QR コードを悪用したフィッシング（クイッシング）が増加し、セキュリティ対策をすり抜けています。このブログでは、そのリスクを分析するとともに、検知においてエンドポイントが重要な理由を解説します。

2026 年 7 月 22 日、Kim Maibaum 著

近年、フィッシングの手法が進化していますが、特に懸念される傾向の一つが、QR コードを利用した攻撃の増加です。こうした攻撃では、新たなマルウェアや高度なエクスプロイトは必要ありません。その代わりに、もっと単純なもの、つまり、日常的に QR コードを信頼して利用しているユーザーの心理を悪用します。ここ数か月で、QR コードは、モバイルデバイスやブラウザ環境でユーザーを悪意のあるサイトへ誘導する手口として、最も広く使われる手法の一つになっています。こうした環境では、多くのセキュリティツールによる可視性が非常に限られています。

データを見ると、これは一時的な傾向ではありません。Microsoft の脅威インテリジェンスによると、クイッシングのキャンペーン数は 2026 年 1 月に 760 万件でしたが、3 月には 1,870 万件へと急増し、わずか 2 か月で 146% 増加しました。ここで最も注目すべきなのは、この数字そのものではありません。サイバー攻撃者がどのように攻撃手法を変化させているかが、この数字から見えてきます。攻撃者にとって QR コードは、従来のフィッシング対策を回避し、ユーザーが信頼して利用している日常的なワークフローを通じてユーザーに接触できる、ますます効果的な手段になっているのです。

ネットワークやデータを保護しようとする組織にとって、これはますます大きな課題となっています。従業員やユーザーの安全を確保するために、私たちはどのような対策を講じればよいのでしょうか？

攻撃者が QR コードを利用する理由

こうしたキャンペーンの増加は、フィッシング攻撃の設計方法が明確に変化していることを示しています。認証情報の窃取が依然として主な目的である一方、攻撃者はその手口を変化させています。簡単に見破られ、警告が表示されるような手法ではなく、ユーザーの日常的な行動に攻撃を紛れ込ませ、無意識のうちに操作させようとしているのです。

QR コードが特に効果的な攻撃対象となるのは、私たちの日常生活にすっかり定着しているからです。私たちは QR コードを使ってデジタルサービスにアクセスしたり、支払いを行ったり、認証手続きを完了したりしています。あまりにも身近な存在であるため、メールに記載されたリンクと同じように注意深く確認することはほとんどありません。

さらに、こうしたキャンペーンは通常、次のような決まった手順で進められます。

• 身近なツールや形式を利用して、ユーザーの信頼を得る
• 本物そっくりのフィッシングサイトへユーザーを誘導する
• 認証情報や認証トークンを窃取する
• 可視性が限られているメール環境の外へ攻撃を移す

被害者にとっては、フィッシングキャンペーンによる攻撃であっても、一連の操作は完全に正常なものに感じられます。

セキュリティチームにとって増大する課題

こうした攻撃では、QR コードは単なる入口にすぎません。本当のリスクが生じるのは、その後、ユーザーが悪意のあるサイトを操作したときです。

セキュリティチームにとって、疑わしいメッセージにフラグを立てるだけでは、もはや十分ではありません。リアルタイムで状況を把握することがはるかに難しい環境で、重要なアクティビティが発生するからです。

したがって、セキュリティチームが重視すべきなのは、攻撃者がどうやって侵入したのかではなく、ユーザーが QR コードを操作した後に何が起きているのかです。

可視性が新たなフィッシング対策の主戦場に

これが、エンドポイントが現代のセキュリティ対策において最も重要なレイヤーの一つであり続ける理由です。QR コードを利用した攻撃が成功すると、通常、最初に異常の兆候が現れるのはユーザーのデバイスです。そのため、攻撃が進行するにつれて、デバイス上で何が起きているのかを把握できることが極めて重要になります。

防御だけに重点を置いた従来のエンドポイント保護では、もはや十分ではありません。組織には、エンドポイント上のアクティビティを継続的に可視化しながら、防御、検知、対応を組み合わせた最新のエンドポイントセキュリティソリューションが必要です。既知の侵害指標だけでなく挙動を分析することで、疑わしいアクティビティを特定し、関連するイベントを自動的に関連付け、通常のアクティビティと実際の攻撃を区別するために必要なコンテキストをセキュリティチームに提供できます。

これにより、次のような重要な機能が実現します。

• デバイス上の悪意のあるアクティビティをより迅速に検知
• 最初の操作後に何が起きているのかを、より詳細に可視化
• インシデントの自動的な関連付けによる、不要なアラートの削減
• インシデントが拡大する前に封じ込める、迅速な対応

また、脅威ハンティングが果たす役割も重要です。攻撃者が、一見正当なアクティビティに紛れ込む手法をますます巧妙化させる中、侵害の兆候（IoC）をプロアクティブにハンティングする能力は、「あれば望ましい」ものから、不可欠なものへと変わっています。これを自社で管理するためのリソースがない中小規模の組織にとっては、MDR プロバイダーと連携することで、このギャップを埋めることができます。

この可視性により、不正アクセス、ラテラルムーブメント、初期段階の侵害の兆候（IoC）をより迅速に検知し、侵入から対応までの時間を短縮できます。

クイッシングによるインシデントで特に興味深いのは、攻撃を成功させるために、サイバー攻撃者がもはや極めて高度な手法を必要としていなくなっていることです。攻撃者は、私たちが日常的に行っている習慣を単純に悪用し、警戒を緩める瞬間につけ込んでいるのです。

そのため、ユーザーが最初に操作した後に何が起きているのかを監視する能力が必要となっています。アクティビティが正当なものに見えるこの段階こそが、通常の操作とセキュリティ侵害の始まりを分ける境目となります。

クイッシングの広がりは、これまでとは異なる新たな対策が必要になっていることを示しています。攻撃を成功させるために、必ずしも高度なマルウェアが必要なわけではありません。ユーザーが信頼している仕組みを悪用することで、従来の防御を回避し、可視性が制限されている領域へ攻撃を移しています。だからこそ、組織は強力なエンドポイント保護を確実に導入する必要があります。エンドポイント上のアクティビティを把握し、イベントを関連付け、迅速に対応できるかどうかが、攻撃を一度限りのインシデントにとどめられるか、大規模な侵害へと発展させてしまうかを左右する要因になりつつあります。