QRコードを読み取った時の対処法｜クイッシング初動対応

冒頭要約

メール、SMS、郵送物、ポスターなどのQRコードを読み取ってしまっても、読み取っただけで直ちにアカウント侵害や金銭被害が確定するわけではありません。ただし、リンク先を開いた、ID・パスワードやカード情報を入力した、MFA・決済を承認した、アプリや構成プロファイルを入れた場合は、対応の優先度が上がります。

まず追加操作を止め、「QRコードを読み取っただけ」「ページを開いた」「情報を入力した」「承認・インストールした」のどこまで進んだかを分けます。受信物、設置場所、時刻、表示されたURL、使用端末を記録し、安全確認のために同じQRコードを再度読み取らないでください。

この記事では、個人、情シス、開発者、SaaS管理者が、クイッシングの疑いを最初の10分で整理し、アカウント保護、決済停止、端末対応、組織内調査へ進む判断基準を解説します。

QRコードは安全性を保証する印ではない

QRコードは情報を機械で読み取れる形にしたものです。正規企業のロゴ、印刷物、社内文書の上にあっても、誘導先が正規とは限りません。読み取り後に表示されるURLや操作内容を確認し、判断できない場合は公式アプリや自分で確認した公式サイトから問い合わせます。

クイッシングとは

クイッシング（Quishing）とは、QRコードを使ってフィッシングサイトや不審な操作へ誘導する手口です。IPAは、メール本文のQRコードをスマートフォンで読み取らせ、認証情報やクレジットカード情報を入力させる例を紹介しています。

通常のURLリンクと違い、QRコードでは誘導先が画像の中に隠れます。IPAは、メールのURL検査を外れたり、従業員が私物スマートフォンで読み取ることで組織のセキュリティ対策を迂回したりする可能性を指摘しています。

Microsoftも2026年のメール脅威分析で、QRコードを画像へ埋め込み、管理外のモバイル端末でフィッシングページを開かせる特徴を説明しています。会社のメール画面でURLをクリックしていなくても、業務アカウントの利用状況まで確認する必要があります。

注意が必要なのはメールだけではありません。FTCは、SMSで送られるQRコードや、駐車メーターなど既存のQRコードの上に別のコードが貼られる例を挙げています。IPAの2026年個人編ハンドブックも、看板、チラシ、郵送物に掲載されたQRコードから偽サイトへ誘導される可能性を説明しています。

QRコード経由で起こり得ること

読み取り後の動作	主なリスク	初動で確認すること
URLの候補だけが表示された	誤操作で不審サイトを開く	ブラウザを開いたか、表示URL、読み取り時刻
Webページを開いた	偽ログイン・偽決済への誘導、意図しないダウンロード	入力、許可、保存、警告の有無
ID・パスワードを入力した	アカウント乗っ取り、同じパスワードの悪用	対象サービス、再利用先、セッション、MFA
カード・決済情報を入力した	不正利用、送金、継続課金	入力項目、承認、利用履歴、金融機関への連絡
MFA・OAuth・決済を承認した	セッションやSaaS権限、支払いの成立	承認内容、連携アプリ、取引状況
アプリや構成プロファイルを追加した	端末設定変更、情報窃取、継続アクセス	導入物、権限、端末警告、外部通信

読者別の影響

読者・担当	まず確認すること	優先する判断
個人利用者	入力した認証・個人・カード情報、決済、アプリ導入	パスワード変更、カード会社・サービス事業者への相談
一般社員	業務アカウント、会社メール、私物・業務端末のどちらで読み取ったか	メールや印刷物を残して情シスへ報告
情シス・SOC	同じQRコードの受信者、クリック先、IdP・SaaS・EDRの関連イベント	組織内検索、URLブロック、アカウント・端末の封じ込め
SaaS管理者	サインイン、MFA、セッション、OAuth同意、メール転送	セッション失効、権限取消、監査ログ保全
開発者	GitHub、クラウド、CI/CD、開発者トークンへ触れられるアカウント	開発者権限とシークレットへの波及確認
施設・総務担当	ポスター、受付、会議室、決済端末など物理的な設置場所	現場を記録し、差し替え・掲示停止・利用者周知を判断

業務メールを私物スマートフォンで読み取った場合も、会社と無関係とは限りません。業務アカウントへログインした、会社のファイルを開いた、取引先へ送信した場合は、業務上のインシデントとして報告します。一方、個人端末全体の内容を無断で収集せず、業務に関係する時刻、アカウント、URL、操作へ確認範囲を絞ることも重要です。

QRコードを読み取った後、まず確認すること

分からない項目は「していない」と決めつけず、「未確認」と記録します。

QRコードを見つけた場所は、メール、SMS、郵送物、商品、ポスター、駐車場、社内掲示のどれか。
読み取りに使った端末は、私物スマートフォン、会社スマートフォン、PCのどれか。
読み取り結果の候補を見ただけか、ブラウザやアプリで開いたか。
表示されたURL、アプリ名、支払先、連絡先を覚えているか。
ID、パスワード、認証コード、個人情報、カード情報を入力したか。
MFA通知、OAuth同意、決済、送金、ウォレット操作を承認したか。
ファイル、アプリ、構成プロファイル、証明書、カレンダー登録を追加したか。
その後、不審なログイン通知、決済通知、端末警告、設定変更があったか。

読み取りアプリやカメラの挙動は端末によって異なります。「候補を表示しただけ」のつもりでもブラウザが開いたか分からない場合は、未確認として扱い、ブラウザ履歴、ダウンロード履歴、アカウントのセキュリティイベントを正規の画面から確認します。

状況別の初動早見表

状況	最初に行うこと	優先度
QRコードを見ただけ	読み取らず、差出人・設置場所を正規窓口へ確認	低
読み取り候補を表示したが開いていない	表示URLと時刻を記録し、再読み取りせず報告	低〜中
ページを開いたが入力・承認なし	ページを閉じ、履歴・ダウンロード・端末警告を確認	中
ID・パスワードを入力	信頼できる端末から変更し、セッションとMFAを確認	高
カード・決済情報を入力、送金を承認	正規のカード会社・金融機関へ速やかに相談	高〜緊急
MFA・OAuthを承認	セッション失効、連携権限取消、監査ログ確認	高〜緊急
アプリ・プロファイルを導入	通信を止め、端末を使い続けず専門窓口へ連絡	緊急

最初の10分チェックリスト

1. 追加操作を止める

読み取り画面、ブラウザ、誘導されたアプリを閉じる。
「安全か確認するため」に同じQRコードを別端末で読み取らない。
QRコード先に表示された電話番号、チャット、サポート窓口を使わない。
認証、決済、通知許可、アプリ導入、プロファイル追加を続けない。
不審な相手から電話やメッセージが来ても、遠隔操作や画面共有を許可しない。

正規か確認する場合は、普段使っている公式アプリ、ブックマーク、自分で確認した公式サイトや電話番号を使います。

2. 証跡を記録する

QRコードを受け取った、または見つけた日時と場所。
メール・SMSの差出人表示、件名、郵送物や掲示物の名称。
読み取った日時、端末、カメラ・アプリ、ブラウザ。
表示されたURL、ページ、アプリ、支払先の概要。
入力した情報の種類。実際のパスワードやカード番号は書かない。
MFA、OAuth、決済、送金、アプリ導入など承認した操作。
不審なログイン、決済、端末警告、設定変更。

物理的なQRコードの場合は、周囲と設置状態が分かる写真を安全な範囲で残します。勝手に剥がしたり持ち帰ったりせず、施設管理者や正規窓口へ連絡してください。

3. 正規の窓口へ報告する

業務メール、社内掲示、会社端末、業務アカウントが関係する場合は、情シス、SOC、CSIRTへ報告します。個人利用では、対象サービス、カード会社、金融機関、施設管理者など、公式サイトで確認した窓口へ連絡します。

2026-07-31 10:20ごろ、業務メール内のQRコードを私物スマートフォンで読み取りました。Safariでページを開きましたが、入力・承認・ダウンロードはしていません。メール原本、表示URL、時刻を保全しています。

報告内容はフィッシング報告テンプレートへ転記できます。

状況別の初動対応

ケース1：読み取り候補を表示したが、ページは開いていない

情報入力や権限付与へ進んだケースより、一般に優先度は低くなります。ただし、端末の挙動が不明なら「アクセスなし」と断定しません。

表示されたURLや動作候補、時刻、端末を記録する。
同じQRコードを再度読み取らず、正規窓口から目的を確認する。
業務メールや社内掲示なら、原本を残して情シスへ報告する。
物理的な掲示なら、施設管理者へ設置の正当性を確認する。

ケース2：ページを開いたが、入力・承認・ダウンロードはしていない

IPAは、フィッシングサイトへアクセスしても情報入力やアプリ導入をしていなければ、基本的に被害は発生しないと説明しています。ただし、組織では同じQRコードの受信者やアクセス状況を確認する必要があります。

ページを閉じ、同じURLへ再アクセスしない。
ブラウザ履歴、ダウンロード履歴、表示された警告を確認する。
URL、時刻、QRコードの入手経路を記録する。
業務環境では、同じメッセージや掲示物の利用者がいないか確認する。
判断に迷う場合はフィッシングリンクをクリックした時の初動対応へ進む。

ケース3：ID・パスワード・認証コードを入力した

入力した認証情報は、第三者へ渡った可能性があるものとして扱います。

対象サービスの正規サイトから、信頼できる端末でパスワードを変更する。
同じパスワードを使っているサービスを洗い出し、すべて異なる値へ変更する。
既存セッション、信頼済み端末、アプリパスワードを失効する。
MFA方法、回復用メール、電話番号、パスキーに不審な変更がないか確認する。
サインイン履歴、メール転送、外部共有、OAuthアプリを確認する。

身に覚えのないアクセスがあれば、不審なログイン通知の初動対応とセッションハイジャックの初動対応を併用します。

ケース4：カード・決済情報を入力した、支払いを承認した

正規のカード会社、金融機関、決済サービスへ速やかに相談する。
利用停止、取引確認、認証情報変更など、事業者の案内に従う。
利用明細、決済通知、送金先、承認時刻を記録する。
QRコード先の相手と直接交渉せず、追加の支払い要求に応じない。
業務の支払いなら、経理、法務、情シスへ同時に連絡する。

カード番号や認証コードを社内チケットへ貼らず、入力した情報の種類だけを記録します。

ケース5：MFA通知、OAuth同意、QRログインを承認した

パスワードを入力していなくても、承認によってセッションやSaaS権限が第三者へ渡る場合があります。

既存セッションを失効し、サインイン中の端末を確認する。
身に覚えのないMFA方法、パスキー、回復情報を無効化する。
承認したOAuthアプリやSaaS連携の権限を取り消す。
メール、ファイル、チャット、クラウド管理の監査ログを確認する。
管理者、経理、開発者アカウントなら直ちにCSIRTへ連携する。

MFA疲労攻撃の初動対応とSaaS権限棚卸しチェックリストを使うと、承認後に残るアクセス経路を確認できます。

ケース6：ファイル、アプリ、構成プロファイルを導入した

端末への継続アクセスや設定変更が疑われるため、緊急度を上げます。

会社端末は、組織の手順に従ってネットワークから隔離する。
端末を使い続けず、別の連絡手段で情シス・SOCへ報告する。
電源を一律に切らず、隔離できない場合を除いて担当者の指示を待つ。
信頼できる別端末から、重要アカウントのセッションと認証情報を保護する。
EDR、OS、ブラウザ、IdP、ネットワークのログを同じ時間軸で確認する。

個人端末では、OS・端末メーカー・サービス事業者の正規サポートを利用します。詳細はマルウェア感染時の初動対応とインシデント時の証拠保全で確認できます。

情シス・SaaS管理者が確認すること

QRコード経由のフィッシングは、PCで受信したメールをスマートフォンで開かせることがあります。メールログだけで「クリックなし」と結論づけず、ユーザーへの聞き取り、IdP、SaaS、端末、プロキシ、DNSなど、取得できる証跡を同じ時間軸で確認します。

組織内の確認チェックリスト

同じ件名、差出人、添付画像、QRコードを受信したユーザーを特定する。
QRコード画像、メール原本、表示URLを、組織の手順に沿って保全する。
URLをメール、DNS、プロキシ、ブラウザ保護機能でブロックできるか判断する。
IdPで不審なサインイン、MFA登録、セッション、OAuth同意を確認する。
SaaSでメール転送、外部共有、権限変更、APIトークン発行を確認する。
EDRやモバイル管理で、ダウンロード、アプリ導入、構成変更の兆候を確認する。
私物端末が関係する場合は、業務データに必要な範囲とプライバシーを両立した確認方法を決める。
ポスターや受付など物理設置なら、同じ掲示物、拠点、利用時間帯を確認する。
確認済みの事実、推測、未確認事項を分けて記録する。

QRコードを復号したURLを共有する場合は、誤クリックを防ぐためIOC正規化・defangツールを使います。社内URLや顧客情報を、承認なく外部のオンライン解析サービスへ送信しないでください。URLの構造だけを確認する場合は、入力を外部送信しないURL構造解析ツールを利用できます。

やること・やらないこと・記録すること

区分	内容
やること	追加操作を止め、行った操作を分け、正規窓口へ報告し、必要なアカウント・決済・端末保護を行う
やらないこと	再読み取り、別端末での確認、QRコード先の連絡先利用、外部解析サービスへの無断送信
記録すること	入手場所、時刻、端末、表示URL、入力・承認・導入の有無、通知、実施した対応

やってはいけないこと

同じQRコードを自分や同僚の端末で再度読み取る。
メールや画像を転送し、別の人にも読み取らせる。
QRコード先の電話番号、チャット、返金窓口へ連絡する。
パスワード、カード番号、認証コードを報告文へ再掲する。
感染が疑われる端末で、新しいパスワードを入力する。
物理的なQRコードを証跡を残さず剥がす、上から別の表示を貼る。
「スマートフォンだから安全」「メールフィルターを通過したから本物」と断定する。

判断基準とエスカレーション条件

優先度	状況	推奨対応
緊急	送金・決済承認、管理者アカウント入力、MFA・OAuth承認、アプリ・プロファイル導入	金融機関または情シス・SOC・CSIRTへ直ちに連絡し、封じ込めとログ保全を開始
高	一般アカウント、カード、本人確認情報を入力	認証情報・決済手段を保護し、履歴と影響範囲を確認
中	ページを開いた、または開いたか不明だが入力・承認は確認されていない	URL、履歴、ダウンロード、同一QRコードの利用者を確認
低	候補表示のみでページを開いていないことを確認できる	記録と報告を残し、正規窓口でQRコードの目的を確認

次に該当する場合は、個人で完結させず優先度を上げます。

管理者、役員、経理、採用、開発者など重要権限を持つアカウントを使った。
決済、送金、カード、本人確認情報を入力・承認した。
顧客情報、ソースコード、機密文書へアクセスできる。
同じQRコードが複数人、複数拠点へ配布されている。
社内掲示、施設、決済端末など物理的な改変が疑われる。
何を開き、入力し、承認したか確認できない。

初動記録テンプレート

発見・報告日時:
QRコードの入手経路: メール / SMS / 郵送物 / 掲示物 / 決済 / その他
差出人・設置場所:
読み取り日時:
使用端末・読み取りアプリ:
表示されたURL・動作:
ブラウザ・アプリを開いたか:
入力した情報の種類:
MFA・OAuth・決済・送金の承認:
ファイル・アプリ・プロファイルの導入:
不審なログイン・決済・端末警告:
同じQRコードを受け取った人・場所:
実施した対応:
保全した証跡:
未確認事項:
担当者・次回確認時刻:

パスワード、カード番号、認証コード、Cookie、トークンなどの値は記録しません。必要な証跡は、組織のアクセス制御された保管先へ保存します。

よくある誤解

「QRコードならURLより安全」

QRコードは情報の表現形式であり、安全性の証明ではありません。見た目だけでは誘導先を確認しにくいため、読み取り後のURL、支払先、操作内容を別の正規情報と照合します。

「読み取った瞬間に必ず感染する」

必ず感染するわけではありません。候補表示だけか、ページ表示、情報入力、権限付与、アプリ導入まで進んだかで影響は異なります。分からない操作は未確認として記録します。

「スマートフォンはウイルスに強いから大丈夫」

OSの保護機能があっても、利用者が偽サイトへ認証情報を入力したり、決済を承認したりすれば被害は起こり得ます。端末の種類だけで安全と判断しません。

「会社のメールフィルターを通ったから本物」

QRコードは画像として届くため、URLを検査する仕組みだけでは誘導先を判定できない場合があります。私物スマートフォンで開けば、会社のブラウザ保護やログ取得の対象外になることもあります。

「偽のQRコードを剥がせば対応完了」

物理的なコードを除去しても、すでに読み取った利用者や別の掲示物が残る可能性があります。設置状態を記録し、利用時間帯、他拠点、報告・周知まで確認します。

次に行うこと	CyberLensのページ
QRコード先を開いた後の対応	フィッシングリンクをクリックした時の初動対応、不審なログイン通知の初動対応
メールを確認・報告する	フィッシング確認チェックリスト、フィッシング報告テンプレート
URLを安全に扱う	URL構造解析ツール、IOC正規化・defangツール
アカウント・権限を確認する	SaaS権限棚卸しチェックリスト、セッションハイジャック初動対応
端末を確認する	マルウェア感染時の初動対応、EDRとアンチウイルスの違い
フィッシング耐性を高める	パスキーとパスワードの違い、MFAの基礎
基礎から学ぶ	フィッシングとAI脅威、フィッシング対策ガイド
判断を練習する	フィッシングメール判定トレーニング、セキュリティクイズ
用語を確認する	フィッシング、スミッシング、ソーシャルエンジニアリング

公式情報・参考情報

IPA NEWS Vol.69: QRコードを悪用したフィッシング詐欺 - クイッシングの定義、QRコード画像と私物スマートフォンによって組織の対策を外れやすい特徴。
IPA: 情報セキュリティ10大脅威2026 個人編ハンドブック - 看板、チラシ、郵送物のQRコードと、支払先・送金先を確認する注意点。
IPA: インターネットサービスへの不正ログインによる被害が増加中 - 情報入力後のパスワード変更、カード会社・サービス提供者への相談。
FTC: Scammers hide harmful links in QR codes to steal your information - メール、SMS、物理的な場所のQRコードと、正規窓口から確認する対策。
CISA: Recognize and Report Phishing - 不審なメッセージを認識し、組織やサービスへ報告する基本対応。
JPCERT/CC: フィッシングFAQ - フィッシングサイトとインシデント報告に関する公式FAQ。
Microsoft Support: Protect yourself from phishing - 被害直後の記録、アカウント保護、MFA確認、勤務先への報告。
Microsoft Security Blog: Email threat landscape Q1 2026 - QRコード画像と管理外モバイル端末を組み合わせるフィッシングの特徴。

まとめ

QRコードを読み取ってしまった後は、QRコード自体の見た目で判断せず、読み取りのみ、ページ表示、情報入力、承認、アプリ導入のどこまで進んだかを分けることが最初の一歩です。

候補表示のみなら記録と正規窓口での確認、認証情報入力ならパスワード・セッション・MFAの保護、決済情報ならカード会社・金融機関への相談、MFA・OAuth承認なら権限取消、アプリ導入なら端末隔離を優先します。

業務に関係する場合は、フィッシング確認チェックリストで確認項目を整理し、フィッシング報告テンプレートへ事実、実施対応、未確認事項を記録してください。

QRコードを読み取ってしまった時の対処法：クイッシングの確認と初動対応

冒頭要約