Business Security
クイッシングは、従来型フィッシングに代わる手口として急速に広まっています。企業がこのギャップをどう埋めればよいのか、その方法をご紹介します。
「馴染みがあるものは軽視されやすい」とよく言われますが、サイバーセキュリティの世界ではそれが油断につながり、はるかに危険な事態を招きかねません。QRコードもまさにその一例です。QRコードはここ数年、メニューや街灯柱、パーキングメーターなど身近な場所でよく見かけるようになり、さらにはメールの中にも登場する機会が増えています。厄介なのは、QRコードが悪意あるリンクを巧妙に隠す手段にもなり、従来型の企業向けセキュリティフィルターの一部をすり抜けてしまう点です。さらに、やり取りの舞台を企業のパソコンから、セキュリティ対策が手薄な個人のスマートフォンへと移してしまう効果もあります。
攻撃者は今後も検出を回避する新たな手口を試行錯誤し続けるでしょう。そして、無防備な従業員を罠にかける新たな「クイッシング」の手法も次々と登場しています。組織を守るために理解しておくべきポイントを見ていきましょう。
クイッシングはなぜ危険なのか
QRコード（Quick Responseの略）は、URLや決済情報、連絡先情報などのデータを符号化できる2次元バーコードで、ユーザーを目的地――多くの場合はウェブサイトやアプリ――へ素早く導く役割を果たします。脅威アクターにとって、QRコードにはいくつもの魅力があります。パンデミック時の非接触ニーズによって普及が加速し、QRコードを読み取ることは今や日常のありふれた行為になりました。つまり、数年前と比べて私たちは今、スマートフォンを取り出してQRコードをスキャンする機会が格段に増えているのです。
QRコードはフィッシングの手口にもすんなりと組み込めます。悪意あるリンクや添付ファイルをQRコードに置き換えるだけで済むからです。しかも生成にはほんの数秒しかかかりません。実際、多くのフィッシングキットには専用のQRコード生成機能が搭載されています。何より重要なのは、比較的セキュリティが強固な企業環境から、管理の行き届いていないモバイル端末へと被害者を誘導できる点で、これにより企業向けのセキュリティ対策を回避できてしまいます。
攻撃者にとってのもう一つの大きな利点は「隠蔽」です。リンク先は視覚的なパターンとして符号化されており、読み取り可能なテキストとしては表示されません。そのため悪意あるURLが隠され、従来型のメールフィルターの中にはそれを抽出・検査できないものもあります。PDFやJPEGの添付ファイルに埋め込むことで、さらに巧妙に難読化されるケースもあります。つまり、こうしたメールは従業員の受信箱に届いてしまう可能性が高くなるのです。そして実際に届いてしまうと、従業員は本物のメッセージと悪意あるものを見分けるのに苦労することになります。通常、誤字や文法ミスを手がかりに分析できるようなテキスト量はほとんどなく、しかもリンクは事実上、視覚パターンとして符号化されているため人間の目には見えません。
信頼されたブランド――たとえばDocuSignからのメールやMicrosoftからのアップデート通知――と組み合わせて使われた場合、クイッシング攻撃は従来型のフィッシングメッセージと同様のソーシャルエンジニアリング戦術を利用します。信頼できるブランディングによって被害者は安心してクリックしてしまいますし、口実によって緊急性が演出されることも少なくありません。悪意あるQRコードは、アカウントの保護や本人確認のための認証を促す警告メッセージにしばしば埋め込まれています。
実際、ESET Threat Report H1 2026によれば、2026年上半期に確認された全フィッシングメールのうち、実に11%に悪意あるQRコードが埋め込まれていました。「ESETはクイッシングメールをQRCode/Phishingという検出名で追跡しています。この検出は、ESETのメールスキャナーに搭載された専用のレイヤーを通じて機能し、大多数のファイル形式に含まれるQRコードを識別してそこに含まれるURLをデコードします。抽出されたURLはESETのアンチフィッシング、アンチマルウェア、アンチスパムエンジンによってスキャンされ、有害と判定されたURLはブロックされ、関連するメールにはフラグが付けられるか削除されます」とレポートは述べています。
進化を続ける脅威アクターの手口
他の脅威動向と同様に、悪意ある攻撃者たちは最大限の効果を狙って手口を絶えず磨き続けています。クイッシング攻撃はマルウェアの侵入や認証情報の窃取だけでなく、多要素認証（MFA）トークンの窃取にも使われています。セキュリティ研究者は、以下のような目的で設計された攻撃も確認しています。
- 正規アプリを装ったマルウェアの直接ダウンロードにより、アプリストアのセキュリティ対策を回避する
- フィッシングサイトなど悪意あるウェブサイトへ誘導するのではなく、正規のソーシャルメディア、決済、その他のアプリへ直接リンクさせる。これはさまざまなシナリオで悪用され得る：
- アカウント乗っ取り：被害者を誘導し、攻撃者自身のアカウント認証を行わせる
- 金銭的詐欺：あらかじめ支払い先情報が入力された決済アプリへ被害者を誘導する
- 連絡先・カレンダーの改ざん：ユーティリティアプリに悪意ある会議リンクや偽の連絡先情報を埋め込み、クリック時にフィッシングサイトへリダイレクトさせる
- 悪意あるWi-Fi：被害者を自動的に脅威アクターの不正なアクセスポイントへ接続させる
- QRコード短縮サービスを利用してセキュリティツールの検知を回避する：長く悪意あるウェブアドレスを短いリンクに変換し、QRコードに埋め込む
国家の支援を受けたAPTグループでさえ、手口の一環としてクイッシングを利用しています。2026年1月に発表されたFBIの通達では、北朝鮮のKimsukyがシンクタンクや学術機関、米国および外国の政府機関を標的に、スピアフィッシングメールにQRコードを埋め込んで攻撃していると警告しています。使われた口実はさまざまで、コードをスキャンするとアンケートや登録用のランディングページ、セキュアドライブに誘導されると謳うメールが確認されています。
QRフィッシングから企業を守るために
幸い、人・プロセス・技術という3つの側面をバランスよく調整することで、組織のクイッシングリスクを大幅に軽減できます。
まずは「人」から取り組みましょう。ユーザーの意識向上トレーニングやシミュレーション演習にクイッシング対策を組み込みます。従業員には、心当たりのないメールに含まれるQRコードのスキャンを避け、不審な点があれば報告するよう促してください。信頼できる送信元からのものだと思われる場合でも、メールとは別の手段で入手した連絡先を使って送信者に確認を取るべきです。
次に、技術的な対策を検討しましょう。信頼できるベンダーのメールセキュリティを導入し、クイッシングメールがユーザーの受信箱に届くリスクを最小限に抑えます。従業員のデバイスにモバイルセキュリティソリューションを追加し、悪意あるサイトへのアクセスやその他の脅威をブロックしましょう。また、機密性の高いすべてのアカウントにフィッシング耐性のある多要素認証（MFA）を義務付けることで、たとえユーザーが騙されたとしても、攻撃者が企業システムに侵入する足がかりを得られないようにします。モバイルデバイス管理（MDM）ツールを活用すれば、すべてのデバイスが企業ポリシーに沿って保護されていることを確認できます。
攻撃対象領域を縮小し、最小権限の原則とジャストインタイムアクセスを徹底しましょう。セキュリティツールを含め、すべてのモバイルOSと企業ソフトウェアを常に最新の状態に保つことも重要です。そして、不審な活動がないか継続的に監視を行いましょう。最悪の事態に備え、インシデント対応計画を実際に訓練しておくことも忘れてはなりません。
もはや目新しいものではない
QRコードは、ある種の目新しい存在から企業活動における日常的な光景へと姿を変えました。そしてクイッシングも同様です。しかし、馴染みがあるからといって油断してよいわけではありません。従業員が従来型のメールやSMSによるフィッシングに対して警戒心を持つよう訓練されてきたのと同じように、クイッシングの兆候を見抜く力も養うことができます。適切な取り組みさえあれば、「馴染み」はむしろセキュリティ強化の力になり得るのです。
