出典：フィッシング対策協議会（フィッシング報告件数）より。

１．なぜ、今「QRコード」が狙われるのか？

従来のフィッシングメールは、本文に記載された「リンク（URL）」をクリックさせるものが大半でした。しかし、多くの企業がセキュリティ対策ソフトを導入したことで、怪しいURLを含むメールは自動的に検知・ブロックされるようになっています。そこで攻撃者が目をつけたのがQRコードです。

セキュリティソフトの目を盗む

多くのメールフィルターは、画像内に埋め込まれたURLの解析を不得手としています。そのため、従来のリンク形式であればブロックされていたはずの悪意あるメールが、「安全なメール」として受信トレイを通過してしまうリスクがあるのです。

モバイル端末という「セキュリティの死角」を突く

パソコンには強力なセキュリティソフトが導入されていても、個人のスマートフォンは対策が手薄なケースが多々あります。QRコードをスマホで読み取らせることで、攻撃者は企業の監視の目が届かない環境へユーザーを誘い出すのです。

２．巧妙化する具体的な手口

特に注意すべき、代表的な2つのパターンをご紹介します。

多要素認証（MFA）の再設定を促す

「セキュリティ強化のため、アカウントのMFA（多要素認証）の再設定が必要です。以下のQRコードをスマートフォンで読み取り、手続きを完了させてください。」
企業のIT管理者を装うこの手口は、セキュリティ意識が高い人ほど「迅速に対応しなければ」という責任感から、ついスキャンしてしまう心理的隙を突いています。

重要書類や給与明細の確認

「今月の給与明細（または社内規約の改定通知）を発行しました。詳細はこちらのQRコードからアクセスしてご確認ください。」業務連絡を装い、知的好奇心や義務感からQRコードをスキャンさせようとする手口です。

３．被害に遭わないための「3つの防衛策」

この潜在的な脅威から組織と個人の資産を守るために、以下の3つの防衛策を徹底することを推奨いたします。

【鉄則1】メール内のQRコードは「原則スキャンしない」

社内連絡であれ、外部企業からの通知であれ、メール本文にQRコードが添付されているケースは極めて稀です。基本的には「怪しい」と疑ってください。

【鉄則2】アクセス先のURL（ドメイン）を必ず確認する

万が一スキャンしてしまった場合も、まだ間に合います。ブラウザが開いた際、アドレスバーに表示されているURLが、公式なものであるか（例：見慣れた社内システムのドメインか）を必ず目視で確認してください。

【鉄則3】迷ったら「正規のルート」からログインする

メールのQRコードからではなく、普段ブックマークしているお気に入りや、社内ポータルサイトから直接該当のページへアクセスし、通知が本物かどうかを確認する癖をつけましょう。

技術が便利になればなるほど、攻撃者はそれを悪用する新しい方法を編み出します。しかし、どれだけ手口が巧妙になっても、「一歩立ち止まって確認する」という私たち一人ひとりの意識が、最大の防御壁になります。

技術の進歩は利便性をもたらす一方で、攻撃者にとっても新たな武器となります。しかし、いかに手口が高度化しようとも、「一歩立ち止まり、正当性を確認する」という一人ひとりの堅実な意識こそが、組織における最大の防御壁となります。不審な兆候を察知した際や、万が一の事態が発生した場合には、迅速に組織のセキュリティ担当部署へ報告・相談できる体制を整えておくことが、被害を最小限に食い止める鍵となります。