QRコードフィッシング、いわゆる「クイッシング(quishing)」が、メールセキュリティ上の大きな懸念として浮上しています。攻撃者はメッセージ本文に直接リンクを記載する代わりに、悪意あるリンクを画像の中に隠す手口を使うようになっています。
従来のメールセキュリティツールは、通常メール本文中のURL、送信者の評判、添付ファイル、既知の悪意あるドメインなどを検査対象としています。しかし、QRコードはエンコードされたデータを含む画像にすぎません。
有害なURLがその画像内に埋め込まれている場合、基本的なURLスキャンシステムでは、メールが受信者の受信トレイに届く前にそれを検知できないことがあります。
攻撃者の狙いはシンプルです。受信者にスマートフォンでQRコードをスキャンさせることです。すると被害者はフィッシングページへ誘導され、そこでMicrosoft 365、銀行口座、VPN、その他企業の認証情報が盗まれる可能性があります。
スキャンやブラウジングの操作は個人所有の端末やモバイル端末上で行われるため、組織が保護しているネットワークやセキュリティ管理の枠外で発生することもあります。
ESETの「2026年上半期脅威レポート」によると、QRCode/Phishingの検出数はメールを介した脅威の中でも上位にランクインしています。2026年上半期におけるメール脅威検出トップ10のうち、QRCode/Phishingは4.1%を占めました。
これは、HTML/Phishing.Agent、悪意あるOfficeドキュメント、JavaScriptダウンローダー、PDFベースのフィッシングといった一般的な脅威と肩を並べる結果です。
典型的なキャンペーンでは、攻撃者はITチーム、人事部門、クラウドプロバイダー、配送業者、銀行、給与計算サービスなどを装ってメールを送信します。
メッセージには、安全な文書を閲覧するため、パスワードを更新するため、荷物を受け取るため、ボイスメールを確認するため、あるいは申請を承認するためにQRコードをスキャンする必要がある、といった内容が記載されることがあります。
クリック可能なフィッシングリンクを含める代わりに、メールにはQRコード画像が添付されています。この手法により、古いメールゲートウェイや設定が不十分なメールゲートウェイに対しては、悪意ある送信先の可視性を低下させることができます。
スキャナーは、QRコードの内容を抽出・デコード・検査できない限り、その画像を無害なものと判定してしまう可能性があります。攻撃者はまた、モバイル端末へのシフトからも恩恵を受けています。
QRコードをスキャンするユーザーは、遷移先のURLを注意深く確認しないことが多く、一方でモバイルブラウザでは偽のログインページが本物らしく見えてしまいます。フィッシングサイトでは、Microsoft、Google、Okta、あるいは社内ポータルのブランドをコピーしたデザインが使われることもあります。
ESETのレポートでは、2026年上半期において最も一般的だった悪意あるメール添付ファイルの種類はスクリプトであり、検出全体の46.2%を占めたことも明らかになっています。
続いてOfficeドキュメントが14.4%、PDFが11.9%、実行ファイルが11.6%、アーカイブが9.7%となっています。
これらの数値は、メールを介した攻撃者が依然として複数のファイル形式や配布手法を使い分けていることを示しており、QRコードは悪意ある送信先を隠すための新たな手段の一つとなっている、と資料は述べています。
組織は、画像内のQRコードを検出し、その内容をデコードした上で、埋め込まれたURLを脅威インテリジェンスやレピュテーションサービスと照合できるメールセキュリティ製品を導入する必要があります。
セキュリティチームはまた、画像のみで構成されたメールや、QRコードを含む不審なPDF添付ファイル、そしてユーザーに即座のコードスキャンを促すメッセージについても検査を行うべきです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/qr-phishing-evades-scanners/
