ESETは2026年上半期版の脅威レポートで、QRコードを悪用したフィッシング「クイッシング」の検出が世界的に増加し、過去最高レベルに達していると報告した。2026年上半期に検出されたフィッシングメールのおよそ11％にQRコードが含まれており、月平均約10万件のクイッシング関連検出が記録されたとされる。攻撃者は、日常的に利用される“使い慣れた技術への信頼”を悪用しているとして注意を促している。
事案の詳細
今回のレポートが取り上げたのは、QRコードを入り口として被害者をフィッシングへ誘導する手口「クイッシング」だ。QRコードは、スマートフォンで読み取ればすぐに情報へアクセスできるため、決済や案内、ログイン補助など日常的に利用されやすい。ESETは、こうした「使い慣れた技術」への信頼を攻撃者が利用している点を指摘している。
クイッシングは、見た目にはURL（リンク先の文字列）が直接表示されない場面が生まれやすい。紙面、掲示物、メール本文、文書などに提示されたQRコードは、読み取るまで遷移先が分からないことが多い。ESETは、2026年上半期のフィッシングメールの約11％に悪意あるQRコードが含まれていたことや、月平均約10万件の検出があったことなど、検出増加という観測事実を示し、QRコードがフィッシングの導線として使われるケースが増えている状況を伝えている。
フィッシングは、偽のページなどに誘導して情報を入力させる攻撃として知られている。レポートは「クイッシング」という形で、誘導の起点がQRコードに置き換わっている点に焦点を当てた。ユーザーの側が“QRコードは便利で安全”と感じやすい状況が、攻撃の成立を後押しし得るという問題意識が示されている。また、検出動向からは、米国やスペイン、メキシコなど複数の地域でクイッシングが特に多く観測されていることも報告されている。
影響と背景
QRコードは日常の決済、案内、ログイン補助など幅広い用途で普及している。ESETは、この普及と「使い慣れた技術への信頼」を攻撃者が悪用する構図を問題として挙げ、クイッシング検出の急増と過去最高レベルの検出数という形で脅威の拡大を示した。具体的には、2026年上半期に検出されたフィッシングメールの約11％がクイッシングに該当し、特に4月にピークを迎えたとされる。
つまり、従来のフィッシングに対する警戒が一定程度浸透した環境でも、入口がメール本文中のURLからQRコードに変わることで、セキュリティ製品による検査やユーザーの目視確認がすり抜けられやすくなり、注意が薄れ得る点が影響として浮かび上がる。また、給与明細や福利厚生案内、社内通知を装ったメールにQRコードを埋め込み、従業員を偽サイトへ誘導するなど、企業の業務フローに紛れ込む形で悪用されるケースも指摘されている。
対策・今後の展望
- QRコードを読んだ後の遷移先を確認する：読み取り直後に表示されるページやリンク先をそのまま信用せず、想定していた案内先かどうかを確かめる。特に、メールや掲示物に記載されたQRコードの場合は、差出人や掲示元と矛盾していないかも確認する。
- 入力を求められたら立ち止まる：IDやパスワード、個人情報などの入力画面が出た場合、QRコード経由での入力が本当に必要な場面かを再確認する。もともとの案内（メール本文や掲示内容など）に「QRコードからログイン情報を入力する」旨の説明があるかを見直し、少しでも不自然な点があれば公式サイトや正規アプリからアクセスし直す。
- 社内で「QRコード＝安全」と決めつけない：便利な導線である一方、フィッシングの入口にもなり得ることを共有し、読み取り時の確認手順を定める。メールや文書に含まれるQRコードについては、業務上正当な送信元・用途であるかを確認するルールや、疑わしい場合にセキュリティ担当へエスカレーションするフローを整備する。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業のMDR運用では、メールや文書に載ったQRコードを起点に、スマホ側で不審サイトへ誘導される懸念が目立つ。診断でも「私用スマホ利用や社用端末の管理手順が曖昧なまま放置」が多い。こうした環境では、モバイル端末がゲートウェイとなって社内アカウント情報やクラウドサービスへの認証情報が盗み取られるリスクが高まる。
【平易な解説】例えるなら、封筒の宛名が見えないまま“中身だけ先に開ける”ようなものです。つまりQRコードは、読み取るまで行き先が見えにくい入口で、慣れている分だけ疑いにくくなるということです。さらに、読み取りに使うのが自分のスマートフォンであることで「自分の端末だから大丈夫」と感じてしまい、警戒心が薄れやすい点も問題です。
【今週中にできること】まず社内で、業務でQRコードを読む場面（掲示物・メール・印刷物）を洗い出し、入力が発生するケースは要注意と伝えます。次に、読み取り後に表示される遷移先を確認してから操作する手順を周知し、疑わしい場合は担当窓口へ相談する流れを決めてください。また、私用スマホを業務に用いる場合のルールや、モバイル端末の管理ポリシーを明文化し、クイッシングを含むフィッシング全般を想定した教育・訓練を定期的に行うことも有効です。
参照: QRコード悪用のフィッシング「クイッシング」検出増加、攻撃者は“使い慣れた技術への信頼”を悪用 ESET脅威レポート 2026年上半期版