QRコードに店名が出た。これで安全？

カフェでメニューを開こうとして、テーブルのQRにスマホを向ける。表示には店名らしい文字。「名前も合っているし」と、そのまま押したくなります。

これは架空の場面ですが、立ち止まる場所は具体的です。店名が入っていることと、店の接続先であることは別。さらに、接続先が一致することと、その操作をしてよいことも別です。上の3つのURLを、まず開かずに比べてみてください。

3つとも店名がある。でもホストは違う

例Aのホストは cafe.example.com。店からそう案内された、というこの練習の前提には一致します。例Bは cafe.example.com.example.org。店名らしい部分は先頭にありますが、この例では example.org 側のサブドメインです。例Cの @ より前はユーザー情報の部分で、ホストは example.org です。

この違いは、WHATWGのURL標準が注意を促す表示の問題です。URLの先頭に知っている名前があるかどうかでなく、ホスト全体を見ます。ただし、Aだから安全、というテストではありません。同じホストに見えるURLでも、ページの内容、途中のリダイレクト、しようとしている操作まではこの比較で確認していません。

練習に使った example.com と example.org はIANAの文書用予約ドメインです。例の店は実在せず、URLもクリックできるリンクにはしていません。知らない実サイトを開いて練習する必要はありません。

「メニューを見る」の次に、何を求められた？

読み込めたことだけで安心すると、目的がすり替わっていても気づきにくくなります。メニューを見るつもりなのにカード情報が必要と言われた。未払いを確認するつもりなのに送金画面が開いた。返金を受けるつもりなのに、自分が送る金額を入力するよう求められた。最初の目的と、今の操作を並べてみるのが、このノートのもう一つの確認です。

警視庁の注意喚起では、偽の未払い通知から送金画面へ誘導する手口や、返金を装って送金用QRを送る手口を紹介しています。返金の案内で金額の入力を求められたら操作を中断し、不審な未払い通知は既知の公式サイト・アプリで確かめる、という区切りです。決済アプリ自体が本物でも、相手の要求が正当とは限りません。

店頭では、正規のQRの上から別のシールを貼る例もあります。同庁は貼り替えや表示内容を確認し、不審なら店員に尋ねるよう案内しています。こちらから紙をはがしたり、疑わしいコードをもう一度開いて試したりする必要はありません。「このQRと、今表示された案内は店のものですか」と確認するほうが近道です。

小さな画面では「見えない」を認める

この練習は、URL全体を見られるようにしています。実際のカメラ・アプリでは、一部しか表示されなかったり、短縮URLだったりすることがあります。https から始まっているだけでは、相手の身元や案内の正当性を確認したことにはなりません。

長いURLをスマホで全部解読することが、唯一の正解ではありません。表示が省略されて接続先を確かめられない、短縮先が分からない、途中で別の画面になった――そんな場合は推測で埋めない。店員、普段使っている公式アプリ、保存してある正規の入口など、受信したQRとは別の経路から確認します。IPAの解説も、本物のデザインをまねた画面は見た目で区別しにくく、迷ったら受信したリンクとは別の正規の入口を使うよう案内しています。

読み取ってしまった後も、確認先は別の入口

知らない画面が開いても、「ここまで来たから」と先へ進める必要はありません。追加の入力や送金を止め、確認が必要なら既知の連絡先へ。すでにパスワードやカード情報を入力した、送金した、という場合は、メッセージに書かれた窓口ではなく、当該サービス・カード会社などの公式窓口に事実を伝えて対応を確認してください。会社の端末なら所属先の報告手順に従います。このページだけで被害の有無や必要な対応を判定することはできません。

自分がQRを配る側なら、文字の入口も添える

イベントや小さな店の案内を作るなら、QRの横に何のページか、誰が案内しているか、確認できるURLや連絡先も添えると、受け手はQRだけに頼らず確かめられます。これは当サイトの編集上の提案で、詐欺を防げると実証した設計ではありません。

PiPiの静的QR作成ツールでは、公開してよいリンクや文字列からコードを作れます。読み取り・安全判定サービスではありません。 パスワード、認証コード、非公開の個人情報を練習用QRにしないでください。読み取り側の目で配布物を見直すことが、作成側の次の一歩です。

次にQRを見たときは、「店名がある？」だけでなく、「接続先は分かる？　今の操作は、自分が始めた目的と合っている？」。分からなければ、QRの外から確かめる。その区切りを覚えておくためのノートです。