QR Code – IoT OT Security News

新たな QR コード型フィッシング・キャンペーンを観測：HTML テーブルで画像を代替えする手法とは？

Hackers Using Malicious Imageless QR Codes to Render Phishing Attack Via HTML Table

2026/01/07 CyberSecurityNews — 最近観測されたフィッシング・キャンペーンでは、QR コードを新たな方法で悪用し、単純な HTML テーブルでコードを構成することで、ユーザーを悪意あるサイトへリダイレクトする手口が確認されている。攻撃者が構築するコードは、従来の QRコード画像ではなく、白／黒に設定された数百個の小さなテーブルセルを組み合わせたものである。この方法で生成されたコードをメール本文に埋め込むことで、通常の QR コードと同様にスキャンが可能となる一方、多くのメール防御機構では画像として認識／解析されない。

QR Code の武器化に新たな要素：分割型とネスト型で自動検出プロセスを混乱させている

Hackers Weaponize QR Codes With Malicious Links to Steal Sensitive Data

2025/08/21 gbhackers — QRコードに埋め込んだ悪意のハイパー・リンクを介して、ユーザーの認証情報や機密データを盗み出すクイッシングの台頭が示すのは、絶えず変化するサイバー脅威の勢いである。従来のフィッシング (Phishing) は、偽装メール内のリンクのクリックなどを悪用するものだが、クイッシング (Quishing) が悪用するのは、QR コード特有の不透明性である。QR コードは人間の目には判読不能であり、疑念を抱かせないという性質を持つ。

QuirkyLoader などの戦略を検証：Agent Tesla／AsyncRAT／Snake Keylogger の配信経路を整理する

Hackers Using New QuirkyLoader Malware to Spread Agent Tesla, AsyncRAT and Snake Keylogger

2025/08/21 TheHackerNews — QuirkyLoader という新たなマルウェア・ローダーの詳細が、サイバー・セキュリティ研究者たちにより公開された。このローダーは、2024年11月からスパム・メール・キャンペーン経由で展開されており、InfoStealer から RAT (remote access trojans) にいたる、次世代のマルウェア・ペイロードの配信で利用されている。

PDF／QR Code を武器化：Microsoft／DocuSign／Dropbox などを装うフィッシング攻撃に要注意

Threat Actors Weaponize PDFs to Impersonate Microsoft, DocuSign, Dropbox and More in Phishing Attack

2025/07/03 CyberSecurityNews — PDF 添付ファイルを攻撃手段とする、サイバー犯罪が大幅に増加している。この信頼性の高いドキュメント形式を悪用する脅威アクターたちが、Microsoft／DocuSign／Dropbox／PayPal／Adobe といった大手ブランドを装い、巧妙なフィッシング攻撃を展開している。それらの攻撃は、PDF ドキュメントに対してユーザーが抱く、広範な信頼を悪用するものであり、本来は安全であるはずのファイル共有手段が、認証情報の窃取や金融詐欺の入口として機能している。

ONNX という PhaaS と QR コード：Microsoft 365 アカウントに BEC 攻撃を展開

‘ONNX’ MFA Bypass Targets Microsoft 365 Accounts

2024/06/19 DarkReading — 高度に組織化された PhaaS (phishing-as-a-service operation) が、金融企業の Microsoft 365 アカウントを標的とし、2FA (two-factor authentication) バイパスや QR コードの悪用といった高度な回避技術を活用する、BEC (business email compromise) 攻撃を仕掛けていることが、研究者たちにより明らかになった。 6月18日のブログで EclecticIQ のセキュリティ・アナリストたちは、金融機関を標的とする広範なフィッシング・キャンペーンを、2024年2月の時点で発見したと述べている。標的となった組織には、アメリカ大陸／ヨーロッパ／中東／アフリカ (EMEA) 地域における、銀行／プライベート・ファンディング会社／信用組合のサービス・プロバイダーなどが含まれていたという。

QR コードを悪用するフィッシング：2021／2024 比較で 10倍以上に増加 – Egress

Quishing Attacks Jump Tenfold, Attachment Payloads Halve

2024/04/18 InfoSecurity — QR コードを悪用するフィッシングの一種である、クイッシング (Quishing) 攻撃が大幅に増加しており、2021年には僅か 0.8% であったものが、2024年には 10.8% にまで増加している。この数字は Egress の最新レポートによるものである。その一方では、添付ファイルベースのペイロードの減少も顕著であり、同期間中に 72.7% から 35.7% へと半減している。

フィッシング攻撃調査 – 2023 Q4：メール・セキュリティを回避する QR コード攻撃が急増

QR Code ‘Quishing’ Attacks on Execs Surge, Evading Email Security

2024/02/09 DarkReading — QR コードを悪用するＥメール攻撃が、2023年 Q4 に急増している。そして、攻撃者たちが特に標的としていたのは、企業の重役や管理職などであることが判明した。QR コードを使ったフィッシング・メールは、”キッシング：Quishing” とも呼ばれており、スパム・フィルターを通過する可能性が高い。そのため、Microsoft 365 や DocuSign のユーザーを狙う悪意のメールが、受信トレイまで到達してしまうのだと、クラウド・メール・セキュリティ企業 Abnormal Security が、2月6日に発表したレポートで述べている。

QR Code フィッシングの進化：複雑な条件付きルーティングで検出を回避する

Beyond Simple Scams: The Rise of Conditional QR Code Routing Attacks

2024/01/25 SecurityOnline — 大手サイバー・セキュリティ企業 Avanan は、QR コードを悪用するフィッシング攻撃が、2023年8月〜9月で 587％、11月〜12月では 425％も増加していることを観測した。これらの攻撃は、一見して単純に見えるが、数多くの電子メール・セキュリティ・システムの脆弱性を、つまり、QR コード保護の欠如を悪用したものである。この脆弱性は、QR コードが一般大衆に広く普及していることと相まって、フィッシング詐欺に成功する道を開いている。

QR コード・フィッシングは全体の 22%：Quishing という新たな脅威に対抗するには？

QR Codes Used in 22% of Phishing Attacks

2023/10/19 InfoSecurity — Hoxhunt Challenge が明らかにしたのは、フィッシング攻撃に対する従業員の感受性の驚くべき傾向であり、人的リスクの低減におけるエンゲージメントの重要な役割を強調するものだ。10月19日に発表されたのは、９つの業界と 125カ国にまたがる、38の組織で実施された調査の結果であり、2023年10月の最初の週に発生したフィッシング攻撃の 22% において、悪意のペイロード配信のために QR コードが悪用されたと指摘している。

QR コード・フィッシングとは？米国のエネルギー産業などを狙う新たな手口

Major U.S. energy org targeted in QR code phishing attack

2023/08/16 BleepingComputer — 米国の著名なエネルギー会社などを標的とするフィッシング・キャンペーンが観測されているが、この攻撃では、悪意の電子メールを受信トレイに送り込み、セキュリティを回避するために、 QR コードが使用されているという。このキャンペーンに関連する、約 1,000通ほどの電子メールの 29％は、米国の大手エネルギー会社を標的としている。その他の攻撃は、製造業 (15％)／保険 (9％)／テクノロジー (7％)／金融サービス (6％) などの企業に対して行われている。

FBI 警告：偽の QR コードを使った金融詐欺が増えている

FBI warns of malicious QR codes used to steal your money

2022/01/23 BleepingComputer — 今週のこと、米連邦捜査局 (Federal Bureau of Investigation : FBI) は、悪意を持って作成された QR コードを利用して、サイバー犯罪者が米国民の認証情報や金融情報を盗み出していると警告を発した。この警告は、FBI の Internet Crime Complaint Center (IC3) で公開された、Public Service Announcement (PSA) として、今週の初めに発表された。FBI は、「サイバー犯罪者たちは、QR コードを改ざんすることで悪意のあるサイトへと被害者を誘導し、ログイン情報や金融情報を盗み出している」と述べている。

QR コード・メール・フィッシング：Microsoft の認証情報を盗み出そうとする手口とは？

Scammers are emailing waves of unsolicited QR codes, aiming to steal Microsoft users’ passwords

2021/10/26 CyberScoop — 電子メールを悪用する詐欺師たちは、レストランなどで見かけるようになったクイック・レスポンス・コードの注目度に乗じて、QR コードを利用してユーザーの Microsoft 認証情報などを盗もうとしている。