開く前に QR コードのリンクを確認する方法

2026-09-04 更新。読了まで約 4 分。

QR コードは、リンクを自分で入力しなくてすむようにする手段にすぎません。問題は、何かが読み取るまでリンクが見えないこと、そして多くのスキャナーアプリが読み取った瞬間に開いてしまうことです。駐車メーター、レストランのテーブル、ポスター、さらにはメールに仕込まれた偽のコードは、まさにそれを当て込んでいます。対策は単純で、開く前にリンクを見ることです。見るべき点を順に挙げます。

1. リンク全体ではなくドメインを読む

ドメインとは https:// の後、最初の単独のスラッシュの前の部分です。https://accounts.example.com/login?ref=qr ではドメインは accounts.example.com で、最も重要なのは末尾の二つのラベル、example.com です。スラッシュの後は何でも書けますが、どこに着地するかを決めるのはドメインです。良いスキャナーはドメインだけを大きく表示し、長い文字列の中から探させません。

2. 短縮リンクは不明なものとして扱う

bit.ly、t.co、tinyurl などのサービスを経由するリンクは、意図的に行き先を隠しています。それらを示すコードは、展開されるまで何も教えてくれません。短縮リンクをたどって行き先を示すスキャナーで先に展開するか、開かないことです。

3. 紛らわしい名前に注意する

最も古い手口は、見慣れた名前のように読めるドメインです。文字の代わりの数字（paypa1.com）、余分な単語やハイフン（paypal-secure.com）、見慣れた名前を間違った位置に置いたもの（paypal.com.example.net、ドメインは example.net）、同じ形をした別の文字体系の文字に注意してください。名前がほぼ正しく見えるなら、本物を自分で入力するまでは間違いとして扱いましょう。

4. 接続とポートを確認する

https:// ではなく http:// で始まるリンクは、入力したすべてを平文で送ります。example.com:8080 のようにドメインの後に数字が付くリンクは、普通のウェブサイト以外の何かと通信しています。どちらも詐欺の証明ではありませんが、ログインや支払いを求めるコードにあってよいものでもありません。

5. コードが差し出すものをインストールしない

.apk で終わるリンクは Android のプログラムであり、ページではありません。アプリはストアから来るもので、ステッカーから来るものではありません。何かを見せる前に「アップデート」や「ビューアー」のインストール許可を求めるリンクも同じです。

6. なぜそのコードがそこにあるのかを考える

別の QR コードの上に貼られた QR コード、すでに支払い端末がある駐車メーターのコード、知らない番号からのメッセージ内のコード、返金や賞品を約束するコード: 貼られた場所そのものが警告です。犯罪者がステッカーを刷るのは、ステッカーが安いからです。自然にはコードがないはずの場所にコードが現れたら、飛ばして公式のアプリやサイトを直接使ってください。

スキャナーが分かること、分からないこと

スキャナーは、リンク全体を表示し、短縮リンクを展開し、上記のパターンを知らせ、アドレスを既知のフィッシングや詐欺サイトのリストと照合できます。できないのは、ページを開いてあなたの代わりに判断することで、完全なリストも存在しません。だから Verdetto は「安全」ではなく「警告は見つかりませんでした」と報告します。どのチェックにも該当しなかったという意味で、最後のチェックはアドレスを読むあなた自身が行います。コードがログインやカード情報の入力、何かのインストールを求めるなら、閉じて、すでに知っているサイトへ行ってください。

すでに開いてしまったら

ページを閉じます。パスワードを入力したなら、本物のサイトと、同じパスワードを使っていたすべての場所で変更します。カード情報を入力したなら、銀行に知らせます。何かをインストールしたなら、アンインストールし、端末にすでにあるセキュリティソフトでスキャンを実行します。それから、誤ってまた開かないように、そのコードを履歴から削除します。