QRコードを読み取ってしまった時の対処法：クイッシングの確認と初動対応

冒頭要約：読み取り・開いた・入力したを分ける

不審なQRコードを読み取った後は、候補表示だけ、ページ表示、情報入力、承認、アプリ・設定の導入を分けて対応します。 読み取った事実だけで感染や安全を断定せず、追加のタップ・入力・再読み取りを止めてください。

対象は個人利用者と、相談を受ける情シス・SaaS管理者です。パスワード入力やMFA承認ならアカウント保護、カード情報や送金なら金融機関への連絡、アプリ・管理設定の追加なら端末確認へ進みます。固定の10分を調査に使い切ってから連絡する手順ではありません。 記録と保護・報告を並行します。

5状況の判断表で分岐を選び、業務が関係する場合はフィッシング報告テンプレートへ引き継いでください。実際のQRコードや認証コードを、このサイトへ送る必要はありません。

• 1｜した操作を確認

  候補表示・閲覧・入力・承認・導入を分け、不明は未確認とする。

• 2｜対象別に保護

  アカウント、決済、端末の担当へ、既知の連絡先から相談する。

• 3｜事実と残件を残す

  時刻・影響する業務・実施済み操作と、次の担当を記録する。

クイッシングとは：URLを隠したフィッシング

クイッシング（Quishing）は、QRコードを利用して偽サイトや不審な操作へ誘導するフィッシングです。IPAの2024年の解説は、メールの画像にあるコードを私物スマートフォンで読み取ることで、組織の検査や保護の対象から外れ得る点を説明しています。すべてのメール対策が必ず検査に失敗するという意味ではありません。

FTCの2023年の注意喚起は、駐車場等のコードへの貼り替えや、未依頼のメール・SMSからの誘導を紹介しています。これらは当時の注意喚起であり、2026年の被害件数や発生率を示す資料ではありません。ロゴ、印刷物、HTTPSだけで本物と判断しないでください。

QRコードを読み取ってしまった時の対処法：5状況の判断表

まず確認すること：読み取った端末と業務の関係

• 入手元はメール、SMS、郵送物、ポスター、駐車場、社内掲示のどれか。
• 私物か会社の端末か。読み取りアプリ・ブラウザ・日時とタイムゾーンは何か。
• URL候補を表示しただけか、ブラウザ・アプリで開いたか。
• パスワード、確認コード、カード情報等の種類を入力したか。値は残さない。
• MFA、OAuthアプリ同意、決済・送金を承認したか。
• ファイル・アプリ・構成プロファイル・証明書を追加し、実際に導入したか。
• その後の認証・決済通知、端末警告、回復先・メール転送の変更はあるか。

私物端末で読んでも、業務アカウントへ入力・承認したなら会社へ報告します。確認は業務に関係する時刻・アカウント・操作に絞り、私物端末全体を無断で調査・収集しません。

初動対応：アカウント・決済・端末を分ける

パスワード・確認コードを入力、MFAを承認した場合

別の信頼できる端末や既知の公式アプリから保護へ進みます。AppleとGoogleの案内に沿い、不審な認証、回復先・MFA、端末、外部アプリを確認します。会社の事案は管理者と連携し、本人が入れない場合は正規の回復手段を使ってください。

パスワード変更、セッション失効、OAuth同意の取り消しは別の確認です。 Microsoft Entraの資料も、操作から反映までの差と、アプリ独自セッションを区別しています。IdPの操作だけで全アプリへの接続停止を保証しません。

QRコードが「ログイン承認」の要求だった場合は、パスワードを入力していなくても、何のサービス・操作を承認したか確認します。デバイスコードフィッシングやOAuth同意フィッシングの確認範囲も担当者へ引き継ぎます。方式を利用者だけで確定する必要はありません。

カード情報を入力、決済・送金を承認した場合

カード裏面、普段の公式アプリなど既知の連絡先から金融機関へ連絡し、利用・取引の状態と必要な対応を確認します。不審なページやメッセージの電話番号へ相談しないでください。金額・時刻・取引識別子は社内または事業者へ伝え、カード番号や認証コードをこのサイトへ入力しません。

記録完成を待って連絡を遅らせず、確認できた事実から伝えます。「送金後なら必ず取り戻せる」「ページを閉じれば支払いも消える」とは判断しません。業務の振込が関係する場合はBECの銀行連絡メモを記録項目の参考にしてください。

iPhoneの構成プロファイル・アプリを追加した場合

プロファイルのダウンロードとインストールは別です。 Appleの公式案内ではインストールに許可が必要で、導入済みのものは「設定」→「一般」→「VPNとデバイス管理」で確認できます。設定名はOS版や管理状態で異なるため、実画面と公式手順を照合します。

プロファイルを削除すると、関連する設定・アプリ・データも削除されることがあります。会社のMDMや正規の接続設定まで消さず、画面と導入状態を担当者へ伝えて判断してください。ファイルを保存しただけで端末全体が侵害されたと断言もしません。

不審なアプリの導入や実行がある場合はマルウェア感染の初動対応に沿い、追加利用を止め、通信の制限と必要な記録を並行します。初期化や再導入は、保全・回復手段・業務影響を確認した担当者の判断で行います。

会社・施設の掲示に不審なコードがあったら

施設の正規窓口へ連絡し、位置、確認時刻、重ね貼り、想定していた用途を記録します。確認のため実際に読み取ったり、第三者へ試させたりしません。施設担当が利用停止・正規掲示への切替・他の掲示場所の確認を進めます。

掲示を外しても、既に読み取った人や別の場所への対応は残ります。確認できる利用時間帯、報告経路、周知担当を記録し、被害者数や攻撃者を推測で発表しないでください。

記録例：秘密値を残さず、事実と未確認を分ける

欄	社内・正規窓口へ伝える内容
発見	日時・タイムゾーン、媒体・設置場所、元の受信物の保管先
操作	候補表示・ページ表示・入力した情報の種類・承認・導入の有無と時刻
対象	個人／業務、端末、サービス、決済等の影響する範囲
対応	連絡先、実施した保護、確認結果、未取得のログ期間
残件	未確認事項、次の担当、再連絡・確認する日時

架空の記録例は「12:10に社内掲示のQRからログイン画面を表示／パスワード入力あり／12:13に情シスへ連絡／セッション停止の反映は確認中」です。この3分は実測値や対応期限ではありません。 連絡・保護を記入完成待ちにせず、秘密値を含めない事実から初報を出します。

よくある誤解と、対応を区切る条件

QRなら安全？ 情報を表現する方式で、安全認定ではありません。ロゴ・HTTPS・メールフィルターの通過だけでも判定しません。

何も入力していなければ必ず影響なし？ 許可・承認・導入や端末警告も別に確認します。ページ表示だけで一律に感染ともしません。

コードを外せばすべて完了？ 既読者、別の掲示、アカウント・取引・端末の残件を確認します。

対応は、①操作と対象の整理、②必要な連絡・保護の反映確認、③情報・取引・端末への影響と未確認の記録、④残件の担当と再確認日時、の4点で区切ります。権限変更の確認にはSaaS権限棚卸しを使い、チェック済みの数を安全保証とは扱いません。

対応後の学習・次に使うページ

• フィッシング報告テンプレートで、実施済みと未確認を分けて引き継ぐ。
• フィッシング確認チェックリストとパスキーとパスワードの違いで再発防止を整理する。
• 合成メールの判断演習で、実際のQRや不審サイトを使わず復習する。
• 組織の報告・見直しの仕組みはISO 27001とISMSへ。対応後の監視・自動化の整理はSIEMとSOARの違いへ進む。
• ページを「あとで読む」へ保存すれば、進捗ページから同じブラウザで再開できます。

公式情報・参考情報

• IPA NEWS Vol.69：QRコードを悪用したフィッシング詐欺 — 2024年公開資料で、クイッシングの定義と私物端末が組織の対策外になる問題を確認。
• FTC：QRコードに隠された不審なリンク — 2023年の注意喚起。駐車場等の貼り替え、未依頼メッセージ、既知の窓口での確認。
• Apple：フィッシング等のソーシャルエンジニアリングへの対処 — 不審な誘導を使わない確認、情報入力後のアカウント保護。
• Apple：iPhoneの構成プロファイル — インストール時の許可、確認画面、削除時に関連設定・アプリ・データも削除される点。
• Google：侵害されたアカウントの保護 — 認証イベント・端末・回復情報・メールやアプリの確認。
• Microsoft Learn：アクセスの取り消し — IdPの失効要求とアプリ自身のセッションの違い。