フィッシングの家族には、届け方ごとに名前が付いています。

整理は筆者によるものです。

第1章 おわり — 次は第2章

この記事を書くにあたり、日本の主要な一次資料を確認しました。結果はこうです。

2026年8月17日時点で筆者が確認した範囲です。今後の資料で扱われる可能性はあります。

ネット上には「相談が◯倍に増えた」「被害額◯万円」といった数字が多数出回っています。しかし筆者が確認した限り、それらの一次資料にたどり着けませんでした。したがってこの記事では、それらの数字を採用しません。

定義の側にも、QRは入っていません

統計だけの話ではありません。警察庁がフィッシングをどう定義しているかを見てください。

「メールやSMSのリンクから」。QRコードは、この定義の外にあります。

これは定義が間違っているという話ではありません。統計の枠組みは定義に沿って作られるので、定義にQRが入っていなければ、集計にも入らない——それだけのことです。しかし結果として、この手口は数字として現れません。

参考までに、確認できた数字を並べておきます。いずれもクイッシングを区分したものではありません。

出典：フィッシング対策協議会『2026年7月 フィッシング報告状況』、警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』、IPA『情報セキュリティ安心相談窓口の相談状況［2026年第2四半期］』。

第2章 おわり — 次は第3章

企業はフィッシング対策に投資してきました。メールのフィルタ、URL検査、社員教育。それらがQRの前でどうなるかを、一つずつ見ます。

整理は筆者によるものです。

3番が、この攻撃の設計の核心です

会社のPCには、いろいろな守りが載っています。メールフィルタ、プロキシ、EDR、資産管理。ところがQRコードを読み取るのは、多くの場合、私物のスマートフォンです。

一般的な構成での比較です。私物端末の業務利用に関する方針は組織によって異なります。

QRコードは、防御の境界をまたがせる装置です。攻撃者から見れば、会社の中に届いたメールを、社員の手で会社の外へ持ち出させることができます。1枚の画像で。

そして最終行が、あとから効いてきます。私物スマホで起きたことは、記録が残りません。「誰が、いつ、何を入力したか」を調べられないため、被害範囲の特定ができません。

第3章 おわり — 次は第4章

QR決済サービス側の安全性と補償条件は QR決済・電子マネー10サービスの安全性 で扱っています。

第4章 おわり — 次は第5章

型の整理は筆者によるものです。実際の手口はこれらを組み合わせます。

2番が組織にとって厄介です。本文にURLが無いので、URL検査を通り抜けます。しかも「多要素認証の再設定をしてください」といった、スマホで操作するのが自然な口実と組み合わされます。第3章の3番が、こうして成立します。

口実の作り方は、既存の手口と同じです

QRはあくまで届け方なので、人を動かす部分は従来のフィッシングと変わりません。組み合わされる口実には、よく使われる型があります。

口実の型は筆者による整理です。文面は例示であり、実在の文言ではありません。

どれも「スマホで開くのが自然」な用件である点が共通しています。偶然ではなく、第3章の3番を成立させるための設計です。

第5章 おわり — 次は第6章

実務上の一般的な整理です。端末やアプリによってURLの表示方法は異なります。

1番が本命です。QRを読み取った直後、多くのスマートフォンは「このサイトを開きますか」とURLを表示します。そこを読まずにタップしているだけで、クイッシングは成立します。逆に言えば、そこを読む習慣がつけば、大半は止まります。

第6章 おわり — 次は第7章

実務上の一般的な整理です。

4番は見落とされがちです。店舗、駐車場、イベント会場、ポスター——自社が世の中に貼り出しているQRは、貼り替えの対象になります。そして被害に遭うのは自社の顧客で、責任を問われるのは自社です。掲示しているQRの一覧を持っている組織は、ほとんどありません。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ