QRコードを使ったフィッシング（クイッシング）の手口と訓練での備え方

クイッシングとは

クイッシングとは、フィッシングサイト（本物そっくりの偽サイト）への誘導にQRコードを使う手口のことです。IPAの「情報セキュリティ10大脅威 2025 解説書［個人編］」では、SMSを使うスミッシングとともに、近年多く確認されている手口として紹介されています。

これまでのフィッシングメールは、本文のリンクをクリックさせる形が中心でした。クイッシングでは、リンクの代わりにQRコードの画像をメールに貼り、スマートフォンで読み取らせます。読み取った先の偽サイトで、ID・パスワードやクレジットカード情報などを入力させて盗み取ります。

なぜ気づきにくいのか

• 行き先が見えない：QRコードは画像なので、読み取るまで、どのURLにつながるのかを目で確かめにくい
• パソコンからスマートフォンに移る：会社のパソコンで受け取ったメールを、スマートフォンで読み取ることになる
• スマートフォンでは判断が難しい：警察庁は、スマートフォンのメールアプリでは、送信元の名前やアドレスの表示項目がパソコンより少ない場合があり、メールの真偽の判断はより難しくなると説明しています

被害の例

• 銀行を装うメール：IPAによると、2024年には銀行を装い、QRコードから誘導するメールが確認されています。メール本文には、フィッシングサイトのURLを変換したQRコードが貼られ、アクセスすると本物と見分けのつかない偽サイトで、パスワードを含むログイン情報やクレジットカード情報、個人情報などをだまし取られます
• クレジットカード会社を装うメール：フィッシング対策協議会は、2024年8月28日に、メールに記載したQRコードから誘導するフィッシングの報告が増えていると緊急情報を出しました。クレジットカード会社の「不正利用の監視」を装う件名が使われ、誘導先ではID・パスワード、カード番号、有効期限、セキュリティコード、生年月日などの入力を求めていました

フィッシング対策協議会は、偽サイトは本物の画面をコピーして作られることが多く、見分けるのは非常に難しいとしています。そのうえで、メールに記載したQRコードからログインを促すメールは不正メールの可能性が高いとし、ふだんから公式アプリやブックマークからアクセスするよう呼びかけています。

IPAの個人編で紹介されている手口ですが、IPAの「情報セキュリティ10大脅威 2026 解説書［組織編］」でも、QRコードを安易に開かないことが注意点として挙げられています。会社のメールアドレスに届くことも想定しておきましょう。社員が業務で使うサービスのログイン情報を入力してしまえば、会社のアカウントの乗っ取りにつながるおそれがあります。

訓練での再現のしかた

クイッシングへの備えとして訓練を行うときは、「QRコードを読み取らせる」メールを再現します。訓練で使うQRコードの読み取り先は、提供元が用意した安全な訓練用のページにしてください。

件名と本文の要素

• 件名：アカウントやサービスの「確認」「更新」「セキュリティの通知」を装う型
• 本文：期限を示して対応を急がせ、「スマートフォンで読み取ってください」とQRコードを示す
• 差出人：社内の部署や、業務で使うサービスを名乗る

実在の企業の名前やロゴをそのまま使うかどうかは、社内のルールと、訓練サービスの利用条件を確認してから決めてください。文面の型の考え方は「訓練メールの文例・件名の作り方」も参考にしてください。

訓練で身につけたい行動

IPAとフィッシング対策協議会の呼びかけをもとに、次の行動を訓練の目標にします。

• メールに貼られたQRコードを、安易に読み取らない
• 読み取ってしまっても、開いたページでID・パスワードや個人情報を入力しない
• 業務で使うサービスには、公式アプリやブックマークからアクセスする
• 読み取ってしまった、入力してしまったときは、すぐに担当部署へ報告する

IPAの組織編の解説書も、安易にリンクやQRコードを開かないこと、開いてしまった場合は適切な方法で報告することを挙げています。

入力してしまったときの動きも教える

訓練後の教育では、「もし本物のフィッシングで入力してしまったら」の動き方もあわせて伝えます。

• すぐに担当部署へ報告し、入力した情報の種類（ID・パスワード、カード情報など）を伝える
• 業務のアカウントの場合は、担当部署の指示に従ってパスワードの変更などを行う
• 個人のクレジットカードや銀行口座の情報を入力した場合は、そのサービスを提供する会社に相談する

警察庁は、フィッシングで不正送金やクレジットカードの不正利用の被害に遭った場合、補償制度や相談窓口を設けている金融機関やクレジットカード会社もあるとして、被害に遭ったサービスの提供会社に相談するよう案内しています。報告を増やす工夫は「不審メールの報告が上がらない組織の対策」で解説しています。

選ぶときに見る点

クイッシングを想定した訓練をしたい場合は、次の点を確認してサービスを選びます。

• QRコード型の訓練ができるか：メール本文にQRコードを入れた訓練メールを配信できるか
• 読み取りを記録できるか：誰がQRコードを読み取って訓練用のページを開いたかを記録できるか
• スマートフォンで見たときの教育画面：読み取ったあとに、スマートフォンの画面で読みやすい説明や教育を表示できるか
• 入力の記録：偽のログイン画面を使う場合、入力の有無だけを記録し、入力された内容は保存しない設計になっているか
• 報告の集計：不審なメールを報告した人を記録・集計できるか

私物のスマートフォンで読み取る社員がいる場合は、訓練で何を記録するのかを事前に社内へ説明しておくと安心です。各サービスの対応状況は比較表で確認できます。

まとめ

• クイッシングは、メールに貼ったQRコードからフィッシングサイトへ誘導する手口で、IPAも近年多く確認されている手口として紹介しています
• 2024年には、銀行やクレジットカード会社を装い、QRコードから誘導するメールが確認されています
• 訓練では、安全な訓練用のページを使い、「読み取らない」「入力しない」「公式アプリやブックマークから開く」「すぐ報告する」を身につけます
• サービスは、QRコード型の訓練、読み取りの記録、スマートフォン向けの教育画面、報告の集計ができるかで比べましょう