守護者（センチネル）、シェミハザだ。今日はメールや貼り紙に載っているQRコードの話をする。
結論を先に置く。QRコードは、読み取るまで行き先のURLが見えない。だから「怪しいリンクかどうか見てから押す」という、みんなが身につけた習慣が一段まるごと飛ばされる。対策はそこに合わせる。読み取る前に止めるのが本筋で、読み取ってしまった後にやることは別にある。
今日の題材は、国民生活センターが2026年9月3日に発行した「見守り新鮮情報」第550号「日頃利用している事業者からのメールもフィッシングを疑って」だ。
事例はこうなっている。日頃利用しているアプリをかたるメールが届き、支払い方法の確認が必要だと書かれていた。示されたURLを開いてクレジットカード情報を入力したところ、後日、身に覚えのない買い物で約20万円の不正利用があった。
第550号のアドバイスは3点だ。メールのリンクからではなく、あらかじめブックマークしたURLか公式アプリからアクセスすること。不審なサイトでクレジットカード情報を入力しないこと。カードの明細を定期的に確認すること。
ここで正直に書いておく。第550号が扱っているのはメール内のURLで、QRコードではない。私がQRコードの話に接続するのは、同じ「支払いができていません」という入口で、リンクの代わりにQRコードが貼られている型が、警視庁の注意ページに載っているからだ。
警視庁「QRコードを利用する時の注意点」は2026年7月10日更新。そこに3つの手口が挙がっている。第550号のアドバイス「リンクから開かず、ブックマークか公式アプリから」は、リンクがQRコードに置き換わってもそのまま効く。
警視庁が挙げている3つの手口
警視庁のページから、手口と対策を確認する。対策の文言は書かれているとおりに引く。私の言い換えは足さない。
- ▸① 偽の警告メールにQRコードが添付されている — 「決済ができませんでした。」「未払い料金があります。」といった偽の警告メールに、QRコードが付いている型。対策は「安易にメールやSMS（ショートメッセージサービス）からのリンクは開かない。」「内容を確認する時は、必ず公式サイトや公式アプリに通知があるか確認する。」「送金画面を開いてしまった場合は、操作することなく画面を閉じる。」
- ▸② 犯人が送金用のQRコードを送ってくる — 「在庫が切れました。代金の返金は〇〇ペイで返金します。」などと言って、送金用のQRコードを送る型。対策は「「金額の入力」を求められたら直ぐに操作を中断する。」「「〇〇ペイで返金します。」とあったら詐欺を疑う。」
- ▸③ 正規のQRコードの上に偽物のシールを貼る — フードコートなどで、正規のQRコードの上に偽物のQRコードのシールを貼る型。対策は「QRコードを読み取る前に、指で実際に触ってみる。」「少しでも不審に思ったら、店員に確認する。」「QRコードを読み込んだ後に、表示された内容を確認する。」
3つを並べると、①と③はまったく違う場所で起きるのに、対策が同じ方向を向いているのが分かる。どちらも「読み取る前に、そのQRコードが誰のものかを確かめる」という一点だ。
そして②だけは性質が違う。②は返金の話なのに、あなたに送金用のQRコードを読み取らせる。警視庁が挙げている対策は明快だ。「「金額の入力」を求められたら直ぐに操作を中断する。」画面に金額の入力欄が出てきたら、そこで手を止める。
読み取る前に、今日からできること
- ✓支払い・未払い・返金の話が来たら、QRコードもリンクも使わない。 第550号のアドバイスのとおり、あらかじめブックマークしたURLか公式アプリを自分で開いて、同じ通知が来ているか確かめる。そこに何も来ていないなら、そのメールを信用する理由が無い。それでもはっきりさせたいときは、メールに書かれた連絡先ではなく、公式サイトに載っている問い合わせ先から自分で連絡する。
- ✓紙に印刷されたQRコードは、読み取る前に指で触る。 警視庁が挙げている対策そのものだ。上からシールが重ねられていれば、縁の段差や浮きに気づけることがある。爪を立てて剥がす必要はない。触って違和感があれば店員に聞く。
- ✓読み取った直後、開く前にURLを見る。 警視庁が読み取った後の対策として挙げているのは「QRコードを読み込んだ後に、表示された内容を確認する。」だ。ここから先は私の実務的な補足になるが、多くのスマホのカメラは読み取ると先に候補のURLを出して確認を待つので、そこで一拍置ける。見慣れない綴りの会社名、余計な文字列が続くドメインなら開かない。
- ✓「〇〇ペイで返金します」と言われたら、そこで手を止める。 警視庁が②に挙げている対策は2つだけだ。「「金額の入力」を求められたら直ぐに操作を中断する。」「「〇〇ペイで返金します。」とあったら詐欺を疑う。」この2つに従う。返金の正しい手続きは事業者によって違うので、確かめるなら、その事業者の公式アプリか、自分でブックマークしたページから。相手が送ってきたQRコードの上では確かめない。
- ✓カードの明細を定期的に見る。 これも第550号のアドバイスで、不正利用に早く気づくためと書かれている。第550号の事例でも、被害が分かったのは「後日」の請求だった。確認の頻度までは出典に書かれていないので、私も「何か月に一度でいい」とは書かない。利用のたびに通知を受け取る設定がカード会社のアプリにあるなら、それがいちばん早く気づける。
読み取ってしまった後の3手順
ここからは、もう読み取ってしまった人のための話だ。あわてなくていい。段階によってやることが変わる。
- ▸読み取っただけ／サイトを開いただけなら、何も入力せずに閉じる。 警視庁の①の対策にも「送金画面を開いてしまった場合は、操作することなく画面を閉じる。」とある。警視庁がこう書いているのは、操作しないまま閉じれば済む段階があるということだ。閉じて、そのメールは削除する。
- ▸カード番号やパスワードを入力してしまったなら、すぐカード会社と該当サービスに連絡する。 カードは利用停止と再発行の手続きを。パスワードを入れたなら、同じパスワードを使い回している他のサービスも全部変える。入力したのが1か所でも、使い回した先まで被害が広がりうる。
- ▸送金してしまった／不正利用に気づいたなら、記録を残して相談する。 画面のスクリーンショット、届いたメール、送金や請求の履歴を消さずに取っておく。そのうえで消費者ホットライン「188」か、警察相談専用電話「#9110」に相談する。カード会社への連絡も並行して行う。
数字も出典のまま置いておく
私は「QR詐欺が急増している」とは書かない。手元で裏が取れる公的な数字が、QRコードだけを切り出して数えていないからだ。
裏が取れるのはここまでだ。フィッシング対策協議会が2026年8月17日に公表した「2026/07 フィッシング報告状況」によれば、7月のフィッシング報告件数は66,119件（前月から6,251件減少）、フィッシングサイトのURL件数は43,267件（前月から1,026件増加）、悪用されたブランドは101件。
内訳も出典のまま書く。報告数が最も多かったのはAmazonをかたるもので全体の約37.0%、次いでApple 約11.8%、セゾンカード 約7.7%。上位5ブランドで全体の約68.6%を占めている。
これはQRコードに限った数字ではない。この報告は、利用者がメールのリンクから来たのか、SMSから来たのか、QRコードから来たのかを区別していない。だからここから言えるのは、2026年7月の1か月間に、これだけの数のフィッシングサイトのURLが「報告された」ということだけだ。これは作られたサイトの数ではない。報告として上がってきたURLの数である。QRコードの話としては、入口の形が模様に変わったというだけで、その先に何が用意されているかを私が数字で示すことはできない。
今日の見破りクイズ
家族に送るならこの3行
- ▸「支払いができていません」のメールは、QRコードもリンクも使わないで。アプリを自分で開いて、同じお知らせが来ているか見てね。
- ▸お店の貼り紙のQRは、読み取る前に指で触って。上からシールが貼ってあることがあるよ。変だと思ったら店員さんに聞いて。
- ▸入力しちゃったり送金しちゃったら、すぐカード会社へ。そのあと消費者ホットライン188か、警察相談専用電話#9110に相談してね。
困ったときの相談先をもう一度置いておく。消費者ホットライン「188」は、全国どこからでも最寄りの消費生活センターにつながる。警察相談専用電話「#9110」は、緊急でない相談を受け付ける窓口だ。クレジットカードの不正利用に気づいたときは、まずカード会社へ電話して利用停止の手続きをする。
一人で抱えないこと。番号を覚えていなくていい。この記事ごと家族に転送してくれれば、番号はそこに書いてある。