ニュースの概要
警視庁は、「警視庁遺失物センター」を名乗る偽の封書が出回っているとして注意喚起を行いました。封書には落とし物を保管しているかのような内容が書かれ、同封のQRコードを読み取らせて偽サイトへ誘導します。偽サイトでは個人情報や金銭の入力を求められる恐れがあります。警視庁は、身に覚えのない封書のQRコードは読み取らず、不安な場合は公式の窓口へ直接問い合わせるよう呼びかけています。メールやSMSではなく、手元に届く紙の郵便を使う点が、今回の手口の特徴です。
引用元: 「警視庁遺失物センター」かたる“ニセ封書”に警視庁が注意喚起「QRコードを読み込ませてニセサイトに誘導し…」（オリコンニュース）
分析・見解
紙の封書が持つ信頼感を悪用した手口
フィッシング（＝本物をよそおって情報を盗む詐欺）といえば、メールやSMSが中心でした。今回の舞台は紙の封書です。差出人が警察の関係機関となれば、受け取った側は「無視してはいけない」と感じやすくなります。
メールは迷惑フォルダに入ることがあります。しかし郵便は、ほぼ確実に本人の目に触れます。しかも封を開けるという一手間が、相手への信頼を強めます。落とし物という話題は誰にでも心当たりがあり、否定しにくい点も巧妙です。
QRコードが防御の網をすり抜ける理由
最大の狙いは、QRコードにあります。メールの迷惑判定やブラウザーの警告は、文字として書かれたURLを調べることができます。ところが紙に印刷された画像のQRコードは、人がスマホで読み取るまで中身が分かりません。
読み取ったあとは、利用者個人のスマホの画面に偽サイトが開きます。会社のセキュリティ機器も、家庭の迷惑メール対策も通りません。いわば防御の外側から直接、人の手元に届く攻撃です。海外ではこの種の手口が「クイッシング」と呼ばれ、駐車場の料金支払い用QRコードを貼り替える事例も報告されています。
偽サイトの目的は個人情報と少額決済の両取り
落とし物の返却に手数料や本人確認が必要だと言われれば、名前、住所、電話番号、クレジットカード情報を入力してしまう人が出ます。金額が数百円から数千円と少ない場合、被害に気づきにくく、通報も遅れがちです。
詐欺側にとっては、少額でも多数の人から集めれば大きな利益になります。さらに入力された個人情報は、別の詐欺に使い回されます。一度の被害で終わらず、後から電話やSMSの攻撃が重なる点が厄介です。
公的機関の名前を使う詐欺は今後も増える
警察、税務署、郵便局、宅配会社など、公的な名前を使う詐欺は後を絶ちません。生成AIの普及で、自然な日本語の文面や本物らしいロゴ入りの書面を作る手間は大きく下がりました。印刷と郵送のコストは増えますが、それでも成り立つほど成功率が高いと見られます。
今後は、偽の書面とQRコード、偽サイトに加え、電話での確認まで組み合わせた多段階型が増えるでしょう。入口が紙でも、攻撃の本質はこれまでと同じです。相手の連絡手段を信用せず、自分から公式の窓口に確かめる習慣が最も有効です。
ビジネスへの影響
従業員宛ての郵便とQRコードを社内ルールに入れる
多くの企業は、メールの不審な添付ファイルには注意するよう教育しています。しかし、紙の郵便に載ったQRコードは対象外になりがちです。会社宛てや従業員宛てに、官公庁や取引先をかたる封書が届く可能性は十分にあります。
まず、業務で使うスマホや社用端末で、出所の分からないQRコードを読み取らない決まりを作りましょう。総務や受付が開封する郵便について、不審な封書は担当部署に回す流れも決めておくと安心です。
自社の名前が使われた場合に備えた発信体制
逆に、自社や取引先を名乗る偽の封書が出回ることも想定が必要です。被害の連絡が来てから慌てて動くと、公表が遅れます。
公式サイトに、正規の連絡方法とQRコードを送らない旨を載せておきましょう。問い合わせ窓口の電話番号も、あらかじめ分かりやすい場所に置いておくと、利用者が自分で確認しやすくなります。
従業員教育は具体例を使った短い訓練が効く
注意喚起の一斉メールだけでは、記憶に残りません。実際の偽封書の画像を見せ、どこが怪しいかを数分で確認する形が効果的です。差出人の住所、文面の急かし方、手数料の要求、QRコードしか連絡先がない点を、チェック項目にしましょう。
不安に感じたときは、封書にある連絡先ではなく、公式サイトや電話帳で調べた番号に連絡する。この一点を全員が覚えていれば、被害の大半は防げます。