QR コードは完全に定着しました。サークルのチラシ、カフェのテーブル、イベントのポスター、決済端末。私たちは何も考えずに読み取っています。詐欺師もそこに気づきました。「クイッシング」（QR フィッシング）は、いま日本でも世界でも、学生を狙う詐欺のなかで最も急速に増えているもののひとつです。
手口は驚くほど単純です。QR コードとは、要するに「読めないリンク」です。tuj-events.example.com という文字列なら、目で見て違和感に気づけます。しかし QR コードは、目で確かめる材料を何も与えてくれません。詐欺師はこの盲点を、主に3つの形で利用します。
QR 詐欺の3つの型
ステッカーの上書き。 詐欺師は自分の QR コードをシール用紙に印刷し、本物の上から貼り付けます。パーキングメーター、レンタサイクルの操作パネル、飲食店の卓上ポップなど。ポスター自体は本物でも、コードはもう本物ではありません。屋外のコードを読み取る前に、指でなぞってみてください。別のコードの上にシールが貼られていたら、それは明確な危険信号です。
うますぎるチラシ。 「学生限定、無料コンサートチケット。読み取って応募」「アルバイト、時給4,000円、シフト自由」。このチラシは、あなたに読み取らせるためだけに存在します。コードの先にあるのは、学籍アカウントや決済情報を抜き取るページです。景品ははじめから存在しません。チラシの主張が丸ごと「読み取って」であるなら、条件が良く見えるほど強く疑ってください。
偽の決済ページ。 実在する支払いのために読み取ったのに、PayPay やクレジットカード入力画面をそっくり複製したページに着地します。金額まで正しく表示されています。違うのは、カード番号の行き先だけです。決済用の QR コードこそ、何かを入力する前に URL をいちばん慎重に確認すべき相手です。
セキュリティ研究者のように読み取る
QR コードを使うのをやめる必要はありません。4秒ほどの「ひと呼吸」を足すだけです。
- プレビューを読む。 カメラアプリは開く前に遷移先の URL を表示します。それを実際に読んでください。見慣れないドメイン、短縮リンク（
bit.ly/...）、意味不明な文字列。どれかに当てはまるなら開かないこと。 - 読み取ったリンクからログイン・支払いをしない。 QR コードの先がログイン画面や決済画面だったら、そこで止まります。アプリを開くか、公式サイトのアドレスを自分で入力してください。この習慣ひとつで、QR 詐欺のほぼすべてを無効化できます。
- お金が絡むものはシールの有無を確認する。 メーター、券売機、シェアサイクル、募金箱。
- 「読み取ると無料でもらえる」は詐欺の広告だと考える。 信頼できる人が確認してくれるまでは。
キャンパスで見つけたら
読み取らずに写真を撮り、場所と時間を記録して、キャンパスの警備部門と私たちの両方にメールしてください。前学期は、あるメンバーの報告のおかげで、偽の「サークル勧誘」チラシが一日で撤去されました。「コミュニティで守り合う」というのは、標語ではなく、まさにこういうことです。