新たな QR コード・フィッシング手法：画像ファイルに代わるテキスト表現でゲートウェイを通過

Hackers Use QR Codes With No Images to Bypass Email Security

2026/09/03 CyberSecurityNews — 画像ファイルを使用しない QR コードにより、攻撃者はメール・セキュリティ機能を回避している。この手法は、メールのマークアップをスキャン可能なコードへ変換して受信者をフィッシング・ページへと誘導するものであり、多くのセキュリティ・ツールが検査対象として想定する画像ファイルを使用しない。

QR コード・フィッシングでは、被害者を監視対象の業務用コンピュータからモバイルデバイスへ移動させる。QR コードをスキャンすると、スマートフォンでリンクを開くまでアクセス先を隠すことができ、攻撃者が用意するランディング・ページを介して、サインイン情報／セッションデータ／決済情報が窃取されたり、有害なファイルをダウンロードさせられたりする可能性がある。

PhishU Framework のアナリストが特定したのは、メール本文内に QR パターンを直接構築する新たな QR コード・フィッシング手法である。この手法が示すのは、メール・ゲートウェイによる既知の誘導手法の検出能力が向上する中、攻撃者が配信形式を変化させている現状である。

PhishU Framework が共有したレポートによると、この手法で生成される QR コードは、リモート画像がブロックされている場合であっても表示が可能である。ただし、これは防御不能な攻撃が発生したことを示すものではなく、既存の検出方法に存在するギャップを示すものである。したがって、メッセージ全体を視覚的にレンダリングし、その結果を検査する防御機能であれば、引き続き QR コードを識別できる。

攻撃者が画像を使用しない QR コードとは？

従来のメールを悪用する QR コード詐欺では、添付ファイルやメッセージ本文に画像が含まれている。Secure Email Gateway は、その画像からのリンク抽出／埋め込みリンクのデコード／リダイレクト先の検査を行った上で、リスクをもたらすメールなのかどうかを判断する。しかし、この新たな手法では検査の起点となる画像自体が使用されない。その代わりに攻撃者が用いるのは、HTML テーブルやブロック文字によるレイアウトの一部として白黒の正方形を配置し、メール・クライアントに QR コードを描画させる手法である。

A text-rendered QR shown in a laptop inbox and scanned from a phone (Source - Phishu Framework)
A text-rendered QR shown in a laptop inbox and scanned from a phone (Source – Phishu Framework)

この QR パターンはスマートフォンのカメラでは有効な QR コードとして認識される一方で、画像だけを検査するスキャナーにはテキストもしくはスタイル指定としてしか認識されない可能性がある。このギャップにより、従来の添付ファイル／画像ベースの詐欺を対象とするセキュリティ対策は回避され得る。実際に判明したのは、画像を使用しない QR コード・フィッシング・キャンペーンで、高密度の HTML テーブルを用いることで、被害者を悪意の Web サイトへリダイレクトする有効な QR コードを生成できることだ。

この攻撃は、人間に共通する心理的な弱点を悪用するものであり、請求書／共有ドキュメント／セキュリティ警告／アカウント通知を装うメールによって、受信者にリンクのクリックを促す代わりに QR コードをスキャンするよう圧力をかける。犯罪者が添付ファイル／配信手法を変化させる中、最近のメール・フィッシングの脅威に関する統計が示すのは、QR コードを悪用する誘導が依然としてフィッシング活動の大きな割合を占めている状況である。

防御側に求められる視覚的な検査

セキュリティ・チームにとって重要なのは、画像が存在しないことを QR コードが存在しない証拠として扱わないことである。メール保護機能に求められるのは、疑わしい HTML を受信者が目にする状態と同じかたちでレンダリングし、その視覚的な結果から QR パターンをスキャンして復元されたアクセス先を検査した上で、メッセージの通過を許可することである。

理想的な検出ルールは、小さなセルが交互に並ぶ高密度グリッド／繰り返される色属性／固定幅のパターンで配置された文字ブロックなどを対象とするものだ。これらのシグナル自体が悪意を示すわけではないが、通常の業務上のコミュニケーションとは異なるデザインのメールについては、アナリストが調査すべき判断材料とすべきだ。

管理者に推奨されるのは、リモート画像に対するブロックを維持しながら、それだけを完全な QR コード・フィッシング対策としないことである。したがって、許可されたシミュレーションを使用したメール経路のテスト、マークアップで構築された QR コードを検出できるかどうかの確認、配信後のリンク保護機能の検証も必要となる。

The email template editor's QR toolbar dropdown (Source - Phishu Framework)
The email template editor’s QR toolbar dropdown (Source – Phishu Framework)

QR コード攻撃への対応に関するガイダンスでも、デコードされたリンクに対する事前の確認と、予期しない QR コードを使ってアクセスしたサイトに対するサインイン情報や決済情報の入力禁止が強調されている。

従業員のための最も安全な対応は、技術的な対策に加えて行動面の対策を徹底することであり、メールで緊急性を訴えられたという理由だけで、依頼していない QR コードをスキャンすべきではない。具体的には、既知の連絡経路を使用した依頼内容の確認／リンクを開く前のデコードされたアドレスの確認に加えて、可能な場合にはフィッシング耐性の高いサインイン方式を使用することが求められる。

攻撃者が信頼されるメールボックスを悪用する場合には、さらにリスクが高まる。なぜなら、侵害されたメールボックスの悪用により認証情報を窃取されると、誘導メールを正規のものと誤認する可能性が高まるからだ。

今回の手法が改めて示すのは、メール・セキュリティにおいて、メッセージに含まれるファイルだけではなく、メッセージに対する処理方法も評価する必要があるということである。マークアップから構築された QR コードも人間には視認できるため、スキャンによるアカウント侵害の可能性を低減する上で最も信頼できる対策は、多層的なフィルタリング／慎重な検査／ユーザーのセキュリティ意識向上となる。

従来のメール検出機能は Secure Email Gateway などの画像検査に依存していますが、HTML テーブル等で描画されるテキストベースの QR コードがそれをすり抜ける問題が発生しています。この影響により、フィッシングサイトへの誘導／サインイン情報の窃取／セッションデータの漏洩／不正ファイルのダウンロードといった被害が懸念されます。対応策として、メール全体の視覚的レンダリングによる QR パターンの検出／疑わしい HTML グリッドの自動解析／認証情報入力時の事前確認／多層的なフィルタリング機能の導入が強く推奨されます。