https://infomation-sytem-security.hatenablog.com/entry/quishing-corporate-security-measures

こんにちは、情報システム部セキュリティ担当の城咲子です。CISSPと登録セキスペの資格を持ち、日々組織のセキュリティを守る仕事をしています。

最近、私たちの生活にすっかり定着したQRコード。キャッシュレス決済から飲食店の注文、イベントの入場まで、その利便性は誰もが実感しているところだと思います。

しかし、その利便性の裏で、「クイッシング（Quishing）」と呼ばれるQRコードを悪用した詐欺が爆発的に増加していることをご存知でしょうか？

これは単なる個人の問題ではなく、企業のセキュリティを根本から揺るがす重大な脅威です。今日は、なぜクイッシングがこれほど危険なのか、その巧妙な手口から、私たち情シス部門がどう立ち向かうべきかまで、専門家の視点で徹底的に解説します。

1. なぜQRコードが「最強の釣針」となったのか？

日本政府がキャッシュレス化を推進し、2024年には決済比率が4割を超えるなど、QRコード決済は急速に普及しました [1][3]。特にPayPayのユーザー数が7,000万人を超える [4] など、QRコードをスキャンする行為は、もはや「深く考えずに行う日常の習慣」になっています。

ここに攻撃者の狙いがあります。

攻撃者は、技術的な脆弱性よりも、この技術の成功によって生まれた「人間の行動パターン＝警戒心の低下」を悪用しているのです。

私が情シス担当として最も懸念しているのは、この点です。プライベートで日常的にQRコードを使う習慣が、そのまま職場に持ち込まれる。従業員が、業務メールに含まれるQRコードに対しても、本来必要な警戒心を払えなくなる「利便性と警戒心のギャップ」こそが、最大のリスクとなっています。

2. QRコード詐欺「クイッシング」の巧妙な手口

クイッシングの手口は、物理的な世界とデジタルの世界の両方から仕掛けられます。

手口1：物理的な「重ね貼り」攻撃

これは最も古典的かつ効果的な手口です。正規のQRコードの上に、攻撃者が用意した悪意のあるQRコードをステッカーで貼り付けます [7]。

飲食店の事例: あるタピオカ店で「アンケートに答えるとドリンク無料」という偽のQRコードが貼られ、スキャンした結果、不正なアプリがインストールされ、銀行口座から230万円が盗まれました [7]。
公共の事例: 駐車場の精算機やシェアサイクルに貼られた偽QRコードから、不正決済サイトに誘導されるケースも報告されています [7]。
住宅の事例: 集合住宅のポストに「家賃の支払い方法が変更されました」という偽のチラシが投函され、多くの居住者が家賃を騙し取られる事件も発生しています [7]。

QRコードは視覚的に真偽を区別するのがほぼ不可能なため、非常に悪質です。

手口2：デジタルな「なりすまし」攻撃

メールやSMSの本文にQRコード画像を埋め込む手口です。

これは、従来のセキュリティ対策を回避するために設計されています。多くのメールセキュリティシステムは、本文中の「悪意のあるURL（テキスト）」は検知できますが、「画像（QRコード）」として埋め込まれた脅威までは検知・分析しきれない場合があります [18]。

「クレジットカードの不正利用監視通知」[9] や「アカウントのセキュリティ警告」といった緊急性を装う内容で、受信者の冷静な判断を奪い、QRコードをスキャンさせようとします。

3. なぜ私たちは騙されるのか？攻撃者が突く「心の隙」

クイッシングの成功の鍵は、技術ではなく「人間の心理（ソーシャルエンジニアリング）」にあります。

権威と信頼: 銀行や公的機関を装い、指示に従わせやすくします [9]。
緊急性と恐怖: 「アカウントが停止されます」といった文言で、合理的な思考を麻痺させます [9]。
欲望と好機: 「無料ドリンク」「限定割引」といった報酬で、警戒心を解かせます [7]。
援助と欺瞞: 特に悪質なのが「返金詐D」です。電話で親切に操作を案内するふりをしながら、「取引番号」と称して「送金額」を入力させ、被害者自らの手で送金させてしまいます [7]。

情シス担当として強調したいのは、攻撃者は技術だけでなく「人間の感情」をハッキングしているという点です。 焦り、恐怖、欲望といった強い感情を引き出し、「考える前に行動させる」ことが彼らの狙いです。

4. 従業員一人ひとりが実践すべき「3つの防御ステップ」

組織を守る第一の防衛線は、従業員一人ひとりです。以下の「停止・思考・検証」プロトコルを徹底してください。

【停止】スキャン前に「状況」を疑う
- 物理的な確認: そのQRコードは後からステッカーで貼られていませんか？ [7]
- 文脈の確認: なぜ「今、ここで」QRコードをスキャンする必要があるのか？予期しないメールやチラシは最大限警戒してください [16]。
【思考】スキャン時に「宛先」を観る
- URLプレビュー: スマートフォンの標準カメラは、リンクを開く前に宛先URLの一部を表示します。そのドメインは正規のものですか？ [18]
- 短縮URLは危険: 宛先が隠蔽されるURL短縮サービスは特に注意が必要です [10]。
【検証】スキャン後に「要求」を拒否する
- HTTPSの確認: サイトは「HTTPS」で始まっていますか？ [20]
- 情報入力をしない: 予期せぬQRコードから飛んだ先で、ID、パスワード、個人情報、金融情報の入力を求められたら、それは100%詐欺です。絶対に入力しないでください [9]。

そして、個人でできる最強の防御策は「多要素認証（MFA）の有効化」です。万が一パスワードが盗まれても、MFAが最後の砦となってアカウントを守ってくれます [9]。

5. 情シス部門が構築すべき「ゼロトラスト」時代の防御網

従業員の注意喚起（教育）はもちろん重要です。しかし、私の信念は「属人性の徹底排除」です。人間の注意力だけに頼るセキュリティは必ず破綻します。

クイッシングのような脅威は、もはや「社内ネットワークを守る」という従来の境界型防御（城と堀モデル）では防げません。攻撃は、従業員がカフェでスキャンした個人のスマートフォンから始まるのですから [23]。

今、私たち情シス部門が構築すべきは「ゼロトラスト」、すなわち「決して信頼せず、常に検証する」という原則に基づいたセキュリティです。

具体的には、以下の技術的なコントロールが不可欠です。

1. エンドポイントセキュリティ (MDM/EDR)
- MDM (モバイルデバイス管理): 社用・BYODデバイスを適切に管理し、セキュリティポリシーを強制します [26]。
- EDR (エンドポイントでの検知と対応): デバイス上でマルウェアの実行や不審な挙動を検知・ブロックします [10]。
2. ネットワーク・アクセスセキュリティ (SWG)
- SWG (セキュアウェブゲートウェイ): これが極めて重要です。デバイスが社外（カフェや自宅）にあっても、すべてのウェブトラフィックをクラウド上のSWG経由にさせます。SWGが宛先URLを検査し、既知のフィッシングサイトへのアクセスをブロックします [9]。QRコードをスキャンした後でも、この層で攻撃を防ぐことができます。
3. アイデンティティセキュリティ (IAM/MFA)
- IAM (ID・アクセス管理): すべてのリソースへのアクセスをIDで一元管理し、MFAを必須にします [16]。仮にクイッシングで認証情報が盗まれても、MFAが攻撃者の侵入を防ぎます。

これらの仕組みは、セキュリティの拠点を「ネットワークの境界」から「ユーザーのIDとデバイス」そのものへ移すものです。これこそが、場所を問わず働く現代の従業員を、境界を無視するクイッシングから守る唯一の効果的な戦略です。

6. 【重要】AIがフィッシングを「見分け不可能」にする未来

私たちが直面している、さらに深刻な現実があります。それは生成AIによるフィッシングの進化です。

完璧な日本語: かつてのフィッシングメールにあった「不自然な日本語」は、AIによって完全に排除されました [21]。
高度なパーソナライズ: 攻撃者はAIを使い、ターゲット一人ひとりに最適化された、極めて説得力のある攻撃メールを大規模に自動生成できます。

もはや、「メールの文面から怪しい点を見つける」という人間系の対策は、ほぼ無力化されたと考えるべきです [22]。

これからの「防御」の常識

AIが「信頼」を偽装する時代、私たちは「手続き」で対抗するしかありません。

セキュリティ教育の焦点は、「何が怪しいか（コンテンツ分析）」から「何をすべきか（手続きの遵守）」へとシフトしなければなりません。

従業員に徹底すべき新しいルールは、「予期せぬ依頼（パスワード変更、送金、情報入力）をメールやSMSで受け取ったら、その内容がどれほど本物に見えても、絶対にその中のリンクやQRコードを使わない。必ず、自分でブックマークした公式サイトや、既知の電話番号など、別の公式チャネルを通じて事実確認を行うこと」です。

この「手続き」こそが、AIが生成した完璧な偽装メールを無力化する、最も確実な防御策となります。

7. まとめ：情シス担当者としての提言

クイッシングは、技術、心理、そして私たちの日常の習慣を巧みに突く、非常に洗練された攻撃です。

情シス部門の役割は、もはや「門番」ではありません。侵害は起こり得るという前提に立ち、従業員という「第一の防衛線」を教育しつつ、彼らが万が一ミスをしても致命傷にならない「技術的なセーフティネット（ゼロトラスト）」を張り巡らせる「リスクマネージャー」であるべきです。

従業員の皆さんには、QRコードをスキャンするその一瞬に、「停止・思考・検証」のステップを思い出していただきたいと思います。そして、少しでも「おかしい」と感じたら、ためらわずに私たち情シス部門に報告してください。その報告が、組織全体を救う重要な情報（脅威インテリジェンス）となります。

私たちも「報告しても怒られない」文化を醸成し、技術的な防御を強化することで、チーム全体でこの脅威に立ち向かっていきます。

【緊急警告】QRコード詐欺「クイッシング」が企業を襲う。セキュリティ専門家（CISSP）が教える、今すぐ情シスが構築すべき防御網

1. なぜQRコードが「最強の釣針」となったのか？