QRコード詐欺（クイッシング）の見分け方｜読み取る前と、開いた後に確かめること

「メールのQRコードを読み取ったら、ログインの画面が出た…これって本物？」

QRコードを使って、偽のサイトに連れて行く詐欺があります。「QR」と「フィッシング」を合わせて、クイッシングとも呼ばれます（IPA）。QRコードは、読み取るまで行き先が目で見えません。だから、読み取る前と、開いた後の2回、確かめます。

QRコードを読み取るときの3つの約束

• □ 1. メールやSMSのQRコードからは、ログインしない
• □ 2. ログインや支払いは、公式アプリかブックマークから開く
• □ 3. 開いた後、支払い先・金額・入力する情報が、自分のしたいことと合っているか確かめる

2026年11月8日に、IPA（情報処理推進機構）とフィッシング対策協議会の資料で確かめました。

どんな手口がある？

IPAの資料には、次のような手口が出てきます。

• 会社を名乗るメールにQRコードがあり、読み取ると偽のサイトが開く。IDとパスワードや、クレジットカードの情報をだまし取る
• 看板やチラシ、郵送物のQRコードの中に、偽のサイトを開かせるものがある
• 悪いQRコードを読み取って、思っていない相手にお金を送ってしまう
• 自分のアプリの、支払い用のQRコードを人に盗まれ、知らないところで支払われる

フィッシング対策協議会は2024年8月に、カード会社を名乗るメールのQRコードから偽サイトに誘導する手口を、緊急情報として知らせています。

なぜQRコードが使われるの？

IPAによると、QRコードは画像なので、メールのリンクを調べる仕組みをすり抜けやすいからです。会社のパソコンで届いたメールでも、自分のスマホで読み取ると、会社の守りの仕組みの外に出てしまいます。

読み取る前に確かめること

メール・SMSのQRコード

フィッシング対策協議会は、メールのQRコードからログインを促すメールは、不正なメールの可能性が高いとしています。

カード会社や銀行から「確認してください」とQRコード付きで届いても、読み取りません。いつも使っている公式アプリか、ブラウザーのブックマークから自分で開き、同じお知らせがあるかを見ます。

メールの見分け方と通報のしかたは、フィッシングメールが届いたら？見分けにくい理由と確かめ方、通報のしかたにまとめています。

看板・チラシ・郵送物のQRコード

看板やチラシ、郵送物のQRコードにも、偽のサイトを開かせるものがあります（IPA）。電車の中の広告に、本物とは別のQRコードが貼られた例もあります（IPAの資料が紹介している大学の報告）。

• 本物のQRコードの上から、別のQRコードが貼られていないか見る
• お店やサービスの公式アプリがあれば、そちらから開く

開いた後に確かめること

IPAは、QRコードの行き先は、開く前に目で確かめられないので、支払い先や送金が自分の思っているとおりかを慎重に確かめるよう勧めています。

• 支払いの画面なら、支払い先の名前と金額が、思っているとおりか
• 駐車場や店の支払いのはずなのに、IDとパスワード、カード番号、暗証番号を聞かれていないか
• 「返金します」と言われて、お金を送る操作になっていないか

1つでもおかしいと思ったら、何も入れずに閉じます。お店の人や、サービスの公式の窓口に聞きます。

「返金」の名前で送金させる手口は、「○○ペイで返金します」は詐欺を疑う｜返金をうたう詐欺の流れと、送金してしまったときの相談先で説明しています。

自分の支払い用のQRコードも守る

スマホ決済のアプリの、支払い用のQRコードやバーコードを盗まれると、知らないところで支払われることがあります（IPA）。

• 支払い用のコードは、レジで支払うときだけ出す
• コードの画面を、写真に撮って人に送らない

入力してしまったら

偽のサイトに、パスワードやカード番号を入れてしまったら、すぐに動きます。

• パスワードを入れた: そのサービスのパスワードを、公式アプリかブックマークから変える
• カード番号を入れた: カード会社に電話して、カードを止めてもらう
• お金を送ってしまった: 決済サービスの窓口に連絡し、消費者ホットライン（188）か警察の相談専用電話（#9110）に相談する
• アプリを入れてしまった: 怪しいSMSの記事の「アプリを入れてしまったら」の順番で、消してから確かめる

入れた情報ごとの順番は、フィッシングサイトに入力してしまったら？最初にすること｜パスワード・カード・認証コード別にまとめています。カードに覚えのない請求が来たときは、身に覚えのないカード請求に気づいたら｜今すぐやる4つと、補償の確かめ方を見てください。

やってはいけないこと

• メールやSMSのQRコードから、ログインする
• QRコードで開いた画面で、確かめないままパスワードやカード番号を入れる
• 自分の支払い用のQRコードを、人に見せたり送ったりする

よくある質問

読み取っただけで危ない？

公的機関の資料で、読み取っただけで被害が出るという説明は見つけられませんでした。資料が注意しているのは、開いた画面で情報を入れたり、お金を送ったりすることです。開いてしまったら、何も入れずに閉じます。

本物の見分け方は？

フィッシング対策協議会は、偽サイトは本物の画面を写して作ることが多く、見分けるのはとても難しいとしています。見た目で判断せず、公式アプリかブックマークから開き直します。

SMSにURLがあった

SMSのリンクのときは、怪しいSMSが届いたら？開く前の確かめ方と、押してしまった後｜宅配・銀行・カードを見てください。

QRコードは便利な入口ですが、行き先は読み取るまで分かりません。ログインと支払いは、公式アプリかブックマークから。これだけ覚えておきましょう。

次に読む記事

参考

• IPA「情報セキュリティ10大脅威 2026 個人編ハンドブック」（2026年。スマホ決済の不正利用・フィッシングの項。2026年11月8日に確認）
• IPA NEWS Vol.69（2024年11月号）「フィッシング詐欺の手口と対策」（2026年11月8日に確認）
• フィッシング対策協議会「QR コードから誘導するフィッシング」（2024年8月28日。2026年11月8日に確認）