「クイッシング」――QRコードを使ったフィッシングは、サイバー犯罪者にとって急速に身近な手口となっています。企業がこのセキュリティギャップを埋めるために知っておくべきことを解説します。
慣れはしばしば過失を生みます。サイバーセキュリティの世界では、慣れはさらに危険なもの――自己満足――を生みます。QRコードがまさにその例です。かつては製品パッケージにしか見られなかったQRコードは、今ではレストランのメニュー、駐車メーター、街灯、そして企業のメールの中にも頻繁に登場します。問題は、QRコードが悪意あるリンクを隠す完璧な手段であることです。従来のメールセキュリティフィルターをすり抜け、ユーザーの操作を保護された企業のコンピューターから、はるかに防御の弱い個人のスマートフォンへと移行させます。
攻撃者は常に革新を続けています。クイッシングの手法は進化し、何も疑っていない従業員を騙すために設計されています。組織を守るために知っておくべきことをお伝えします。
なぜクイッシングはそれほど危険なのか？
QRコードは、URL、支払い情報、連絡先などを保存できる二次元バーコードです。ユーザーを素早く目的地――通常はWebサイトやアプリ――に導きます。攻撃者にとって、これらのコードはいくつかの理由で魅力的です。
第一に、QRコードはどこにでも存在します。パンデミックによる非接触型の需要が、コードをスキャンすることを日常的な習慣にしました。数年前と比べて、人々ははるかに気軽にスマートフォンを取り出してコードをスキャンするようになりました。
第二に、QRコードはフィッシングのシナリオに完璧に適合します。悪意あるリンクや添付ファイルの代わりに、攻撃者はQRコードを挿入するだけです。生成には数秒しかかかりません。多くの最新のフィッシングツールキットには、すでにQRコード生成機能が組み込まれています。しかし最も危険な点は、QRコードが被害者を比較的安全な企業環境から、ほとんど制御不能なモバイル端末へと誘導し、エンタープライズグレードのセキュリティを迂回することです。
第三に、クイッシングはステルス性が高いことです。ターゲットのURLは視覚的なパターンに埋め込まれており、テキストとして表示されません。これにより、攻撃者は悪意あるアドレスを隠蔽し、一部の従来型メールフィルターがそれを抽出・スキャンできないようにします。さらに検出を困難にするため、コードはPDFやJPEGの添付ファイル内部に埋め込まれることもあります。その結果、こうしたメールは従業員の受信箱に届きやすくなります。ひとたび受信箱に入ると、本物のメッセージと偽物の区別は困難です。タイプミスや文法ミスをチェックするためのテキストはほとんどなく、リンク自体は人間の目には見えません。
ソーシャルエンジニアリングの要素
クイッシング攻撃が信頼されたブランド――例えば偽のDocuSignメールやMicrosoftのセキュリティ警告――を利用する場合、古典的なフィッシングと同じソーシャルエンジニアリングの手法が使われます。認知されたブランドは、被害者に「安全に進んでも大丈夫」と思い込ませます。攻撃者はしばしば緊急性を演出し、「アカウントを保護してください」や「直ちに認証を完了してください」と促す通知に悪意あるQRコードを埋め込みます。
攻撃者は常に手法を改良している
他のサイバー脅威と同様に、攻撃者は最大の効果を得るために手法を磨き続けています。クイッシングはもはやマルウェアのインストールや認証情報の窃取だけに留まりません。現在では多要素認証（MFA）トークンの収集にも使われています。セキュリティ研究者は以下の攻撃シナリオを確認しています。
- アプリストアの保護を回避: マルウェアが正規のソフトウェアに偽装した直接ダウンロード。
- 正規アプリへのリダイレクト: フィッシングサイトではなく、実際のアプリ（SNS、決済アプリなど）に直接誘導。これは以下のように悪用される。
- アカウント乗っ取り: 被害者を認証させ、実際には攻撃者にアクセス権を与える。
- 金融詐欺: 受取人情報があらかじめ入力された決済アプリに被害者を誘導。
- 連絡先・カレンダーへの毒物注入: 悪意ある会議リンクや新しい連絡先をビジネスアプリに埋め込み、クリックするとフィッシングサイトにリダイレクト。
- 悪意あるWi-Fi: 被害者が自動的に攻撃者の偽装アクセスポイントに接続。
- URL短縮サービスの利用: 長い悪意あるアドレスを短いリンクに変換し、QRコードに埋め込んで検出を困難にする。
国家支援を受けたAPTグループもクイッシングを利用しています。2026年1月のFBIの通知によると、北朝鮮のグループKimsukyは、米国や他の国のシンクタンク、学術機関、政府機関を標的に、QRコードを標的型フィッシングメールに埋め込んで攻撃しています。コードをスキャンするとアンケート、登録ページ、または安全な文書リポジトリにアクセスできると主張していました。
QRコードフィッシングからビジネスを守る方法
幸いなことに、人、プロセス、テクノロジーの適切な組み合わせにより、クイッシングのリスクを大幅に低減できます。
まずは人から始めましょう。 セキュリティトレーニングプログラムにクイッシングの認識を組み込み、模擬クイッシング演習を実施します。不審なメールのQRコードをスキャンしないよう従業員を励まし、疑わしいメッセージを報告するよう促します。従業員が信頼できる送信元からのメールだと思った場合、そのメールとは別に入手した連絡先を使用して送信者に確認するべきです。
次に、技術的な防御策を導入します。
- 信頼できるプロバイダーのメールセキュリティソリューションを使用して、クイッシングメールがユーザーの受信箱に届くリスクを最小限に抑える。
- モバイル端末セキュリティを導入し、従業員のスマートフォンでの悪意あるWebサイトへのアクセスやその他の脅威をブロックする。
- すべての機密アカウントにフィッシング耐性のあるMFAを実装する。ユーザーが騙されても、攻撃者が企業システムに足場を築くことを防ぐ。
- MDM（モバイルデバイス管理）ツールを使用して、すべてのデバイスが企業のセキュリティポリシーに準拠していることを確認する。
- 攻撃対象領域を減らす。最小権限の原則とジャストインタイムアクセスを適用する。モバイルOSと企業ソフトウェア（セキュリティツールを含む）を常に最新の状態に保つ。
- 不審なアクティビティを継続的に監視し、最悪のシナリオに備えてインシデント対応計画を定期的に訓練する。
慣れをセキュリティツールとして活用する
QRコードは珍しいものから企業生活の標準的な一部へと変わりました。クイッシングも同様です。慣れが自己満足を生んではいけません。従業員が従来のメールやSMSでのフィッシングに警戒することを学んだように、クイッシング攻撃の兆候を見分けるように訓練できます。適切な条件下では、慣れはセキュリティに有利に働くこともあります。