不審な QR：情報を渡す前に移動先を確認する

看板が公式に見えるだけでは不十分

駐車場に着き、支払い用の QR を見つけたとします。スマートフォンが開こうとするページには、見慣れたロゴと説得力のあるフォームがあります。情報を入力する前に止まってください。看板やサイトの外観だけでは、移動先が運営者のものだとは証明できません。FTC は、別の QR があるステッカーで元のコードを覆い、なりすましページに誘導する例を記録しています。この確認を行うために、特定の都市の事件だと断定する必要はありません。

このガイドは三つの確認を分けます。物理的な掲示物、読み取り時のアドレス、移動先と期待する組織の関係です。WikiURL は公開 URL の応答と最終的な移動先を調べる助けになります。それでもステッカーの所有者は特定できず、ページの正当性も保証されません。既にリンクが疑わしいなら、支払うために訪問する必要はありません。止まり、独立した経路でサービスへアクセスできます。

見慣れた名前だけでなく、アドレス全体を読む

読み取りアプリが開く前に URL を表示できるなら、そのプレビューを使います。置き換わった文字や、期待と異なるドメインを探してください。MDN は、フィッシングが似たドメインで既知のサイトを模倣できると説明しています。架空の例では、同じ語で始まっていても二つ目のホスト名は一つ目ではありません。構造を読むための架空アドレスなので、開いたり実際の支払いサービスに使ったりしないでください。

以前から使っているブックマークや、別途確認した運営者のサイトなど、ほかの経路で入手した公式アドレスと比べます。parking、安全、支払いといった語を身元の証明にしないでください。プレビューがドメインを切っていたら残りを推測せず、末尾だけでも判断しません。普通に見えるドメインにも模倣サイトは存在します。名前の説得力ではなく、期待するサービスとの一致を確認することが大切です。

https://parking.example.invalid/pago
https://parking.example.invalid.otro.invalid/pago

掲示物を調べ、既知の別の入口を探す

ステッカーが別の印刷を覆っていたり、端が浮いていたりしないか見ます。止まって質問する理由にはなりますが、単独で決定的な証拠ではありません。正当な運営者もラベルを使うことがあります。不一致があればスタッフに手順を確認し、既に確かめたアプリやアドレスから入ります。同じ不審なステッカーに書かれた電話番号だけを確認先にしないでください。

FTC は、予期しない依頼が来たとき、確実に本物だと分かる番号やサイトで会社に連絡することを勧めています。この原則を看板にも適用します。疑わしい物に依存しない第二の経路が必要です。駐車場では、正しく駐車登録する方法を運営者に確認します。すべての QR が詐欺だとも、知らないアプリを開けば解決するとも言っていません。代替手段も本物のサービスのものである必要があります。

WikiURL で確認できることと、対象外のこと

私的なデータを含まない公開 URL があれば、WikiURL の URL 確認ツールにコピーし、HTTP ステータスと最終的な移動先を見ます。ドメインが変わるなら、運営者にさらに質問する理由になります。独立した参照先と比べるため、観察したアドレスを保存してください。公開の確認には、パスワード、非公開の管理リンク、アクセストークン、個人の取引情報を入力しません。

200 の応答はリクエストの成功であり、誠実さの証明ではありません。詐欺ページも応答できます。また、問い合わせは WikiURL のサーバーから行われ、スマートフォンと異なる動作になる場合があります。ツールは支払うべきかを決めず、QR を印刷した人の身元を確認せず、詐欺やマルウェアの分析も代替しません。疑いがあるときは独立した経路を優先します。技術的確認は限られた補助であり、続行の許可ではありません。

HTTPS や確認コードは身元を証明しない

MDN が説明するように、HTTPS は通信途中の一定の攻撃から接続を守りますが、サイトを自動的に目的の運営者にはしません。模倣ページにも暗号化接続はあり得ます。ブラウザーが保護された接続を示しても、アドレスと手順を確認してください。ロゴ、専門的な外観、HTTP エラーがないことも身元確認を完成させません。

身元を確認していないページに、パスワードやワンタイムコードを渡さないでください。MDN はコードを中継する攻撃を説明しています。第二要素を求めることは正当性の証明ではありません。QR が何かのインストールや予期しない緊急行動を求めたら止まり、既知の窓口で確認します。FTC の勧めに沿って電話を更新しても、それをだまされない保証とは考えないでください。

既に操作した場合は、本物の窓口を使う

何が起きたか区別します。アドレスを見ることは、パスワード入力、カード情報の提供、ファイルのインストールとは違います。認証情報を渡したら、既知のアドレスからアカウントに入り、変更して安全設定を確認します。支払い情報を渡したら、公式窓口で提供者に事情を説明します。怪しいページに助けを求めて戻らず、解決を約束する別の予期しない依頼も受け入れないでください。

可能なら URL、日付、看板の写真を残し、機密データを拡散したり QR を使用の招待として共有したりしません。運営者へ疑いを伝え、自国に合う公式の支援を探します。INCIBE はフィッシングの情報を提供しています。リンク確認だけで返金を約束したり端末を安全と断定したりしないでください。情報提供前に独立して確認し、既に操作したなら役立つ証拠を保存する、という基準です。