読み取る前に確認すること
QRコードは、見た目だけでは遷移先や支払先の安全性を確認できません。
読み取る前に出所を確認し、読み取った後はURL、支払先、金額、認証画面を確認します。
すでに操作した場合は、次の状態で対応が変わります。
- まだ読み取っていない：読み取らず、施設や店舗の管理者に確認します。
- 読み取ったが入力していない：画面を閉じ、公式アプリや公式サイトから状態を確認します。
- 認証情報やカード情報を入力した：公式画面から認証情報を変更し、カード会社や決済事業者へ連絡します。
- 決済を確定した：決済事業者、銀行、カード会社の公式窓口へ連絡し、取消し、返金、不正利用申告の可否と手続きを確認します。
現在の状態別対応
まだ読み取っていない
出所が分からないQRコードや、貼り重ねに見えるQRコードは読み取りません。
施設、店舗、サービスの公式サイトや係員から、案内が本物かを別の経路で確認します。
読み取ったが入力していない
ブラウザやアプリで画面を閉じ、ログイン情報、カード情報、認証コードを入力しません。
ダウンロードやアプリのインストールが始まった場合は中止し、身に覚えのないアプリが追加されていないか確認します。
注文、送金、支払いの履歴を公式アプリから確認し、身に覚えのない取引があれば決済事業者へ連絡します。
認証情報やカード情報を入力した
入力したサービスへ、QRコードの画面を使わず、公式アプリまたは自分で入力した公式URLからアクセスします。
パスワードを変更し、ログイン中の端末、登録済みの連絡先、復旧方法を確認します。
同じパスワードを他のサービスで使っていた場合は、パスワード使い回しの危険性と対策も確認します。
カード情報を入力した場合は、カード裏面の窓口へ連絡し、利用停止や監視の方法を確認します。
決済を確定した
決済アプリの公式サポートへ、取引日時、金額、支払先、画面の表示を伝えます。
銀行口座やカードが紐づいている場合は、銀行やカード会社にも不正利用の可能性を連絡します。
スクリーンショット、URL、QRコードの場所、取引履歴を保存します。
緊急性のない犯罪相談は警察相談専用電話「#9110」、消費生活上の相談は消費者ホットライン「188」を使えます。
PayPayの取引後対応は、PayPayの不正利用に気づいたときの対応で扱います。
QRコード詐欺の仕組み
クイッシングは、QRコードを使ってフィッシングサイトや意図しない決済画面へ誘導する手口です。
QRコードは画像として表示されるため、メールや掲示物を見ただけでは遷移先のURLが分かりません。
IPAは、QRコードを利用したフィッシングで、ID、パスワード、カード情報を入力させる手口を紹介しています。
決済用のQRコードでは、支払うつもりの相手と異なる宛先へ送金したり、返金を装って送金操作をさせたりする可能性があります。
QRコードを読み取ることと、支払いを承認することは別の操作です。
読み取り後に表示される画面を確認せず、認証や支払いを進めると、意図しない取引を止める機会を失います。
起きやすい場面
メール、SMSのQRコード
メールやSMSに表示されたQRコードは、記事本文のリンクを直接確認しにくくするために使われることがあります。
メールのQRコードはフィッシングメールの見分け方と入力後の対処、SMSのQRコードはフィッシングSMSの見分け方と、リンクを開いた後の対応で扱います。
店舗、施設、掲示物
店舗、駐車場、駐輪場、駅、イベント会場などの掲示物に、別のQRコードを重ねて貼る方法が考えられます。
シールの端が浮いている、周囲の案内と目的が合わない、支払先が個人名になっている場合は操作を止めます。
SNSやメッセージで届くQRコード
知人や企業を装ったアカウントが、友だち追加、クーポン、返金などを理由にQRコードを送ることがあります。
送信者が知人に見えても、別の連絡手段で本人に確認できるまでは読み取りません。
決済や返金を装う案内
支払い、未払い、返金、本人確認を理由に、QRコードからログインや送金を求める案内があります。
決済事業者の公式アプリを自分で開き、取引履歴と通知を確認します。
読み取る前の確認
QRコードを読み取る前に、案内の出所と目的が一致しているか確認します。
- 掲示物やメッセージを誰が出したのか確認します。
- 店舗や施設の公式案内とQRコードの位置、説明、デザインが一致するか確認します。
- QRコードの上に別のシールが貼られていないか確認します。
- 支払いなら、支払先と金額を別の画面や係員から確認します。
- 確認できない場合は、読み取らずに別の支払い方法を選びます。
「読み取ってから安全か確認する」しかない状況では、読み取った後の操作を途中で止められることを前提にします。
遷移後に確認するURL、支払先、金額
ブラウザで開いた場合
アドレスバーの実際のドメインを確認します。
企業名を含む文字列や、鍵のマークだけでは正規サイトの根拠になりません。
正規の公式サイトを自分で開き、同じサービスのドメインかを比較します。
HTTPSで始まっていても、偽サイトでないことを意味しません。
ログイン、カード番号、口座情報、認証コードを突然求められた場合は、画面を閉じて公式アプリや公式サイトへ移ります。
決済アプリで開いた場合
支払い画面か送金画面かを確認します。
表示された宛先、店舗名、金額、通貨が、利用目的と一致しているか確認します。
支払うつもりの店舗ではなく、個人名や見知らぬアカウントが表示された場合は承認しません。
少額の支払いを想定しているのに金額が大きい場合も、操作を中断して管理者へ確認します。
生体認証やパスコードが表示された場合でも、画面の内容を確認してから承認します。
決済や入力後の連絡
ログイン情報や認証コードを入力した場合
入力したサービスの公式画面からパスワードを変更し、ログイン中の端末と復旧先を確認します。
認証コードを入力した場合は、攻撃者が同時にログインを試みている可能性を考え、ログイン履歴と設定変更を確認します。
不正ログインの確認と復旧は、不正ログインされた場合の初期対応で扱います。
カード情報を入力した場合
カード裏面にある発行会社の窓口へ連絡し、利用停止、再発行、監視の条件を確認します。
補償や返金の可否は、カード会社、決済事業者、取引の状況によって異なります。
画面に表示された電話番号ではなく、カードや公式サイトに記載された窓口を使います。
決済を確定した場合
決済事業者、銀行、カード会社の公式窓口へ連絡し、取引の取消し、返金、不正利用申告を受け付けるか、必要な情報と手続きを確認します。
取消しや返金の可否、申告期限は、支払方法、取引状態、事業者の規約などで異なるため、本文で一律に判断しません。
取引履歴、画面、QRコード、メッセージを保存し、警察や消費生活センターへ相談する際に提示できるようにします。
認証設定の位置づけ
認証設定の有無だけで、取引の安全性や取消し、返金の可否を判断しません。
認証が表示された場合でも、表示された宛先や金額を確認してから承認します。
決済アプリごとに、送金時認証、支払い時認証、アプリ起動時認証の名称と条件が異なります。
設定画面と公式ヘルプで、利用中のアプリにどの認証が用意されているか確認してください。
アカウントの認証優先順位は、2段階認証を設定するアカウントの優先順位で扱います。
よくある質問
決済画面で、店舗への支払いか個人への送金か分からない場合はどうしますか？
認証や支払いを承認せず、公式アプリのヘルプまたは店舗、施設の公式窓口で取引種別と支払先を確認します。
すでに確定していて取引種別が分からない場合は、利用した決済事業者、銀行、カード会社の公式窓口へ、保存した記録とともに問い合わせます。
参考資料
最終更新日：