レストランのQRコードは、必ずしもあなたが思っている通りとは限りません。

シールを使った手口

その手口は拍子抜けするほど単純です。犯人はレストランに入り、テーブルや入口に置かれたQRコードのスタンドを見つけ、その上に印刷したばかりのシールを貼るだけそこには犯人自身のQRコードが載っています。作業全体はテーブル1つあたり30秒もかかりません。

開かれる偽ページは、注文ページや決済ページをほぼ完璧に再現したものです。ロゴもブランドカラーも本物そっくりで、時にはレストランの名前まで載っています。客は今日のメニューを見ていると信じ込み、詐欺サイトに銀行カードの情報を入力してしまいます。

2025年から2026年初頭にかけて、リヨン（プレスキル、コンフリュアンス）、パリ（11区と18区）、ボルドー（サン＝ピエール地区）で確認された事例が報告されています。この手口は急速に広がっています。フランスのサイバー犯罪プラットフォームPharosによると、QRコードを使ったフィッシングの通報は2024年から2026年の間に340%増加しました。

物理的な保護（彫刻されたQRコード、施錠されたホルダーなど）なしにデジタルメニューへ移行したレストランは、格好の標的です。スタンドを普通の紙に自前で印刷している小規模な店舗が最も脆弱です。

見分け方

スキャンする前に、QRコードを実際に目で確かめましょう。偽のシールは、わずかに位置がずれていたり、端が重なっていたり、店内の他の印刷物とは印刷品質が違っていたりすることがよくあります。

リンクを開く前に完全なURLを表示するQRリーダーを使いましょう。iOS標準のカメラアプリやAndroid内蔵のリーダーは通常URLを表示しますので、ひと呼吸おいて読んでみてください。攻撃者はタイポスクワッティングを悪用します。店の公式サイトの代わりに「carte-restaurant-lyon.com」といった具合です。

メニューを見るだけなのに、開いたページが銀行カードの情報を求めてきたら、特に警戒してください。まっとうなレストランが、メニューの閲覧に決済を要求することはありません。

迷ったら、スタッフに直接お願いして、メニュー表や管理画面に表示されているQRコードを見せてもらいましょうテーブルのスタンドにあるものではなく。

Trasimèneの役割

TrasimèneはリアルタイムのQRコード保護を備えています。QRコードから抽出されたすべてのURLは、ページが読み込まれる前に複数のフィッシングデータベース（Google Safe Browsing、Trasimène独自のフィード）と照合されます。

URLが疑わしいと判断された場合、または典型的なフィッシングの特徴を持つ、登録されたばかりのドメインに属している場合、ページはブロックされ、警告が表示されますそのまま、アプリから直接そのQRコードを通報することもできます。

この保護は完全にバックグラウンドで動作し、手動での操作は一切必要ありません。いつも通りにスキャンするだけで、Trasimèneが静かにチェックします。

迷ったら、レストランのスタッフに管理画面や公式の書類に表示されているQRコードを見せてもらいましょうテーブルのスタンドにあるものではなく。

警戒心は今なお最初の防衛線です。スキャンする前にひと目確認する、入力する前にURLを読む、迷ったら質問するこうした簡単な習慣だけで、QRコードを使った攻撃の大半は防げます。そして適切なセキュリティアプリを使えば、それらを自動化しない理由はありません。

参考資料

Trasimène：モバイルセキュリティ

QRフィッシングから身を守る

Trasimène をダウンロード →