クイッシング (QR コードフィッシング)

クイッシングは、QR コードが日常に広がったことを逆手に取り、悪意ある URL をコードのなかに埋め込みます。QR コードは人の目には読めず (読み取る前に URL を確認できません)、多くのメールセキュリティ製品が QR コードの中身を検査しないため、従来のフィッシング対策をすり抜けます。

攻撃者は、多要素認証の設定ページ、書類共有サービス、社内ポータルへのリンクだと称して QR コードを載せたメールを送ります。読み取ると、認証情報を収集するページへ誘導されます。

対策には、認証情報を入力する前に QR コードの行き先を確認するよう従業員を教育すること、URL をプレビューできる読み取りアプリを使うこと、そして認証情報の入力は基本的にパスワードマネージャーに任せること (偽ドメインでは自動入力されません) があります。