短い答え
読み取ることは安全です。QRコードは四角の集まりとして描かれた短いテキストの断片で、カメラを向けたとき起きるのはただ一つ、そのテキストが読み戻されることだけです。読むという行為は、何もインストールできず、どこも訪問できず、電話の中の何にも触れません。書かれた住所を眺めても、そこへ運ばれはしないのと同じ理由です。
危険が始まるのはその一歩あと、読み取られたものを何かが開くときです。そしてQR詐欺という詐欺のすべての仕掛けは、行き先を見る前にその一歩を起こさせることにあります。コードの中のテキストは、誰も目では読めないアドレスで、たいていの電話はそれに、たった一度のせっかちなタップで答えてしまいます。読むことと開くことを切り離しておけば、詐欺の側には働かせる材料が何も残りません。
QRコードの正体
四角の下にあるのは文字の並びだけです。多くて数千文字、ふつうはずっと少なめです。ウェブアドレス、Wi-Fiのネットワーク名とパスワード、連絡先カード、ただの一行のテキスト。この形式は1994年に、トヨタの工場で自動車部品を追跡するために設計されたもので、命令の類いは一切含みません。QRコードが「ウイルスを含む」ことはできません。道路標識に含められないのと同じです。
含められるのは、電話に何かを頼むテキストです。このアドレスを開いて、このネットワークにつないで、この連絡先を保存して。どれも依頼であって、命令ではありません。コードは提案し、それを読み取った側が決めます。テキストを見せて待つスキャナーは、完全に安全です。テキストに勝手に反応するスキャナーは、決定権をコードを印刷した誰かに渡してしまっています。安全な読み取りと危険な読み取りの違いは、それがすべてです。
正直のための脚注をひとつ。デコードを行うプログラムには、入力を解析するあらゆるプログラムと同じくバグがありえますし、長年のあいだにスキャナーで実際に見つかってもきました。しかしその危険はスキャナーのものであって、コードのものではなく、詐欺が当てにしているものでもありません。詐欺が当てにしているのは、タップです。
貼り替えの手口
名前がつくほどありふれた詐欺——クイッシング——は、拍子抜けするほど単純です。自分のコードを印刷し、本物の上に貼り、待つ。パーキングメーターでは、偽物が市役所そっくりの支払いページへ導きます。レストランのテーブルでは、メニューの上に。ドアに差し込まれた不在票では、「お会いできませんでした」の文字の横に。
これを成り立たせているものに目を向けてください。技術的な巧妙さではありません——そんなものは、どこにもないのです。QRコードが、人がたどる前に読めない唯一の種類のアドレスだということ、それだけです。文字で書かれた怪しいアドレスは、見る人すべてに自分から正体を明かします。同じアドレスも、四角で描かれれば正直なものと見分けがつきません。コードの行き先が見えたときには、もう着いています。期待していたページに似せて作られた、カード番号を尋ねてくるページに。
守りは、読み取りをやめることではありません。読み取りと訪問のあいだにアドレスを見ることです。かかるのは2秒ほどで、それだけでこの手口は完全に破れます。
アドレスが嘘をつく3つの手口
2秒の一瞥で足ります。ただし、どこを見るかを知っていれば、です。怪しいアドレスがまとう、正直そうな姿は3つあり、3つとも見た目で覚えておく価値があります。
1. @の前の名前
ウェブアドレスは、@記号の前にユーザー名を持てます。@までのすべては飾りで、本当の行き先はその後ろから始まります。[email protected]はあなたの銀行へは行きません。行き先はevil.exampleで、「your-bank.jp」は意味のないログイン名として運ばれるだけです。目はアドレスの先頭を読みますが、ブラウザは末尾を読みます。
2. 見た目どおりではない文字
アルファベットは重なり合っています。キリル文字のаはラテン文字のaと寸分違わぬ形に描かれ、それで書かれたアドレスは、画面上ではまったく同じに見える別のアドレスです。この手口にはホモグラフ攻撃という名前があり、行き先が、信頼しているものと一字一句一致して見えながら別の場所でありうるのは、これが理由です。
3. 正直な最初の一区間
コードの中のアドレスは、正真正銘まっとうなこともあります——短縮リンク、マーケティングのリダイレクト、検索エンジン自身のクリック計測。そのうえで、まっとうでない場所へあなたを転送するだけかもしれません。最初のアドレスは検査に合格しますが、行き先を決めるのは、あなたが出発したあとのサーバーです。印刷されたコードの短縮アドレスは悪事の証拠ではありませんが、確かめられるアドレスが到着するアドレスではない、ということは意味します。
安全な読み取りかた
規則は一文です。まず読む、それから開く。ひとつの動作に両方をさせないでください。実際には：
- デコードされたテキストを見せて、そこで止まるスキャナーを使うこと。たいていの電話のカメラは、開く前に行き先を小さなバナーで見せます。反射でタップせずにバナーを読み、アドレスの先頭ではなく末尾を読むこと。
- いちばん疑ってかかるべきは、賭け金が高く、面が公共の場所にあるところ。支払いで終わるものすべて、屋外に暮らすものすべてです。パーキングメーターのコードは、美術館の説明板のコードより長く考える価値があります。
- ログインやカード情報のページへまっすぐ導くコードに出会ったら、それが立ち止まる瞬間です。代わりに、すでに知っているアドレスを自分で打ち込むこと。そのページの本物は、いつでも数回のキー入力の先にあります。
- Wi-Fiコードと連絡先カードにも同じ間を置くこと。一方は電話にネットワークを覚えさせ、他方は人をひとり保存させます。どちらも、知ったうえで受け入れるならまったく問題なく、どちらも、黙って起きてよいことではありません。
ここのリーダーのふるまい
このサイトにはQR・バーコードリーダーがあり、このページが説いてきた規則の上に作られています。何も、決して開きません。デコードされたテキストは全文表示され、アドレスが実際に到達するホストは独立した行に取り出され、上の3つの変装は検査されて、現れれば名指しされます。リンクを開くのは別のボタンで、読んだあとに押します——あるいは、押しません。
読み取りそのものは、あなたの機械の上で起きます。読み取った画像はブラウザの中でデコードされ、どこにも送られません。だから疑わしいコードは、誰にも——このサイトを含めて——中身を知られずに調べられます。Wi-Fiを切ってもページは動き続け、それがこの主張を確かめるいちばん簡単な方法です。そして、開いた側でコードを実行するようなjavascript:アドレスのようにあからさまに敵対的な中身は、リンクを一切与えられず、正体をそのまま名指しされます。
もう半分もあります。コードをあなたの機械の上で描くQRコードジェネレーターと、印刷に回す前にコードを作って読み取れることを証明するための連れ立ちのガイドです。そしてあなたの疑問の奥に、より広い疑問——ウェブサイトに何かを手渡すとは実際どういうことか——があったなら、それには専用のページがあります。