QRコードフィッシング（Quishing）、偽のパーキングメーターステッカー、悪質なURL¶

スマートフォンのカメラでクイック レスポンス (QR) コードをスキャンすることは、自治体のパーキング メーターの支払い、電気自動車 (EV) の充電ステーションの初期化、レストランのメニューの確認、宅配便の追跡、企業の多要素認証 (MFA) の完了などの際に自動的に行われる毎日の習慣になっています。脅威アクターは、クイッシング (QR コード フィッシング) を通じてこの暗黙の信頼を悪用します。つまり、物理的なビニール製の偽造 QR デカールを公共の駐車場の正規のステッカーの上に直接貼り付けたり、偽の「不在配達」ポストカードを郵送したり、動的に生成された QR 画像を企業の PDF 内に埋め込んで企業電子メールのセキュア ゲートウェイをバイパスしたりします。

QR コードは光学的にエンコードされた単なるデータ文字列であり、最大 4,296 文字の英数字を保持できるため、カメラをマトリックスに向ける前に目で宛先 URL を検査することはできません。さらに悪いことに、QR コードをスキャンすると、攻撃の対象が厳重に監視されている会社のラップトップから個人のスマートフォンに移され、モバイル ブラウザのアドレス バーが長いサブドメインを切り詰め、Adversary-in-the-Middle (AiTM) リバース プロキシがクレジット カード、Apple Pay / Google Pay プロビジョニング トークン、または Microsoft 365 セッション Cookie を数秒でキャプチャする可能性があります。このガイドでは、画面上で何が起こったかに応じて、悪意のある QR コードをスキャンしてから数分以内に実行する即時封じ込め手順について詳しく説明します。

今すぐこれを実行してください¶

1. QR コードをスキャンした後、何をしたかをすぐに確認してください。 最新の iPhone または Android 携帯電話で Apple Safari または Google Chrome で標準の Web ページを開くだけで、永続的なマルウェアが自動的にインストールされることはほとんどありません。ただし、クレジット カード番号を入力、電子メール/Microsoft 365/Google パスワードと 2FA コードを入力、ログインしたアプリ内から QR コードをスキャン (Discord、WhatsApp、Microsoft Authenticator など)、または ** .apk アプリまたは .mobileconfig プロファイル**、今すぐターゲットを絞った封じ込めを実行する必要があります。
2. 偽のパーキング メーター、有料道路、または EV 充電器の Web サイトにクレジット カードまたはデビット カードを入力した場合は、すぐにカードの裏面にある番号に電話してカードをキャンセルし、エージェントに「すべてのデジタル ウォレット VTS/MDES ネットワーク トークンを取り消す」ように依頼してください。 偽の駐車料金および荷物料金ページは、駐車料金として 3 ドルを請求するだけではありません。彼らは、チェックアウト ページで入力した SMS ワンタイム パスコードを使用して、攻撃者の Apple Pay、Google Pay、または Samsung Pay スマートフォン ウォレットにカードを登録するバックグラウンド スクリプトを実行します。 Visa Token Service (VTS) または Mastercard Digital Enablement Service (MDES) デジタル ウォレット トークンを取り消さずに、銀行に交換用のプラスチック カードのみを要求した場合、攻撃者のスマートフォン ウォレットは自動的に新しいカード番号を受け取り、アカウントに請求を続けます。
3. QR コードをスキャンした後に Microsoft 365、Google Workspace、または銀行のログイン ページにログインした場合は、クリーンなコンピューターを使用してパスワードを変更し、すぐに [すべてのセッションからサインアウト / OAuth トークンを取り消す] をクリックします。 企業のクイッシュ メールは、認証後のセッション Cookie を盗む Evilginx / Modlishka Adversary-in-the-Middle (AiTM) リバース プロキシを経由します。認証アプリ。私たちをフォローしてください MFA フィッシングと敵対者中間者バイパス 会社の IT セキュリティ/SOC チームに 5 分以内に指示し、警告を発します。
4. WhatsApp、Discord、Telegram、Steam、または WeChat 内の内蔵カメラ スキャナを使用して QR コードをスキャンした場合は、そのアプリの「リンクされたデバイス」メニューを開き、認識されていないセッションをすべてログアウトしてください。 認証されたメッセージング アプリまたはゲーム アプリ内から攻撃者の「QR ログイン」コードをスキャンすると、攻撃者はパスワードや 2FA を必要とせずにアカウントの即時 WebSocket セッション クローンを取得できます。コード。
5. ** QR コードによって Android をダウンロードするよう求められた場合 .apk ファイルを作成するか、iOS 構成プロファイルをインストールします (.mobileconfig）、携帯電話を機内モードにして、プロファイルまたはアプリをすぐに削除します。** iOS の場合は [設定] > [一般] > [VPN とデバイス管理]、Android の場合は [設定] > [セキュリティ] > [その他のセキュリティ設定] > [デバイス管理アプリ] を確認し、弊社の 電話機でのストーカーウェア、スパイウェア、キーロガーの検出 ガイド。
6. 自治体のパーキング メーター、交通機関のキオスク、または EV 充電器に物理的な偽造 QR ステッカーを発見した場合は、近くを徘徊している人には対峙しないでください。 安全な場所に移動し、駐車管理者またはキオスクの塗装金属本体に印刷されている市の執行番号に通知し、何らかの物理的な脅迫に直面した場合は、地元の緊急電話番号 (米国とカナダでは 911、欧州連合では 112、英国では 999) に電話してください。 緊急電話番号 ディレクトリ)。

悪意のある QR コード (Quishing) インシデント トリアージ デシジョン ツリー¶

flowchart TD
    Root["不審または悪意のある QR コードをスキャンしました"] --> ActionTaken{"QRコードをスキャンした後はどうなりましたか?"}

    ActionTaken -->|"1. 開かれたウェブページのみ: 何も入力したりダウンロードしたりせずにタブを閉じます"| SafeClean["低リスク: ブラウザーのタブを閉じる -> そのドメインのサイト データ/Cookie をクリアする -> ダウンロード フォルダーを確認する -> iOS/Android OS が最新であることを確認する"]

    ActionTaken -->|"2. 偽のパーキング メーター、EV 充電器、または荷物ページにクレジット/デビット カードを入力"| CardComp["1. すぐに銀行詐欺部門に電話して、カードをロックして交換してください<br/>2.重要: すべての Apple Pay / Google Pay デジタル ウォレット トークン (VTS/MDES) の取り消しを要求します<br/>3.レッカー移動を避けるために、実際に車のメーター料金が未払いかどうかを確認してください"]

    ActionTaken -->|"3. 仕事/メールパスワード + 2FA コードを入力 (Microsoft 365、Google、Okta)"| CredComp["1. AiTM セッション Cookie の盗難 (Evilginx) を想定します。<br/>2.クリーンな PC で、パスワードを変更し、(すべてのセッションからサインアウト) をクリックします<br/>3.不正な MFA デバイスと受信トレイ転送ルールを削除します<br/>4.企業の IT SOC に直ちに警告する"]

    ActionTaken -->|"4. アプリ内スキャナーを使用してスキャンした QR コード (WhatsApp、Discord、Telegram、Steam)"| SocketHijack["アプリの設定を開く -> 「リンクされたデバイス」/「認証されたデバイス」 -> すべての不明な Web/デスクトップ セッションを即時終了する"]

    ActionTaken -->|"5. アプリ (.apk)、iOS 構成プロファイルをインストールしたか、プロンプトで「許可」をクリックしました"| MalwareCheck["1. 機内モードをすぐにオンにします<br/>2. iOS: (設定) > (一般) > (VPN とデバイス管理) -> (不明なプロファイルを削除)<br/>3. Android: 不正な APK をアンインストールし、アクセシビリティ/管理者権限を取り消します"]

QR コードの背後にある 5 つの異なる技術的攻撃ベクトルを理解する¶

QRコード（ISO/IEC 18004規格）は開くだけではありません https:// ウェブサイト。白黒モジュール内でエンコードされた URI スキームに応じて、コードをスキャンすると、スマートフォン上で 5 つのまったく異なるアクションがトリガーされる可能性があります。

シナリオ A: パーキング メーター、EV 充電器、料金所通知に貼られた偽の QR ステッカーをスキャンし、支払いの詳細を入力した¶

物理的な QR オーバーレイの改ざんは、北米、ヨーロッパ、英国、オーストラリアの都市で急増しています。被害者は通常、混雑した歩道に急いで立っているため、塗装された金属メーターの表面に光沢のあるビニールのステッカーが貼り付けられていることに気づくことはほとんどありません。

金融と車両の段階的な封じ込め¶

1. 侵害されたカードをロックし、デジタル ウォレット プロビジョニング トークンを消去します (VTS / MDES):
2. すぐにバンキング モバイル アプリを開き、カードのロック/凍結 を オン に切り替えます。
3. カードの裏面に記載されている詐欺番号に電話し、デジタル ウォレット/トークン化詐欺デスクを依頼してください。
4. 標準のカード交換が失敗する理由: カード番号を入力した後、偽の駐車場ページで 6 桁の SMS コードまたは電子メール コードを入力した場合、攻撃者がカードを Apple Pay、Google Pay、Garmin Pay、または Fitbit Pay アカウントにリンクすることを誤って許可してしまうことになります。銀行の担当者に次のことを依頼してください。
   1. プライマリ アカウント番号 (PAN) にリンクされているすべての アクティブなデジタル ウォレット / デバイス トークンを表示します。
   2. 認識されていない Apple Pay、Google Pay、販売者トークンをすべて削除/終了します。
   3. この再発行では Visa アカウント アップデーター (VAU) / Mastercard 自動請求アップデーター (ABU) をオプトアウトして、新しいカード番号が繰り返しの詐欺師に自動的に転送されないようにしてください。
5. 駐車料金を今すぐ合法的に支払い、車両に切符を切られたり、ブーツを切られたり、レッカー移動されたりすることがないようにしてください:
6. 覚えておいてください: QR ステッカーは市の駐車管理局ではなく犯罪者のものであるため、あなたのナンバー プレートは現在、料金を支払わずに駐車されています。
7. マシン上のステッカーを決してスキャンしないでください。代わりに、メーターまで歩いてハードウェア端末に物理的なコイン/非接触型タップで直接支払うか、公式 Apple App Store / Google Play ストアにアクセスして、検証済みの自治体アプリ (ParkMobile、PayByPhone、RingGo、EasyPark、または PayStay など) をダウンロードし、金属ポールに描かれている 4 ～ 6 桁のゾーン番号を入力します。
8. 偽造ステッカーを報告する前に写真を撮ってください:
9. 偽造 QR ステッカー (接着剤の端が盛り上がっていたり、フォント サイズが一致していないか、公式ロゴの一部を覆っているステッカーを探してください) と メーターのシリアル番号/ポール番号 の両方が写っているパーキング メーターまたは EV 充電器の鮮明な写真を撮ります。
10. 市の駐車管理局またはキオスクに印刷されている EV 充電ネットワーク (ChargePoint、Electrify America、EVgo、Ionity、Shell Recharge) のカスタマー サービスの電話番号に電話すると、メンテナンス スタッフが街区全体に沿ってオーバーレイ ステッカーを剥がすことができます。

シナリオ B: 仕事用メールまたは PDF 内の QR コードをスキャンし、Microsoft 365、Google、または Okta のログイン情報を入力しました。¶

企業のサイバーセキュリティにおいて、QR コード フィッシングは Adversary-in-the-Middle (AiTM) セッション ハイジャックの最大の配信メカニズムです。ほとんどの従業員はデスクトップ モニターで仕事のメールを読み、私用のスマートフォンを手に取って画面上の QR コードをスキャンするため、ログインは従業員のセルラー 5G 接続を介して行われ、企業のラップトップのエンドポイント検出と応答 (EDR) エージェント、企業のファイアウォール、およびブラウザのフィッシング拡張機能を完全にバイパスします。

15 分間の即時アカウント封じ込めプロトコル¶

1. 認証アプリがあなたを保護していると思わないでください:
2. 最新のキッシング ページでは、Evilginx、Modlishka、または Muraena リバース プロキシを使用します。偽のモバイル ページに会社の電子メール、パスワード、および 6 桁の認証コードを入力すると (または認証コードのプッシュ / 番号の一致を承認すると)、攻撃者のサーバーは認証情報を次のユーザーに中継します。 login.microsoftonline.com リアルタイムで結果をキャプチャします ESTSAUTH / ESTSAUTHPERSISTENT セッションクッキー。
3. クリーンなコンピュータで、パスワードをローテーションし、アクティブなセッション トークンをすべて取り消します:
4. Microsoft 365 / Entra ID: ** に移動します。https://mysignins.microsoft.com/security-info**。まず、[どこでもサインアウト] をクリックします (盗まれたセッション Cookie を無効にするため)。次に、パスワードを変更します。 3 番目に、そのページにある サインイン方法のリストを注意深く見てください。攻撃者は、Cookie を盗んでから 8 秒以内に、独自の不正な Authenticator アプリまたは FIDO2 キーをアカウントに登録する自動スクリプトを使用しています。認識しない認証デバイスを削除します。
5. Google Workspace / Gmail: ** に移動しますhttps://myaccount.google.com/device-activity**、認識されないモバイル/Linux セッションをクリックし、サインアウト、パスワードを変更し、2 段階認証プロセス デバイスを確認します。
6. 電子メールの受信トレイにサイレントな「ルール/転送」の永続性がないか確認してください:
7. QR コードを介して企業メールボックスをハイジャックした攻撃者は、すぐに Outlook Web に非表示の 受信トレイ ルール を作成します (Settings > Mail > Rules そして Forwarding) のような単語を含むすべての受信メールをルーティングします。 "Invoice"、 "Wire"、 "Payment"、 "ACH"、 または "DocuSign" RSS 購読 または アーカイブ フォルダーに既読としてマークを付けて保存します。不明なルールをすべて監査して削除します。 電子メールアカウントのハッキング、転送ルール、および回復 ガイド。
8. 企業の IT ヘルプ デスクまたはセキュリティ オペレーション センター (SOC) に直ちに通知してください:
9. 職場で誤って QR スキャンを行った場合は、恥ずかしいからといって決して隠さないでください。 5 分以内に IT 部門に電話すると、攻撃者が攻撃を開始する前に、管理者は Entra ID / Okta で 「セッションの取り消し」 および 「MFA の再登録が必要」 をクリックすることができます。 ビジネスメール侵害 (BEC) 電信詐欺 クライアントに対する攻撃。

シナリオ C: アプリ内スキャナー (WhatsApp、Discord、Telegram、Steam) を使用して QR コードをスキャンしました¶

友人、ゲーム サーバーの「認証ボット」、または偽のプレゼント ページから 「Discord / WhatsApp / Steam を開く -> QR スキャナーを開く -> このコードをスキャンして報酬を受け取るか年齢を確認する」 ように指示された場合、あなたは Web サイトにアクセスしたのではなく、リモート デスクトップ / Web クライアント ログイン (QRLJacking):

• WhatsApp: 携帯電話ですぐに WhatsApp を開き、設定 (または 3 つの点) をタップします。 ⋮ Android の場合) -> [リンクされたデバイス] をタップします -> リストされているすべてのデバイスをタップします Google Chrome (Windows/Linux/Mac) または不明なセッション -> [ログアウト] をタップします。
• Discord: すぐに Discord を開き、[設定] -> [デバイス] -> [すべての既知のデバイスからログアウト] をタップし、Discord パスワードを変更します (Discord パスワードを変更すると、盗まれたパスワードが自動的に無効になります) Authorization 攻撃者のブラウザ内のトークン）。
• Telegram: Telegram -> 設定 > デバイス -> 他のすべてのセッションを終了 を開きます。
• Steam: Steam モバイル アプリを開きます -> シールド アイコン (Steam ガード) -> 歯車アイコン -> 承認されたデバイス -> 認識されていない PC からのアクセスを削除 をタップします。

シナリオ D: QR コードをスキャンして Web ページを開いただけ (何も入力しなかった)¶

iPhone または Android のカメラを不審な QR コードに向けて、黄色の URL バナーをタップし、Safari または Chrome で大まかな Web ページが読み込まれるのを確認し、パスワードやクレジット カードを入力したり、[インストール] をクリックしたりせずに、すぐにそれを閉じた場合:

1. 深呼吸してください: 路上駐車ステッカーによるゼロクリックのドライブバイブラウザエクスプロイトは非常にまれです。 商用のゼロクリックモバイルブラウザエクスプロイトには数百万ドルの費用がかかり、国家情報機関によって大規模なパーキングメーター詐欺ではなく、標的を絞ったスパイ活動のために予約されています。
2. ブラウザ タブを閉じて、サイト ストレージを消去します:
3. iOS (Safari): タブを閉じてから、[設定] > [アプリ] > [Safari] > [詳細設定] > [ウェブサイト データ] を開き、不審なドメイン名を検索し、左にスワイプしてその Cookie とキャッシュを削除します。
4. Android (Chrome): アドレス バーの左側にある 南京錠/チューニング アイコン -> Cookie とサイト データ -> 削除 (または、[設定] > [プライバシーとセキュリティ] > [閲覧データの削除] -> [過去 1 時間] に移動します)。
5. ブラウザがプッシュ通知スパムをサイレントに有効にしていないこと、またはファイルのダウンロードを行っていないことを確認してください:
6. Android Chrome で、[設定] > [サイト設定] > [通知] に移動し、偽の「ウイルスが検出されました」プッシュ通知ポップアップを送信する許可が奇妙な Web サイトに付与されていないことを確認します。
7. 携帯電話で ファイル/ダウンロード フォルダーを開き、ファイルを削除します。 .apk、 .pdf、 .ics (カレンダースパム)、または .mobileconfig ページの読み込み時に自動的にダウンロードされるファイル。
8. GSM 自動転送がトリガーされていないことを確認します (QR コードによって電話ダイヤラが開かれた場合):
9. 電話機のキーパッドを開いて ** にダイヤルします*#21#** (無条件の通話転送ステータスを確認します)。番号がリストされている場合は、** をダイヤルしてください##002#** をクリックし、[通話] を押して、通信事業者回線上のすべての GSM 通話転送ルールを消去します。

シナリオ E: 偽造暗号通貨ハードウェア ウォレット QR コードと偽の「AirDrop / Claim」ステッカー¶

急速に成長しているもう 1 つの Quishing ベクトルは、物理的なメーラーや改ざんされたパッケージを通じて仮想通貨所有者をターゲットにしています。

1. 改ざんされた台帳/Trezor/コールドカードの包装インサート:
2. 詐欺師はハードウェア ウォレットを購入し、「必須のファームウェア整合性チェックを実行するか、24 ワードのリカバリ シードを初期化するにはスキャンしてください」 と書かれた QR コードを含むラミネート加工された偽造指示カードを挿入し、箱をシュリンク ラップして、サードパーティの小売市場に返品します。
3. 黄金律: 正規のハードウェア ウォレットでは、スマートフォンの Web ページに 12 単語または 24 単語の BIP-39 リカバリ フレーズを入力したり、シード ワードを要求する QR コードをスキャンしたりするよう要求することは決してありません。 QR コードをスキャンした後にシード フレーズを入力した場合、ウォレットはすでに自動スイーパー ボットによって監視されています。私たちの 暗号通貨ウォレットの流出とシードフレーズの侵害 すぐにプロトコルを実行します。
4. ウォレットコネクト (wc:) 悪意のある DApp ドレイナー QR コード:
5. スキャン中 wc: MetaMask、Phantom、Rabby、または Trust Wallet 内の QR コードは、Web3 ウォレットをサードパーティの分散型アプリケーション (DApp) に接続します。サイトがすぐに署名リクエストをポップアップ表示した場合 (Permit2、 setApprovalForAll、 または increaseAllowance)、拒否をクリックし、設定 > 接続済みサイト/WalletConnect セッションで WalletConnect セッションを切断します。

フォレンジック: 携帯電話でスキャンせずに、疑わしい QR コード画像を安全にデコードして検査する方法¶

QR コードを含む不審な PDF または電子メールを受信し、スマートフォンで触らずにそのリンク先を確認したい場合は、デスクトップ コンピューターで次の安全なコマンドラインまたはサンドボックス化された方法を使用してください。

# 1. Decode the raw text/URL inside a QR code image offline using 'zbarimg' (Linux/macOS):
# (Does NOT connect to the internet; simply prints the decoded string to your terminal)
zbarimg --raw suspicious_qr_image.png

# 2. Trace all HTTP 301/302 redirect hops without executing JavaScript or loading the page:
curl -sIL --max-redirs 10 "https://suspicious-short-url.example/xyz" | grep -iE "^(HTTP/|location:)"

# 3. Inspect DNS registration age (Quishing domains are almost always <14 days old):
whois suspicious-parking-domain.com | grep -iE "Creation Date|Registrar:"

物理的およびデジタル的な Quishing 攻撃を当局に報告する¶

悪意のある QR コードを報告すると、市職員によって物理的なステッカーが剥がされ、基礎となるフィッシング ドメインがグローバル ブラウザのブロックリスト (Google セーフ ブラウジングと Microsoft SmartScreen) によってシンクホールされます。

1. 悪意のある URL を Google セーフ ブラウジングと Cloudflare Radar に報告します: デコードされた URL を次の宛先に送信します。 safebrowsing.google.com/safebrowsing/report_phish/ そして radar.cloudflare.com/scan。一度フラグが立てられると、次の歩行者がパーキング メーターのステッカーをスキャンするたびに、世界中のすべての iPhone Safari および Android Chrome ブラウザに、15 ～ 30 分以内に赤い 「この先に不正なサイトがあります」 という警告が全画面表示されます。
2. 公式サイバー犯罪報告書を提出:
3. 米国: FBI インターネット犯罪苦情センターに報告書を提出してください (ic3.gov) および 連邦取引委員会 (reportfraud.ftc.gov)、地元の市の駐車場管理局に通知してください。
4. 英国: キッシングメールを ** に転送しますreport@phishing.gov.uk** (国家サイバー セキュリティ センター) に経済的損失を報告し、Action Fraud (actionfraud.police.uk)。
5. 欧州連合、カナダ、オーストラリア: Canadian Anti-Fraud Center (antifraudcentre-centreantifraude.ca)、オーストラリアの詐欺監視 (scamwatch.gov.au)、または国家コンピュータ緊急対応チーム (CERT)。

URL にアクセスする前に QR コードを安全に検査する方法 (防止チェックリスト)¶

QR コードがどこにつながっているかを推測する必要はありません。公共の場や郵便で QR コードを目にするときは、次の 5 つのルールに従ってください。

• パーキング メーター、EV 充電器、レストランのテーブルにある物理的な QR コードに爪をなぞります: 正規のパーキング キオスクと EV 充電器の QR コードは、金属製フェイスプレートに直接シルク スクリーン印刷されているか、透明なポリカーボネート保護シートの下に封印されています。標識の上に貼られた紙やビニールのステッカーの盛り上がった端に爪が引っかかった場合は、絶対にスキャンしないでください。
• ネイティブ カメラ アプリで完全な URL プレビューを読み、URL 短縮機能を無視してください: 組み込みの iOS カメラ アプリと Android カメラの両方で、ブラウザを開く前にドメイン名を示す小さなピル バナーが表示されます。自治体のパーキング メーターまたは銀行通知に短縮 URL または汎用 URL が表示されている場合 (bit.ly、 tinyurl.com、 qrco.de、 t.co、 lnkd.in、 または page.link)、タップしないでください。政府機関や大手銀行は、支払いキオスクでサードパーティのリンク短縮ツールを決して使用しません。
• 携帯電話のカメラ設定で「リンクを自動的に開く」をオフにする: QR コードがフレームに入った瞬間にブラウザを起動するのではなく、カメラ アプリで URL プレビュー バナーを手動で読み取ってタップする必要があることを確認してください。
• 一方的に頼んでもいない物理的な手紙やはがき (「USPS / ロイヤル メール / Amazon ミステリー パッケージ」) の中に届いた QR コードを決してスキャンしないでください: 詐欺師は、「この QR コードをスキャンして、誰がこのギフトを送ったかを確認するか、返品の手続きを行ってください。」というカードの読み取りを添えて、注文していない安価な商品 (プラスチックの指輪や携帯電話の充電器、「ブラッシング詐欺」など) を含む物理的なパッケージを郵送します。 QR カードをゴミ箱に捨てます。
• 駐車場および EV 充電アプリを App Store / Play ストアから直接ダウンロードします: 街頭 QR コードをスキャンする代わりに、公式 ParkMobile、PayByPhone、RingGo、または ChargePoint アプリを開き、標識に印刷されている ゾーン番号を入力します。

よくある質問¶