--- id: "phishing-003" title: "クイッシング（QRコードフィッシング）とは: メール防御を無力化する新たな脅威と対策" description: "クイッシング（QRコード詐欺）がメールセキュリティやEDRをすり抜ける手口を解説。私用スマートフォンへの迂回攻撃から組織の重要資産を守るため、CISOや情シスが講じるべき実践的対策を網羅します。" canonical: https://startbrain.io/ja/cybersecurity/quishing-qr-code-phishing-ciso-defense/ slug: "quishing-qr-code-phishing-ciso-defense" date: "2026-10-03" category: "phishing" product: "superphisher" lang: ja author: "Brain Security · サイバー＆ヒューマンリスク研究開発部門" frameworks: "IPA · 経済産業省(METI) · 個人情報保護法(APPI) · JPCERT/CC · ISO 27001" --- # クイッシング（QRコードフィッシング）とは: メール防御を無力化する新たな脅威と対策 最高水準のセキュアメールゲートウェイ（SEG）を配備し、全端末に次世代EDRを導入、多要素認証（MFA）を全社に義務付けていると仮定してください。しかし、ある月曜日の朝、セキュリティ監視基盤（SOC）の検知アラートが一切鳴動しないまま、財務部門の重要アカウントが乗っ取られる事案が発生しました。攻撃経路は、悪意ある実行ファイルでも、本文中に記載された不審なリンクでもありませんでした。それは、セキュリティ更新通知を装った無害に見えるPDFファイルの中に配置された、ごくありふれた白黒のQRコードでした。 QRコードとフィッシングを組み合わせた造語である「クイッシング（Quishing）」は、企業のセキュリティ統括者（CISO）や情報システム部門にとって深刻な脅威となっています。従業員に私用スマートフォンでQRコードを読み取らせることで、情シスが強固に構築した多層防御網を軽視させ、監視ツールの管理対象外へと攻撃の場を意図的に移行させる手法です。 --- ## クイッシングの仕組みとメールゲートウェイが回避される理由 > **要約 : クイッシングは、画像内に不正なURLをQRコードとして埋め込む攻撃手法です。従来のメールセキュリティ製品はテキストベースのURL解析を前提としているケースが多く、悪意あるコードが迷惑メールフィルターをすり抜けて受信トレイに到達してしまいます。** 従来の標的型攻撃メールでは、メールゲートウェイが本文内のハイパーリンクを抽出し、脅威インテリジェンスと照合して安全性を判定したり、添付ファイルをサンドボックスで動的解析したりします。しかし、クイッシングにおいては、これらの検知機構が機能しにくくなります。不正URLが文字列として本文に存在せず、画像やPDF内にグラフィック情報（二次元マトリックス）として埋め込まれているためです。 この脅威を受信段階で検知するには、高度な光学文字認識（OCR）やリアルタイムでのQRコード画像解析エンジンを実行する必要があります。しかし、全受信メールに対して画像解析を行う処理は膨大なサーバリソースを消費し、メール配信の遅延を招くため、多くのシステム運用環境で常時稼働させることは容易ではありません。 さらに攻撃者は、QRコードのコントラストを細かく調整したり、中央に偽の企業ロゴを配置したり、モバイル端末からのアクセスのみを不正サイトへ転送する条件付きリダイレクトを組み込むなど、検知をすり抜ける手口を高度化させています。その結果、メール基盤は正常な通信として社内へ届けてしまいます。 --- ## クロスデバイスの罠 : 業務PCから私用スマートフォンへの境界突破 > **要約 : PC画面上のQRコードをスマートフォンで読み取らせることで、攻撃者はPC端末のEDR監視を回避し、DNSフィルタリングやプロキシといった企業ネットワークの保護が及ばない私用環境へと標的を誘導します。** クイッシングの本質的な脅威は、「クロスデバイス攻撃」と呼ばれるコンテキストの移行にあります。従業員は厳格なセキュリティポリシーで保護された業務PC上でメールを閲覧していますが、文面では「認証アプリの再同期」「社内ポータルのPW変更」「総務関連の申請確認」などを口実に、スマートフォンでの読み取りを強く促されます。 従業員が私用スマートフォン（BYOD端末）のカメラをPC画面に向けた瞬間、企業の境界防御は事実上無効化されます。 - **エンドポイント監視（EDR）の喪失 :** 私用スマートフォンには、企業のEDRエージェントやテレメトリ収集ツールが導入されておらず、操作履歴を追跡できません。 - **社内ネットワーク保護の迂回 :** 通信はキャリアのモバイル回線（4G/5G）を経由するため、社内プロキシ、セキュアWebゲートウェイ、DNSブロッキングなどの保護レイヤーを完全にすり抜けます。 - **モバイル画面による視覚的盲点 :** スマートフォンのブラウザは表示領域の都合上、アドレスバーが省略表示されることが多く、タイポスクワッティング（酷似したドメイン）や偽URLの識別が困難になります。 さらに、この攻撃経路はメールだけに留まりません。社内の休憩室に貼られた福利厚生アンケートの偽チラシ、受付や駐車場の設備に勝手に貼られた点検用QRコード、郵便で送られてくる偽の公的機関文書など、物理的な接点を悪用したインシデントも報告されています。 --- ## QRコードフィッシングから組織を防御するための実践的アプローチ 技術的ソリューションの網をくぐり抜ける脅威に対抗するには、従業員一人ひとりの危機意識と、確固たる運用ルールの整備が不可欠です。私用スマートフォンの利用自体を完全に禁止することは現実的ではありませんが、無意識にスキャンしてしまう行動習慣を見直すことは可能です。 組織としてクイッシング耐性を高めるためには、以下の対策を講じる必要があります。 - **社内手続きルールの明確化 :** 「情報システム部門や人事部門が、パスワードの変更や多要素認証の再設定をQRコード経由で要求することは一切ない」という原則をセキュリティ基本規定に明記し、周知徹底します。 - **モバイル端末向けセキュリティの整備 :** 会社支給端末に対しては、MDM（モバイルデバイス管理）を適用し、カメラ経由で開くURLのフィルタリングやモバイル向け脅威対策（MTD）を検討します。 - **実践的な訓練による見極め力の向上 :** 座学研修だけでは巧妙なソーシャルエンジニアリングに対抗できません。実効性のある防御力を養うには、模擬攻撃を用いた実践訓練が必要です。[Super Phisher](/en-us/catalog/super-phisher/) を活用すれば、巧妙化するクイッシングのシナリオを模した安全な訓練メールを展開し、コードを読み取る前に不審点へ気付くスキルを従業員に習得させることができます。 - **迷った際の即時報告ルートの確立 :** 怪しい掲示物やメールを受け取った際、従業員がペナルティを恐れず速やかに情シスやCSIRTへ報告できるエスカレーションフローを整備します。 セキュリティの本質は、利便性の高いテクノロジーを頭ごなしに禁止することではなく、全従業員が適切なリテラシーを持ち、組織を脅威から守る防壁として機能することにあります。 巧妙化するソーシャルエンジニアリング攻撃に対する組織の耐性を評価し、実効性の高い啓発活動を構築したい場合は、ぜひ[弊社の専門チームへご相談ください](/en-us/book-a-demo/)。貴社の環境に最適な教育・訓練設計をご提案いたします。 ### Executive Synthesis of Guide Pillars: クイッシング（QRコードフィッシング）とは: メール防御を無力化する新たな脅威と対策 | Strategic Dimension | Detailed CISO Recommendation | | --- | --- | | **エンドポイント監視（EDR）の喪失** | 私用スマートフォンには、企業のEDRエージェントやテレメトリ収集ツールが導入されておらず、操作履歴を追跡できません。 (クロスデバイスの罠 : 業務PCから私用スマートフォンへの境界突破) | | **社内手続きルールの明確化** | 「情報システム部門や人事部門が、パスワードの変更や多要素認証の再設定をQRコード経由で要求することは一切ない」という原則をセキュリティ基本規定に明記し、周知徹底します。 (QRコードフィッシングから組織を防御するための実践的アプローチ) | | **社内ネットワーク保護の迂回** | 通信はキャリアのモバイル回線（4G/5G）を経由するため、社内プロキシ、セキュアWebゲートウェイ、DNSブロッキングなどの保護レイヤーを完全にすり抜けます。 (クロスデバイスの罠 : 業務PCから私用スマートフォンへの境界突破) | | **モバイル端末向けセキュリティの整備** | 会社支給端末に対しては、MDM（モバイルデバイス管理）を適用し、カメラ経由で開くURLのフィルタリングやモバイル向け脅威対策（MTD）を検討します。 (QRコードフィッシングから組織を防御するための実践的アプローチ) | --- ## 関連コラムおよびBrain Securityのソリューション ### このテーマに関連するおすすめ記事 - **[現代型CEO詐欺 : 音声クローンとディープフェイク動画が財務部門を狙う手口](/ja/cybersecurity/deepfake-voice-cloning-ceo-fraud-bec/)** (Phishing & Social Engineering) : 生成AIによる音声クローンやディープフェイクを活用した最新のCEO詐欺（ビジネスメール詐欺・BEC）から財務部門を守る方法とは。CISO向けの実践的な社内手順、対抗策、体験型セキュリティ訓練を解説します。 - **[MFA疲労攻撃とプッシュ爆撃: パスワードを破らずに二要素認証を突破する手口と対策](/ja/cybersecurity/mfa-fatigue-push-bombing-mitigation-ciso-japan/)** (Phishing & Social Engineering) : MFA疲労攻撃（プッシュ爆撃）の仕組みと脅威を徹底解説。従業員が深夜の不審な通知に誤認承認しないための組織的ルールと、情シス・CISOが導入すべき技術的対策（ナンバーマッチング等）を分かりやすくまとめました。 - **[ヴィッシング詐欺の手口とは：電話で情シスや現場を操るソーシャルエンジニアリングの脅威と対策](/ja/cybersecurity/vishing-voice-phishing-helpdesk-social-engineering/)** (Phishing & Social Engineering) : 情報システム部門やヘルプデスクを狙うヴィッシング（音声フィッシング）の手口を解説。MFA疲労攻撃の併用や音声AIクローンを悪用した心理誘導の実態、社内運用ルールと体験型訓練による実践的な防御策を日本のCISO向けに提示します。 - **[PCI DSS v4.0要件12.6対応: フィッシングおよびソーシャルエンジニアリング対策教育の刷新ガイド](/ja/cybersecurity/pci-dss-v4-requirement-12-6-phishing-awareness/)** (Compliance (NIS 2, DORA, ISO)) : PCI DSS v4.0（要件12.6）が求めるセキュリティ意識向上、標的型攻撃メール訓練、ソーシャルエンジニアリング対策の具体策をCISO・情シス向けに解説します。 ### Brain Securityの製品・ソリューション一覧 - **関連ソリューション : [Super Phisher](/en-us/catalog/super-phisher/)** : 実践的な標的型攻撃メール訓練（Super Phisher）：リアルなフィッシング演習と即時フィードバックで不審メール報告率を向上。 - **[課題・業界別のユースケースを見る](/en-us/use-cases/)** - **[サイバーセキュリティ＆AI意識向上フォーマットを比較する](/en-us/compare/)** - **[Brain Securityの製品カタログをすべて見る](/en-us/catalog/)** - **[導入のご相談・デモ予約はこちら（担当チームへのお問い合わせ）](/en-us/book-a-demo/)** --- - https://startbrain.io/ja/cybersecurity/quishing-qr-code-phishing-ciso-defense/ - [Français](https://startbrain.io/fr/cybersecurite/quishing-phishing-qr-code-entreprise/) - [Deutsch](https://startbrain.io/de/cybersecurity/quishing-qr-code-phishing-unternehmenssicherheit-verhindern/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/quishing-qr-code-phishing-corporate-security/) - [English (US)](https://startbrain.io/en-us/cybersecurity/quishing-qr-code-phishing-corporate-defenses/) - [Español](https://startbrain.io/es/cyberseguridad/quishing-phishing-codigo-qr-seguridad-empresa/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/quishing-phishing-qr-code-sicurezza-aziendale/) - [Nederlands](https://startbrain.io/nl/cybersecurity/quishing-qr-code-phishing-bedrijfsbeveiliging-omzeilen/) - [Português](https://startbrain.io/pt/ciberseguranca/quishing-como-phishing-qr-code-contorna-seguranca/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/quishing-phishing-kod-qr-bezpieczenstwo-firmy/) - [Svenska](https://startbrain.io/sv/cybersakerhet/quishing-qr-kod-phishing-it-sakerhet/) - [Dansk](https://startbrain.io/da/cybersikkerhed/quishing-qr-kode-phishing-it-sikkerhed/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/quishing-qr-koodi-tietojenkalastelu-tietoturva/) - [Norsk](https://startbrain.io/no/cybersikkerhet/quishing-qr-kode-phishing-sikkerhet-norge/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/quishing-qr-code-phishing-enterprise-defence/) - [llms.txt](https://startbrain.io/llms.txt)