割引チラシのQRコードをホイホイ読み込んではいけない…郵便受けに届く｢初回限定特典｣に潜む詐欺の手口
※本稿は、ラック 金融犯罪対策センター『だます技術』（技術評論社）の一部を再編集したものです。
■郵便受けに投函された「割引チラシ」：ケース?
【期間限定】このチラシが投函されたマンションにお住まいの方だけへのご案内
初回注文のみ、通常1800円の高級焼肉弁当が500円で注文できます。
このチラシに掲載されているQRコードから、ご注文ください。
自宅マンションの集合ポストに、こんなチラシが投函されていた。
おっ！ 前からこの焼肉店が気になっていたんだよ。高級焼肉が500円で食べられるのはお得だな。
フードデリバリーや出前のチラシはこれまでも投函されていたことはあり、ときどき利用したことがある。でも、近所でも有名なこの焼肉店のチラシははじめて見た。このマンションに住んでいる人限定と記載されており、近隣のマンションの住民に今後店舗を利用してもらうことを見据えたサービスなのだろう。
【期間限定】と記載されているのでさっそく注文してみよう。
■QRコードを読み込むとクレカ情報を求められ…
チラシのQRコードをスマホで読み込むと、注文画面が表示された。いちいちURLを入力したりWebで検索したりしなくてもアクセスできるからとても楽だな。
表示された画面に沿ってお弁当の注文個数や配達希望時間を入力した。
続いて、届け先の情報を入力する画面が表示されたので、自分の名前や住所、電話番号を入力した。すると、決済情報の入力画面に切り替わって、クレジットカード情報の入力が求められた。クレジットカード決済限定なのか。
いつもWebサービスを利用するように自分のクレジットカードのカード名義やカード番号、有効期限、セキュリティコードを画面に沿って入力した。
すると、画面に「決済完了」の表示がされた。無事に注文が受けつけられたようだ。
＊ ＊ ＊
その後、30分ほどで配達されるとのことだったが、いつまで待っても注文したお弁当が届かない。おかしいな。直接お店に電話して確認してみよう。
スマホで焼肉店の電話番号を調べて電話をかけてみると、そのような注文を受けていないし、チラシも配っていないとのことだった。
■なじみの店を装い「詐欺チラシ」を投函してくる
郵便受けには、日々いろいろなチラシが投函されてきます。必要ないと思えば、すぐに廃棄するでしょう。
しかし、中にはフードデリバリーや出前などのお得なクーポンがついていることもあります。そういったお得なチラシは、「いつか使うこともあるかもしれない」と捨てずに、取っておくこともあるのではないでしょうか。
普段からそのようなチラシを目にしているなか、特に近隣のなじみのあるお店のチラシであれば、疑うことなく本物だと思ってしまうでしょう。
「期間限定」「初回限定」といったうたい文句で、急いで利用させる今回、犯罪者は近所で有名な焼肉店を装いお得に見せた偽物のチラシによって、被害者の興味を惹いています。チラシを見た被害者は、普段はなかなか食べられない高級な弁当が格安で食べられる「お得なチラシ」だと思い込んでしまいます。
さらに、チラシに「期間限定」や「初回限定」といったうたい文句が書かれているため、急いで利用しないといけないと思ってしまいます。
■QRコードで偽物を見分けにくくする
最近では、店舗のホームページやインターネット通販の注文サイトへのアクセスなど、さまざまな場面でQRコードが利用されています。QRコードは、さまざまな情報を2次元（平面）のドットで表現したバーコードであり、URLなどの文字列も表現することができます。
QRコードは、スマートフォンのカメラ機能を使ってコードを読み込むだけで、URLの入力や検索サイトで検索する手間を省き、目的のサイトにダイレクトにアクセスできる便利な機能です。そのため、多くの方が抵抗なく利用しているのではないでしょうか。
しかし、QRコードを見ただけでは、アクセス先のサイトのURLを確認することはできません。犯罪者は、これを悪用し、個人情報やクレジットカード情報などを入手するための詐欺サイトのURLをQRコードで見えないようにし、利用者がURLの怪しさに気づくことなくアクセスするように誘導してきます。
このようなQRコードを用いた詐欺は「クイッシング」とも呼ばれています。
読み込んでアクセスしたサイトのURLを確認しなければ、偽物と疑うこともないでしょう。
■ネット上の「スポーツ無料ライブ配信」の罠：ケース?
今夜、サッカーの代表戦のテレビ中継がある。仕事を早めに終わらせて、家に帰って観よう。
……そう思いながら仕事をしていたが、今日中に片づけないといけない仕事が思いのほか時間がかかってしまい、会社を出るのが遅くなってしまった。
試合開始に間に合わない……どうしても最初からリアルタイムで観たい。
帰宅途中の電車の中でそう思って、スマートフォンで観られるサイトをSNSで探した。検索ワードやハッシュタグを追いかけていると、ライブ配信の投稿をいくつか目にしたが、その中にこんな投稿を見つけた。
サッカー代表戦、無料ライブ配信
無料でライブ視聴できるのか。これはいいものを見つけたぞ。
投稿にあるURLをクリックすると、配信サイトに切り替わった。配信サイトには再生ボタンがあり、それをクリックすると、無料アカウントの作成が必要とのメッセージが表示された。画面案内にしたがって、ID（メールアドレス）とパスワードを入力した。
■無料なのにクレジットカード情報を求められる
さらに次の画面では、アカウント確認のためクレジットカード番号の入力が求められた。
無料のはずなのに、どうしてクレジットカード情報が必要になるのかな？
疑問に思いながら画面を見ていくと、次のような記載が。
クレジットカードは将来の購入を容易にするためにのみ必要です。プレミアム会員資格にアップグレードするか購入しない限り、クレジットカード明細に請求が記載されることはありません
この試合だけ無料で観られるなら問題ないか。プレミアム会員になるつもりもないから、請求されることはないし。
画面にしたがって、氏名、カード番号、有効期限、セキュリティコードなどのクレジットカード情報を入力した。
その後、無料ライブ配信の画面に戻って観戦しようとしたが、どうやっても視聴できない。
あれっ、どうなってるの？ 入力内容をまちがえたかな。
何度か同じ操作を繰り返しても、視聴できない。結局、スマートフォンでの視聴をあきらめ、帰宅して試合途中からテレビで観戦した。
＊ ＊ ＊
後日、クレジットカード利用代金の口座振替日に、いつも以上の金額が口座から引き落とされていることに気づいた。クレジットカード会社のサイトで確認したところ、身に覚えのない利用明細があった。
■SNSで「嘘のライブ配信情報」を流す
「大好きなスポーツをリアルタイムで観戦したい」という欲求に訴えるオリンピック、ワールドカップなどのスポーツ中継は、多くの方が視聴します。
学校の部活動で経験があったり、経験がなくとも大好きなスポーツであれば、観たいと思う気持ちが強くなるものです。「せっかく観るのであれば、最初からリアルタイムで視聴してアスリートたちと同じ時間を共有したい」という方も多いのではないでしょうか。
この事例では、帰宅途中に試合が始まってしまうことから、最初からリアルタイムで観戦したいという欲求に駆られ、スマートフォンでライブ視聴できるサイトがないか探しています。犯罪者は、このような人たちの目に留まるように、嘘のライブ配信の投稿をSNSで流すのです。
■「無料」を装いカード情報を入力させる
同じライブ視聴の場合、有料と無料があったら、どちらを選ぶでしょうか。「お金を払ってまでは視聴しない」と考える人が多いのではないでしょうか。
犯罪者はその心理を巧みに利用し、SNSの投稿において「無料」をうたい文句に、偽のライブ配信のサイト（詐欺サイト）へ誘導します。被害者は、リアルタイムで観戦したい欲求と、「無料」の魔力に惹きつけられて、「これって怪しいのでは？」と疑うことを疎かにしてしまうのです。
「費用は請求されない」との表示で不安を与えずクレジットカード情報を入力させる犯罪者は、偽の配信サイトで、視聴するためのアカウント登録およびクレジットカード情報の入力を要求してきます。そこでも、クレジットカードの情報が必要なもっともな理由を挙げて、被害者を不審・不安に思わせないようにします。
この事例では、プレミアム会員（有料会員）となる際の手続きを容易にするためであり、プレミアム会員にならない限り請求されることはない旨を表示しています。
被害者は、「なぜ、クレジットカード情報が必要なのか」と一瞬不安に思ったとしても、「プレミアム会員にならなければ請求されないので問題はない」と自らを納得させて、ついついクレジットカード情報を入力してしまっています。
----------
ラック 金融犯罪対策センター情報セキュリティ分野のリーディング企業である株式会社ラックが、近年増加するサイバー犯罪や金融犯罪に対応する専門組織として、2021年5月に設立。「安心して利用できる金融サービス環境の実現」を目指し、多角的な取り組みを展開している。ラックが持つ最先端のセキュリティ技術やAIの活用に加え、元金融機関での経験を持つ専門家が中心となり、現場の知見を活かした実践的な対策を提案。ITにくわしくない方でも安心して利用できる仕組みづくりを支援し、だれもが安心して暮らせる社会を目指している。
----------
（ラック 金融犯罪対策センター）
