を認識するようトレーニングすることを推奨しています。これらはすべて、テキストベースのフィッシングキャンペーンと同様に、QRベースのフィッシングキャンペーンにも現れます。.
標準的なフィッシングシミュレーションと並行して、模擬クッシング演習を実施する。役員、財務チーム、管理者権限を持つ者など、高リスクグループを対象に、より頻繁で現実的なシナリオで実施する。.
より広範な視点については サイバー防御におけるQRコードセキュリティのベストプラクティス, （暗号化や認証ペアリングを含む）そのガイドでは、技術的な制御についてより深く解説しています。.
報告とインシデント対応
従業員は、メール内および物理的な場所の両方で、疑わしいQRコードを報告するための明確で手間のかからない方法を必要としています。メールクライアントのフィッシング報告ボタンは、デジタル報告の手間を省きます。物理的なコードについては、疑わしいステッカーや改ざんされた素材をどのように特定し、撮影するかについてのガイダンスを提供します。.
インシデント対応計画では、明確な手順でクウィッシングのシナリオに特に対処する必要があります。
- 悪意のあるQRコードを介して認証情報を送信した可能性のあるアカウントを隔離する
- アクティブなセッションを取り消し、パスワードを直ちにリセットする
- スキャンから対応までの間に、不正アクセスやデータ移動がないか確認する
- 侵害通知ポリシーに従って、影響を受けた個人に通知する
- 事後レビューを実施し、QRコードが既存の制御をどのように回避したかを特定する
攻撃者よりも先に脆弱性を見つけるために、クウィッシングのシナリオを含む侵入テストを実施する。.
ビジネスが展開するQRコード：自社のコードを保護する
クウィッシングを防止することは、ビジネスが公開するQRコードが顧客や従業員に対して悪用されないようにすることも意味します。.
静的QRコードではなく、動的QRコードを使用してください。. 静的コードは、宛先URLを永続的にエンコードします。その宛先が侵害された場合、コードは再印刷なしでは修正できない負債となります。. ダイナミックQRコード 管理する短いリダイレクトURLを指すようにします。印刷物を変更することなく、管理ダッシュボードから宛先を更新したり、新しいページにリダイレクトしたり、コードを完全に無効にしたりできます。.
公開されたQRコードを管理下に置く 展開したコードのいずれかが改ざんされた、または安全でない場所を指している疑いがある場合は、即座に更新または無効にできます。 ダイナミックQRコード作成ツール リアルタイムのスキャン分析を備えた一元化されたダッシュボードから、すべてのコードを管理します。.
コードに一貫したブランディングを適用する。. 71%の人が、偽のQRコードと正規のQRコードを確実に区別できません。ロゴ、企業カラー、宛先URLにカスタムドメインを含むブランド化されたQRコードは、コードが本物であるという視覚的な信号をユーザーに与えます。不透明な短縮URLを持つ一般的な白黒のQRコードは、そのような保証を提供しません。.
スキャン分析で異常を監視する。. ダイナミックQRコードは、タイムスタンプ、デバイスの種類、地理的位置などのスキャンデータを収集します。予期せぬ地域からのスキャンの急増や、通常の営業時間外のスキャン活動は、コードの1つが悪意を持ってコピーされ、再配布されたことを示している可能性があります。Pagelootの分析ダッシュボードはこれらのパターンを明らかにし、迅速な調査と対応を可能にします。.
コードがどのようなスキャンデータを収集し、それを責任を持って解釈する方法の詳細については、以下を参照してください。 ダイナミックQRコードが追跡するデータを理解する.
定期的な物理監査を実施する。. レストランのテーブル、イベントの看板、車両のディスプレイ、小売店のウィンドウなど、公共または半公共の場所に表示されているQRコードについては、定期的に物理的な検査を行ってください。元のコードの上に貼られたステッカーがないか確認し、顧客が遭遇する前に各コードのリンク先をテストしてください。.
HTTPSのリンク先のみを使用する。. QRコードがリンクするすべてのURLはHTTPSを使用する必要があります。暗号化されていないHTTPのリンク先にユーザーを送信すると、信頼が損なわれ、転送中のデータが露出します。.
追加のガイダンスについては QRコードのプライバシーリスクとその回避方法, 、ユーザーのプライバシーと分析のバランスをどのように取るかを含め、そのリソースは企業が見落としがちなデータに関する考慮事項を網羅しています。.
検出ツールの評価
従業員トレーニングとプラットフォーム制御はリスクの大部分に対処しますが、専用の検出ツールはさらなる層を追加します。特に、メール量が多い組織や複雑なQRコード展開を行っている組織にとっては重要です。オプションを評価している場合、, QRコードフィッシングを検出するために設計されたツール は、エンタープライズ行動分析プラットフォームから、メールゲートウェイのアドオン、評判チェック機能が組み込まれたモバイルスキャンアプリまで多岐にわたります。.
適切な組み合わせは、既存のセキュリティスタック、受信するQRコードと展開するQRコードの量、および物理的な改ざんがあなたの場所にとって重大な懸念事項であるかどうかに依存します。クイッシングは架空の脅威ではありません。それは現実世界のフィッシング活動のかなりの部分を占め、ほとんどの組織がすでに導入している制御を回避し、それを認識する準備が最もできていない企業やユーザーを不均衡に標的にします。このギャップを埋めるには、メールセキュリティ、ID制御、従業員トレーニング、そしてあなた自身が公開するQRコード全体にわたる意図的な行動が必要です。.
すぐに実装できる制御（MFA、従業員の意識向上、公開コードのダイナミック管理への切り替え）から始め、その後、クイッシング攻撃が組織に対して一貫して失敗するような多層防御を構築してください。.
よくある質問
通常のフィッシングでは、メール本文に表示されるURLや、訓練されたユーザーがクリック前に確認できるハイパーリンクが使われます。QRコードフィッシングは、その宛先を完全に隠します。悪意のあるURLは画像内にエンコードされており、スキャンするまで見えません。このため、メールセキュリティフィルターにとっても検出が困難になります。フィルターはリンクではなく画像を見るからです。その結果、QRコードフィッシングは、テキストベースのフィッシングを効果的に捕捉する多くの制御を回避します。.
最初に最も影響の大きい制御に焦点を当ててください。具体的には、すべてのアカウントで多要素認証を有効にし、従業員には予期せぬQRコードを不審なものとして扱い、独立したチャネルを通じて確認するよう訓練し、公開されているQRコードは静的なものから動的なものに切り替えて、問題が検出された場合に更新または無効化できるようにします。これらの手順はほとんど費用がかからず、最も一般的な攻撃経路を排除します。未知のコードをスキャンする前にはURLプレビュー機能付きのQRコードスキャナーを使用し、従業員が不審なコードをIT部門に報告するための明確なプロセスを確立してください。.
静的QRコードは、宛先URLを永続的にエンコードします。そのURLが侵害された場合、または攻撃者があなたのコードをコピーして悪意のあるサイトを指すように再配布した場合、すべてを再印刷することなく、元の印刷されたコードを修正する方法はありません。動的QRコードは、あなたが中央で管理する短いリダイレクトURLを介してルーティングされます。宛先を変更したり、パスワード保護を追加したり、有効期限を設定したり、スキャンアクティビティをリアルタイムで監視したりできます。何か問題があるように見えた場合、すぐにコードを無効にできます。この柔軟性と可視性の組み合わせにより、動的コードは、一般公開される、または継続的なビジネスコンテキストで使用されるあらゆるQRコードにとって、はるかに安全になります。.
