QR コードのセキュリティリスクと、安全性の確かめ方
QR コードは、読めないリンクです。攻撃面はそこに尽きます。
現実的な 4 つのリスク
| リスク | 手口 | 確認すべきこと |
|---|---|---|
| フィッシング（クイッシング） | そっくりのログイン画面へ誘導 | ドメインを 1 文字ずつ読む |
| ステッカーの上貼り | 本物のコードの上に偽物を貼る | 浮いた縁や印刷の不揃いを見る |
| 決済のすり替え | 支払い地点でコードを差し替える | 店側が掲示しているものと比べる |
| マルウェア配布 | APK やプロファイルの取得へ誘導 | QR コードからは何もインストールしない |
punycode と似たドメイン
非ラテン文字の一部は、ラテン文字と見分けがつかない形をしています。その文字で登録されたドメインは、見慣れた単語として表示されながら別の場所へ解決されます。ブラウザがそうしたドメインを punycode 形式（xn-- で始まる形）で表示するのは、まさに目立たせるためです。
URL のホストが xn-- で始まるなら、そうでないと確認できるまで疑ってください。一般利用者向けのリンクがそう見える正当な理由は、まずありません。
実際に役に立つ習慣
- ページのデザインではなくドメインを見る。ログイン画面の完璧な複製は安く作れる。
- 公共の場でコードを読んで到達したページに、パスワードを入力しない。
- 割引を約束するコードより、自分で開いた決済アプリを優先する。
- 飲食店のメニューで、カード情報を求めるコードはメニューではない。
よくある質問
QR コードを読むだけでマルウェアに感染しますか？
しません。QR コードはテキストを運ぶだけです。危険なのは、そのテキストに基づいて行動したときに起きることです。悪意あるページを開くのも、ファイルを導入するのも、あなたの確認が必要です。
punycode ドメインとは何ですか？
ASCII 以外の文字で書かれたドメインで、ブラウザは xn-- と符号化された文字列として表示します。有名ブランドを模倣するために使われることがあります。
ポスターの QR コードを読むのは安全ですか？
読むのは安全です。何かを入力する前に、ドメインが期待する組織のものか確認し、決済や認証情報を求めるコードは疑ってください。