世界・暮らし · QRコード詐欺

駐車場のQRコードは安全？偽ステッカー詐欺の手口と読み取った後の対策

駐車場に貼られたQRコードは安全でしょうか。偽ステッカーやSMSの手口、URLの確認、正規の窓口との照合、パスワードやカード情報を入力した後の対策を整理します。

世界の見取り図編集部公開 2026.10.18資料確認・更新 2026.10.1813 分で読めます

事実、各国の主張、編集部の解説を区別して紹介します。記事の更新日は資料確認日です。速報や現在の戦況・選挙予測を保証するものではありません。

駐車場で「公式」に見えるQRコードも確認が必要

駐車場の精算機にQRコードがあり、スマートフォンを向けると料金を払う画面が開く。現金を用意しなくて済む便利な仕組みだ。しかし、そのQRコードが事業者の正規のものだとは、コードの形だけでは判定できない。米連邦取引委員会（FTC）は、駐車料金メーターに貼られた本来のQRコードを、犯罪者が自分たちのコードで覆う事例を2026年9月に紹介した。読み取ると正規サイトに似せた偽サイトへ誘導され、金銭や個人情報を奪われる恐れがある。［1］

ここでの問題はQRという技術自体に善悪があることではない。利用者が「この場所に貼ってあるなら料金の支払い先も正しい」と考え、宛先を確認しないまま重要情報を入力する点を狙われることである。被害を防ぐ第一歩は、スマートフォンの画面を開く前に、誰がこの案内を設置したかと開こうとしているサイトがどこかを別々に考えることだ。この記事では貼り替えの手口、URLの確認、誤って開いたときの対処を、確認できる公的な注意喚起に沿って説明する。特定のアプリや場所が現在危険だと断定する記事ではない。

コードは「信用証明書」ではなくデータへの入口

QRコードは、白黒の模様にデータを符号化して読み取らせる仕組みだ。ウェブへ誘導する場合にはURLなどの情報を持たせられる。読み取り機能は、そのデータを認識してリンクを表示するが、記録されたアドレスが正規事業者のものか、料金が正しいかまで必ず保証するわけではない。サイトの見た目も、事業者が実際に管理しているかを決める証拠にはならない。偽サイトが本物に似た色やロゴを使えるからだ。

利用者から見ると、コードには事業者の名称が大きく書かれていないことが多い。人間が読める店舗名を印刷した看板と異なり、宛先を目視するだけでは分からない。そのため、読み取る前に目に入った看板や印刷物の信頼と、読取後に表示されたリンクの信頼とを混同しやすい。FTCの2023年の注意喚起でも、偽サイトが本物のように見えても入力した情報を盗み得ると説明している。［2］自分が店の敷地内にいること、周囲の人も同じ案内を見ていることは、単独ではリンクの正当性の証明にならない。

犯罪者はなぜ本物の看板に「重ね貼り」するのか

店舗で配るチラシや駐車場の機械には、利用者が代金を払う、予約する、メニューを見るなどの理由がすでにある。そこへ偽のQRステッカーを重ねれば、犯罪者は自分で宣伝をしなくても、案内を必要とする人に偽の宛先を見せられる。さらに、場所の見かけ上の信頼を借りることで、利用者が疑問を抱く機会を減らせる。FTCの2026年の事例は、正規の駐車場QRコードが上から覆われるという具体的な経路を示している。［1］

重要なのは、犯罪者が通信網全体を侵入して改ざんしなくても、物理的な掲示を入れ替えるだけで誘導できるという点だ。一方、表面にシールが貼ってあるだけで必ず詐欺とも言えない。正規事業者も表示を修正するためにシールを使う場合がある。見た目だけで有罪無罪を決めるのではなく、案内に載った事業者名を公式サイトや窓口と照合し、支払い先が本当に管理されているか確認することが実務的な判断になる。

メッセージで届くQRはなぜ別の注意が必要か

QRコードを見せられるのは駐車場だけではない。FTCの2023年12月の注意喚起には、配達できなかった荷物の再配達、アカウントの問題、異常な取引の通知などを口実に、メールやSMSでコードを送る手口が説明されている。［2］2026年4月には、交通違反の通知を装い、架空の審理日や事件番号を示してQR決済へ誘う詐欺も報告された。［3］

これらに共通するのは「今すぐ対応しないと困る」という心理を利用することだ。期限が迫ると、リンクの真偽を確かめるより先に操作を済ませたくなる。配達の予定が本当にあるか、金融機関から何か通知が届くはずだったか、交通違反について正式な手続きがあるかは、メッセージの中だけでは判定できない。FTCは、心当たりのないSMSやメール中のQRを急いで開かず、もともと知っている正規の連絡方法で組織へ確かめるよう勧めている。［2］表示された電話番号自体が偽物の可能性もあるため、番号までメッセージから借りないことが要点である。

画面に表示されるURLのどこを見るか

スマートフォンの標準カメラなどでQRコードを読み取ると、リンクへ進む前にアドレスの一部が表示される場合がある。FTCは2026年の注意喚起で、表示されたURLに不自然な綴りや入れ替わった文字がないか確認するよう促した。［1］例えば、通常使っているサービス名に見せかけて一文字違う綴りが使われていれば、正規ドメインとは別の場所かもしれない。ただし「少しでも知らない文字列があれば必ず詐欺」「会社名に似ていれば本物」という機械的な二択にはできない。

注意したいのは、URLの一部に正規事業者らしい名前を含んでいても、ブラウザーが実際にアクセスするドメインは別の場合があることだ。画面で表示されたサイト名やロゴ、検索結果の上位表示だけではなく、アドレス全体と、その会社が公式に案内する決済方法とを比較する。短縮URLや長い追跡文字列では中身が分かりづらいので、無理に自分で解析して進むより、事業者の正規アプリや公式ホームページから支払い手続きへ入り直すほうが適切なことがある。

HTTPSの鍵マークなら安心なのか

ウェブサイトのアドレスが「https」で始まることは、端末とそのサイトとの通信を暗号化する仕組みに関わる。しかし、それは「運営者が善良で、請求先も正しい」という証明にはならない。詐欺サイトでも暗号化された通信を使えるため、鍵マークだけで正規サイトだと判断すると危険である。警察庁は偽サイトを見分ける観点として、URLやドメインの不自然さに加え、運営者情報、極端な割引、支払方法が突然限定されるなどの点を示している。［4］

もっとも、警察庁の例は主に偽通販サイト全般の注意事項で、個々のQRステッカー事件の原因を直接証明するものではない。本記事では、そこから一般のウェブ決済にも関係する確認行動を取り出している。実際の駐車場なら管理会社名、料金表、支払方法の案内が一致するかを見る。店舗なら店員や公式メニューを確認する。見た目の一項目で即断するより、独立した複数の手掛かりが同じ正規の窓口を示すかが重要となる。

読み取っただけでお金が引き落とされるのか

不審なQRを読み取ったら「一瞬で銀行口座の全額がなくなる」と想像する人もいるかもしれない。しかし、QRをカメラが認識したこと、ブラウザーでリンクへ進んだこと、偽のログイン画面に入力したこと、支払情報を登録・承認したことは、異なる段階である。通常の決済では利用者による認証や操作が関係する。ただし、すべての端末や設定で読取だけなら絶対に無害と保証することもできない。FTCは危険なリンクを通じてマルウェア感染を引き起こす可能性にも言及している。［2］

したがって、リンクを開いた直後に怪しいと気づいたなら、それ以上の入力やダウンロードをやめる。すでにユーザー名やパスワードを入力した場合は、被害の有無を確認できるまで放置してはいけない。カード番号や口座情報を送信した場合は、決済サービス側への連絡が必要になる。機器の動作やアプリのインストール状態が疑わしいときは、OSとアプリを更新し、公式サポート情報に沿って点検する。何をしてしまったかによって、次の対応は変わる。

ログイン情報を入力した場合の行動

FTCは偽サイトに認証情報を入力した可能性がある場合、パスワードを速やかに変更し、同じパスワードを使い回す別のサービスも確認するよう勧めている。［1］例えば偽の駐車場サイトでメールアドレスとパスワードを入力し、それを普段のメールや通販サービスと同じものにしていたなら、問題は駐車料金だけにとどまらない。入力した情報がほかのアカウントへの不正ログインに使われる可能性があるためだ。

変更するときは、疑わしいページ内の「パスワード変更」ボタンをそのまま押すのではなく、公式アプリや自分で確認した正規URLからサービスへアクセスする。多要素認証が用意されていれば有効化し、ログイン履歴やセッションの管理機能も確認する。FTCは強いパスワードと多要素認証の利用を継続的な予防策として挙げる。［1］［2］これらで絶対に不正アクセスを防げるという意味ではないが、再利用した資格情報が被害を広げる危険を抑えるための、取るべき具体的な行動となる。

カード情報や料金を入力した場合の行動

クレジットカード番号を入力した、決済ボタンを押した、銀行口座から不審な引き落としがある、といった場合は別の対応が必要だ。FTCは取引明細を確認し、覚えのない支払いがないか調べることを勧めている。［1］日本の警察庁も偽サイトにカード番号を入力してしまった場合には、カード会社等に連絡して支払い停止を依頼するよう案内している。［4］

この対処には時間的な優先順位がある。まず疑わしいサイトへの追加入力や、相手からの「返金のための追加決済」を止める。次に、カードや決済サービスの正規の問い合わせ先へ状況を説明し、必要な停止措置や明細の確認方法を尋ねる。最後に、ウェブページのURL、決済日時、相手の案内、やり取りの記録などを保存する。警察庁は相談時にサイト画面や振込記録などの資料が役立つと説明している。［4］支払いを取り消せるか、どの制度が使えるかは、カード会社や決済サービスの条件・実際の取引により異なるため、全件返金を約束することはできない。

「通報」と「被害拡大の防止」は別の仕事

犯罪や不審な決済を疑った場合、通報先へ知らせることと、自分のアカウント・支払いを守ることは同時に考える必要がある。FTCは米国内の不正行為の通報窓口としてReportFraud.ftc.govを案内する。［1］一方、日本でカード番号を入力したケースではカード会社への連絡や警察への相談が重要になる。［4］一方への連絡を済ませたから、もう一方の対処が自動で完了するわけではない。

店や駐車場で不審なステッカーを発見した場合は、その施設の管理者へ現物の位置を知らせることができる。ただし、すでに利用者がいる設備を勝手に剥がす、管理者を装って他の客を誘導する、被害者情報をSNSへ投稿するなどの行動は避けたい。写真やURLの記録を保存する場合も、第三者の個人情報や決済情報を公開しない配慮が必要である。具体的な捜査・証拠保全の指示は警察などの担当機関に従うべきで、自分で犯人の特定や追跡を試みる必要はない。

実際の支払い場面で何を確かめるか

旅行先の駐車場でQR決済を案内された場面を考える。まず、管理会社の名前と料金表示を確認する。次に、QRステッカーがほかの表示を不自然に覆っていないかを見て、読み取ったURLを開く前に確認する。正式な支払い方法が不明なら、管理会社の公式サイトや案内窓口から別経路で調べる。決済画面が突然、旅行とは無関係な会員資格情報や本人確認書類の写真などを要求してきた場合は、入力を中断して事業者へ確認する。

もう一つ、配達会社を名乗るSMSにQRコードが添付された場面では、メッセージ記載の電話番号もQRも使わず、いつも利用している配達会社の公式アプリや注文履歴から配送状況を確かめる。焦らせるメッセージに書かれた時間制限は、正規の公的手続きがあることの証拠にはならない。FTCが挙げる偽の再配達・交通違反通知は、相手が自分の判断時間を奪おうとする例でもある。［2］［3］どちらの場面も、宛先を正規の窓口から確かめ直すことが中心となる。

QRコードを全面的に避ける必要はあるのか

QRコードはメニュー表示、入場券、認証、決済などに使われる便利な入口だ。すべてを危険と決めつければ、正規サービスを利用する機会まで失う。問題は「誰が設置し、どこへつながるか」を確認しないまま、コードを印刷してあること自体を信用してしまうことである。安全性の判断をコードの模様の見た目だけに任せず、宛先、事業者、支払目的、入力する情報を組み合わせて確認するのが現実的だ。

家族に説明するときも「QRは絶対に読み取るな」と一律に伝えるより、「届いたSMSのコードからログインしない」「支払い前に事業者の公式案内と照合する」「疑わしいURLではカードやパスワードを入れない」と行動単位で共有したほうが役立つ。スマートフォンやブラウザーを更新することも、リンクに起因するリスクを減らす対策としてFTCが推奨する。［1］ただし、更新を済ませているから偽の請求が本物に変わるわけではない。技術的な対策と、宛先の確認は両方必要である。

結論｜支払いの入口と支払い先の正しさは違う

正規の看板に見えるQRコードから詐欺サイトへ誘導されることがあるのは、コードが「本物の事業者の証明」ではなく、任意のURLを開くための入口だからである。犯罪者は駐車場などの正規の掲示を覆ったり、SMSやメールで急がせたりして、利用者に宛先を確認させない。見慣れた場所にあることと、支払い先が正しいことは区別しなければならない。

被害を防ぐためには、読み取ったURLを開く前に確認し、公式のアプリ・サイト・連絡先から支払い方法を独立に調べる。すでに情報を入力した場合は、入力内容に合わせてパスワード変更、カード会社への連絡、取引確認、証拠保存を行う。QRを避けること自体が目的ではない。信頼してよい理由を、QRコードの外側の情報で確かめることが、旅行中にも日常の決済にも使える判断基準である。

SOURCES & CONTEXT

出典・一次資料

公的文書、国連資料、選挙機関などの一次資料を優先します。政府資料はその政府の立場を示すこともあり、出典があることだけで中立とみなさず、事実と解釈を分けて伝えます。

WORLD IN CONTEXT記事一覧へ