ESETは2026年8月17日、公式ブログでQRコードを悪用するフィッシング攻撃「クイッシング」の手口と対策を解説した。2026年上半期のフィッシングメールの11％に悪意のあるQRコードが含まれていたという。
メール本文に不審なURLが見当たらないから安全――。そう判断するのは危険かもしれない。セキュリティベンダーのESETは2026年8月17日（米国時間）、QRコードを悪用したフィッシング攻撃「クイッシング」（Quishing）を公式ブログ「WeLiveSecurity」で紹介した。
ESETによると、QRコードは攻撃者にとって都合がいいという。企業はどのように備えればいいのか。
ESETによると、2026年上半期に確認されたフィッシングメールのうち11％に、悪意のあるQRコードが含まれていた。
QRコードは、URLや決済情報、連絡先などを格納できる2次元コードだ。スマートフォンで読み取れば、Webサイトやアプリケーション（以下、アプリ）をすぐに開ける。飲食店のメニューや駐車場など日常のさまざまな場所で使われるようになり、ユーザーにとって「読み取ること」自体への警戒感は薄れつつある。
クイッシングは、この習慣を悪用するものだ。従来のフィッシングメールで使っていた不正なリンクや添付ファイルを、QRコードに置き換えるだけで攻撃を仕掛けられる。QRコードを生成する機能を備えたフィッシング用ツールも存在するという。
企業にとって厄介なのは、QRコードがセキュリティ対策の“境界”をまたぐ点だ。
従業員が業務用PCに届いたメールのQRコードを私物のスマートフォンで読み取るとする。ユーザーの操作は、企業がセキュリティ製品で保護しているPCから、管理が行き届いていない可能性があるモバイル端末へ移る。企業向けのWebフィルタリングやEDR（Endpoint Detection and Response）などが機能しない環境に、ユーザーを誘導できるのもクイッシングの特徴だ。
さらに、QRコードではリンク先のURLが画像の模様として符号化されている。メール本文にURLが文字列として記載されている場合に比べ、一部の従来型メールフィルターではリンク先を抽出して検査しにくい。
PDFやJPEGファイルの中にQRコードを埋め込めば、検出はさらに難しくなる可能性がある。
一般的なフィッシングメールであれば、不自然なURLや誤字脱字、文法上の違和感などが発見の手掛かりになることがある。一方、QRコードではリンク先が人間の目には直接見えない。メール本文が短ければ、怪しさを判断する材料そのものは少なくなる。
攻撃者はそこに、「Microsoft」や「DocuSign」といった、ユーザーの認知度が高いサービスを装ったロゴや文面を組み合わせる。
例えば「アカウントを保護するために認証してください」「登録内容を確認してください」といった緊急性を感じさせるメッセージとQRコードを提示し、ユーザーに読み取りを促す。こうした心理操作自体は従来型のフィッシングと同じだが、リンクがQRコードに隠れていることで見破りにくくなる。
ESETによると、同社はメール本文や添付ファイルに含まれるQRコードを検出して読み取り、そこに埋め込まれたURLを取り出して、不正なWebサイトへのリンクかを検査する仕組みをメールセキュリティ機能に備えている。
クイッシングの目的は、IDやパスワードを盗むことだけではない。
攻撃者はQRコードを使い、多要素認証（MFA）のトークンを窃取したり、マルウェアをインストールさせたりすることもある。
ESETは攻撃例として、公式アプリストアを経由せず、不正なアプリを正規のアプリに見せかけて直接ダウンロードさせる手口を紹介している。
QRコードから不正なWebサイトに誘導するのではなく、正規のSNSアプリや決済アプリを直接起動する攻撃もあるという。例えば、QRコードから正規サービスの認証画面を開き、被害者に攻撃者側のログインを承認させてアカウントを乗っ取る手口や、攻撃者への送金先を設定した状態で正規の決済アプリを起動し、送金を促す手口だ。
カレンダーや連絡先に悪意のある情報を登録する攻撃もある。QRコードを読み取ることで、不正な会議URLや連絡先が端末に登録され、後からユーザーがその情報を開いたタイミングでフィッシングサイトに誘導される。
不正な無線LANアクセスポイント（AP）への接続情報をQRコードに格納し、ユーザーの端末を攻撃者が用意した無線LANに接続させる方法もある。
さらに、URL短縮サービスを使って不正なURLを短くしてからQRコードに格納することで、セキュリティ製品による解析を難しくする手口も確認されている。
ESETによると、クイッシングを利用するのは一般的なサイバー犯罪者だけではない。
米連邦捜査局（FBI）は2026年1月、北朝鮮系の攻撃グループ「Kimsuky」が、シンクタンクや学術機関、米国および海外の政府機関を標的にしたスピアフィッシングメールでQRコードを利用していると警告した。
攻撃メールでは、QRコードを読み取ればアンケートや登録ページ、安全なファイル共有領域にアクセスできるなどと説明し、標的を誘導していたという。
ばらまき型の攻撃だけでなく、特定の組織や人物を狙う標的型攻撃にも利用されるようになっているのもクイッシングの特徴だ。
QRコードを使ったフィッシングを従業員に周知し、警戒を呼び掛ける。受信を予期していないメールにQRコードがあった場合、安易に読み取らず、不審に思ったらセキュリティ担当者に報告するよう促す。
信頼できる相手からのメールに見えても、疑わしい場合がある。その際は、メールに書かれたメールアドレスを使わず、別の連絡先から送信者に問い合わせることが望ましい。
技術的な対策も必要だ。QRコードを検出し、内部のURLまで解析できるメールセキュリティ製品を利用すれば、利用者の受信箱にクイッシングメールが到達する可能性を下げられる。
業務用スマートフォンには、悪意のあるWebサイトへのアクセスを遮断できるモバイル向けセキュリティ製品を導入する。MDM（モバイルデバイス管理）を使い、端末を企業のセキュリティポリシーに沿った状態に維持することも有効だ。
重要なアカウントには、フィッシング耐性のあるMFAを適用する。仮に従業員が偽のWebサイトに誘導されても、認証情報だけで企業システムに侵入されにくくするためだ。
この他、最小権限や必要な時間だけ権限を付与するジャストインタイムアクセスを徹底し、モバイルOSや業務ソフトウェア、セキュリティ製品を最新の状態に保つことも欠かせない。
不審な挙動を継続的に監視するとともに、侵害が発生した場合を想定したインシデント対応訓練も実施する必要がある。
QRコードは、企業でも日常的に利用する技術になった。それと同時に、QRコードを悪用する攻撃も珍しいものではなくなっている。
従来のフィッシング対策で「メール中の怪しいリンクをクリックしない」と教えるだけでは不十分だ。企業は今後、「QRコードの先にあるリンクも疑う」という前提で、従業員教育とメール、モバイル双方のセキュリティ対策を見直す必要がある。
Copyright © ITmedia, Inc. All Rights Reserved.
瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓
MFA（多要素認証）を入れたから安心という常識が崩れ去っている。フィッシング集団「Tycoon2FA」が摘発されたが、脅威が完全になくなったというわけではない。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
