QRコードフィッシング、通称「クイッシング(quishing)」が過去最悪の水準に達しています。脅威アクターは、クリック可能なリンクをメール本文に直接記載する代わりに、スキャン可能な画像内に悪質なURLを隠す手口を増やしています。
この手法の変化により、攻撃者は従来のセキュアメールゲートウェイを回避し、管理下にある企業デバイスから、防御が手薄なスマートフォンへと被害者を誘導できるようになっています。
同社の記録によると、QRフィッシングの検知件数は月平均10万件に達し、4月にピークを迎えました。国別では米国が検知件数の19%を占め、スペインが17%、メキシコが6%で続いています。
この手口は、検査体制の根本的な抜け穴を突いています。従来のメール防御機構は、目に見えるハイパーリンクを抽出し、書き換え、レピュテーションチェックを行い、実行検証(detonate)するよう設計されています。
しかしQRコードは、符号化されたデータを含む画像です。ゲートウェイがその画像をデコードして遷移先URLを解析しなければ、悪質なリダイレクトチェーンはそのまま受信者に届いてしまう可能性があります。
攻撃者はQRコードを埋め込む手口をよく使います。PDF添付ファイル、請求書を装ったメール、ドキュメント共有通知、認証通知、偽のボイスメールメッセージなどが対象です。
誘導文では、ユーザーに携帯電話でその画像をスキャンするよう求め、多くの場合「安全なファイルを閲覧する必要がある」「Microsoft 365アカウントの再認証が必要」「支払いの承認が必要」「暗号化されたメッセージにアクセスする必要がある」などと主張します。
AIスキルの数は急増しています。2026年3月から5月にかけて、ESETのシステムがスキャンしたユニークなスキル数は、当初の6万件からほぼ90万件にまで増加しました。
QRコードをスキャンすると、被害者はURL短縮サービス、トラフィック分散システム、CAPTCHAゲート、ブラウザチェックページなどを経由し、最終的に認証情報を窃取するポータルへとたどり着きます。
ESETの研究者らによると、2026年上半期のテレメトリデータでは、検知されたフィッシングメールの約11%にQRコードが含まれており、キャンペーンの件数は過去最悪の水準に達しているとのことです。
最終的な遷移先ページは、モバイルブラウザ向けに最適化されていることが多く、Microsoft 365、Google Workspace、Okta、銀行、あるいは企業のシングルサインオン画面を模倣するよう作り込まれています。
QRコード攻撃
Microsoftの観測によると、2026年第1四半期にはQRコードフィッシングが146%増加し、検知件数は1月の760万件から3月には1,870万件へと増加しました。
同社は同四半期に83億件のフィッシング脅威を処理しており、フィッシング実行者が新たな配信手法をどれほどの規模で試行しているかがうかがえます。
PDFファイルは、クイッシングの手段として特に効果的なものとなっています。3月時点で、Microsoftのデータに基づく報告によれば、QRフィッシング活動の70%がPDF添付ファイル経由で配信されていました。
メールのHTMLに直接埋め込まれたQR画像は、全体のQRフィッシング件数に占める割合は小さいものの、3月には336%増と、さらに速いペースで増加しました。
QRフィッシングは、単なるメールフィッシングの見た目の変化にとどまりません。セキュリティ管理策やユーザーの判断が働く場所そのものを変えてしまいます。
セキュリティシステムの導入
最初のメールは、エンドポイント検知、ブラウザ分離、DNSフィルタリング、管理された ID ポリシーで保護された企業のノートPCに届く場合があります。
しかしQRコードをスキャンすると、そのやり取りは個人の携帯電話に移り、そこにはこうした企業の防御策が存在しないことがあります。
この手法はまた、ユーザーの行動特性も利用しています。QRコードは今や、レストラン、決済、荷物追跡、ログインフロー、イベント登録、ドキュメントアクセスなど、日常的な場面で使われるようになっています。
このなじみ深さが警戒心を弱める一方、モバイル端末の小さな画面では、URL全体を確認したり、なりすましドメインに気づいたり、ブランドの微妙な違和感を見抜いたりすることが難しくなります。
多くのキャンペーンでは、QRコードは最初の段階にすぎません。脅威アクターはCAPTCHAページを使ってセキュリティスキャナーを除外し、訪問者のデバイスをフィンガープリンティングした上で、人間である可能性が高い標的にのみ認証情報窃取ページを提示することがあります。
これにより検知が遅れ、自動解析システムが最終的なフィッシングコンテンツを観測できる可能性が低くなります。
組織は、QRコードを無害な画像ではなくURLとして扱うべきです。メールセキュリティ製品には、配信前に埋め込まれた遷移先を抽出できる画像の光学解析機能とQRデコード機能が必要です。
デコードされたURLは、その後レピュテーションチェック、サンドボックス解析、リダイレクトチェーン解析、ドメイン登録日の確認、フィッシングページ検知にかけるべきです。
セキュリティチームはまた、フィッシング耐性のある多要素認証、望ましくはFIDO2セキュリティキーやパスキーの導入を徹底すべきです。
アカウントへのアクセスにハードウェア紐付けまたはデバイス紐付けの認証要素が必要であれば、パスワードが盗まれたとしてもその価値は大幅に下がります。
ユーザー教育では、行動上のトリガーに焦点を当てるべきです。従業員は、特にメッセージが緊急の認証、支払い承認、ドキュメントアクセスを要求している場合、予期せずメールで送られてきたQRコードのスキャンを避けるべきです。
スタッフは、QRコード経由の経路をたどるのではなく、信頼できるアプリケーションを開くか、組織の既知のログインアドレスを手動で入力するようにすべきです。
増加を続けるこの件数は、クイッシングが今やエッジケース的な戦術ではなく、フィッシング配信の主流の手法になっていることを示しています。
攻撃者が画像の中にリンクを隠し、被害者をモバイル端末へと誘導する中で、メールセキュリティプログラムは、URL検査やID保護、ユーザー啓発の対象を受信トレイの外まで広げていく必要があるでしょう。
★ 7つの指標に基づくAI SOC導入フェーズを学ぶ – 無料AI SOC導入プレイブック2026をダウンロード。
翻訳元: https://gbhackers.com/qr-codes-attack/
