レストランのQRコードは、必ずしもあなたが思っている通りとは限りません。

シールを使った手口

その手口は拍子抜けするほど単純です。犯人はレストランに入り、テーブルや入口に置かれたQRコードのスタンドを見つけ、その上に印刷したばかりのシールを貼るだけそこには犯人自身のQRコードが載っています。作業全体はテーブル1つあたり30秒もかかりません。

開かれる偽ページは、注文ページや決済ページをほぼ完璧に再現したものです。ロゴもブランドカラーも本物そっくりで、時にはレストランの名前まで載っています。客は今日のメニューを見ていると信じ込み、詐欺サイトに銀行カードの情報を入力してしまいます。

この手口はレストランに限りません。フランス政府のサイバー被害相談窓口Cybermalveillance.gouv.frも、駐車料金の精算機や電気自動車の充電スタンドに貼られた偽のQRコードについて注意を呼びかけています。

物理的な保護（彫刻されたQRコード、施錠されたホルダーなど）なしにデジタルメニューへ移行したレストランは、格好の標的です。スタンドを普通の紙に自前で印刷している小規模な店舗が最も脆弱です。

見分け方

スキャンする前に、QRコードを実際に目で確かめましょう。偽のシールは、わずかに位置がずれていたり、端が重なっていたり、店内の他の印刷物とは印刷品質が違っていたりすることがよくあります。

リンクを開く前に完全なURLを表示するQRリーダーを使いましょう。iOS標準のカメラアプリやAndroid内蔵のリーダーは通常URLを表示しますので、ひと呼吸おいて読んでみてください。攻撃者はタイポスクワッティングを悪用します。店の公式サイトの代わりに「carte-restaurant-lyon.com」といった具合です。

メニューを見るだけなのに、開いたページが銀行カードの情報を求めてきたら、特に警戒してください。まっとうなレストランが、メニューの閲覧に決済を要求することはありません。

迷ったら、スタッフに直接お願いして、メニュー表や管理画面に表示されているQRコードを見せてもらいましょうテーブルのスタンドにあるものではなく。

Trasimèneの役割

TrasimèneにはQRコードスキャナーが搭載されています。このスキャナーで読み取ったリンクは、開く前に当社のサーバーで確認されます。照合先は、Trasimèneが管理するフィッシングサイトとマルウェアサイトのリスト、Google Safe Browsing、そしてリダイレクトがある場合はその最終的な行き先です。

リンクが危険と判断された場合、そのリンクは開かれず、警告が表示されます。それでも開くかどうかは、あなたが決めます。ドメインの登録日も、判明している場合は判断の手がかりとして表示されますが、判定には使われません。

この確認はアプリのスキャナーで行われます。QRコードにカメラを向ける前に、スキャナーを開いてください。スマートフォンのカメラアプリで読み取ったQRコードは確認されません。TrasimèneのオプションのVPNがオンになっていれば、当社のリストに登録済みのサイトへのアクセスを後から検出し、アプリでお知らせします。VPN自体がページをブロックするわけではありません。悪質なドメインを除外するのは、VPNが名前解決を任せているスイスのサービスQuad9だけで、対象はQuad9が把握しているものに限られます。

迷ったら、レストランのスタッフに管理画面や公式の書類に表示されているQRコードを見せてもらいましょうテーブルのスタンドにあるものではなく。

警戒心は今なお最初の防衛線です。スキャンする前にひと目確認する、入力する前にURLを読む、迷ったら質問するこうした簡単な習慣だけで、QRコードを使った攻撃の大半は防げます。そして適切なセキュリティアプリを使えば、それらを自動化しない理由はありません。

参考資料

Trasimène：モバイルセキュリティ

QRフィッシングから身を守る

Trasimène をダウンロード →