マイアミの駐車場管理当局は、運転者によるQRコード決済を認めなくなった。詐欺師が精算機に貼られた正規のコードの上に、自分たちのステッカーを貼り始めたため、この選択肢を撤回したのである。ノースカロライナ州アッシュビルは、駐車メーターにコードを一切掲示していない。ブリティッシュコロンビア州ニューウエストミンスターで、警察が8月に不正な「スキャンして支払う」ステッカーについて警告した際、市はその方法で駐車料金を受け取っていないことを確認し、すでに1人の運転者が2,000ドル（約31万円）を失っていた。維持費がほとんどかからないチャネルから、3つの運営主体が撤退しているのである。
チャネルを撤回することは、価格決定上の判断である。誰かが、誰も真正性を保証できないコードは、コードがない状態より価値が低いと判断したのだ。米連邦取引委員会（FTC）は9月3日、独自の消費者向け注意喚起を公表し、詐欺師が正規の駐車メーターのコードを自分たちのコードで覆い隠しているとして、タップする前にリンクを確認するよう運転者に呼びかけた。妥当な助言ではあるが、そのチャネルを維持すべきかどうかを検討する運営者の助けにはならない。
FTCは以前からこの問題に取り組んできた。駐車メーターについて最初に警告したのは2023年12月である。ニューヨーク市は2025年6月、ParkNYCの精算機に不正なステッカーが見つかったことを受け、通知を出した。アッシュビルでは2月、駐車メーター上に約20枚の偽ステッカーが見つかった。助言は変わらず、攻撃手法も変わらない。その事実は、誰がこの問題を解決すると期待されているのかを示している。
コードは何のためにあったのか
地味な資産の評価が難しいのは、その成果を数えられないからだ。屋外広告、コインランドリー、小規模集合住宅、独立系レストラン、小売店舗スペース、駐車場。いずれも収益を生むが、その発生源を誰も追跡できない。デジタル広告在庫がプレミアムを得るのは、すべてのインプレッションが記録を残すからである。
貸し手は明言するかどうかにかかわらず、そのギャップを価格に織り込む。小規模な実店舗ビジネスの買い手は、観察できないキャッシュフローに対して、常に低い対価しか支払ってこなかった。
ダイナミックQRコードは、月に1ドル（約1万未満円）か2ドル（約1万未満円）で、そのギャップの多くを埋めた。印刷された四角にカメラを向けると、タイムスタンプ、位置情報、端末タグ付きのイベントが生成される。残りは機械学習が読み取る。月400件のスキャンがあるレストランがアナリストを雇うことはなかったが、ダッシュボードなら見るからだ。QRコードをパンデミックの名残と呼ぶ人々が見落としているのは、この部分である。
コードはセンサーである。物理資産に取り付けられた史上最も安価なセンサーだ。
安価であることこそが重要である。Bitly、Flowcode、Uniqode、GetQRはほぼ同じサービスをほぼ同じ価格で販売しており、コモディティ化した価格設定によって、測定は街角のショップ、単一店舗の運営者、12戸を所有する大家にまで届いた。エンタープライズ向けのアトリビューションは、そうした人々には届かなかった。誰も彼らに販売するコストを負担できなかったからだ。利用量はそれに続いた。GetQRだけでも、プラットフォーム開始以降、1800万件超のスキャンと80万件超のコード作成を記録している。
検証済みのスキャンデータの流れに価値があることは、仮説ではない。単一店舗のレストランや小規模な商店街を審査する引受担当者は、銀行明細、納税申告、売り手が任意で提供する情報に基づいて判断する。いずれも過去を振り返るもので、独立した情報ではない。資産そのものにおける顧客接点について、改ざん防止の記録があれば、それは貸し手が信用に頼らずに済む、その事業についての初めての観察となる。それこそが得られる価値であり、認証の問題が通常のセキュリティ記事以上に注目されるべき理由である。
ただし、その測定が信頼できなければ、何の意味もない。プリンターと粘着ビニールのロールを持つ者なら誰でも数値を差し替えられるかもしれないセンサーは、センサーではない。それは自社の壁に掲げたリスクであり、スキャンデータが融資審査書類に組み込まれてこなかった理由でもある。
穴の大きさ
英国はより優れた記録を残している。全国的な詐欺報告サービスであるAction Fraudは、2024年4月から2025年4月までの間に、QRコードを使ったフィッシングであるクイッシングについて784件の報告を記録し、損失額は約350万ポンドに上った。1日あたりおよそ1万ポンド、1件あたり約4500ポンドである。同機関の暫定ディレクターであるクレア・ウェブは公開警告で、この手法は駐車場で最も頻繁に見られ、犯罪者はステッカーを使って精算機のコードを改ざんすると述べた。
その後、調査報道団体Bureau of Investigative Journalismは、英国中のすべての自治体に情報公開請求を行った。回答した373自治体のうち、123自治体が、前年に自らの駐車場が標的になったと答えた。英国の地方自治体の3分の1が同じ資産クラスに対する同じ攻撃を報告したことになり、この問題が一過性の出来事ではなく、パターン化していることを示している。また、めったに算定されない第2のコストも伴う。運転者が詐欺師に支払うと、自治体は駐車料金を受け取れず、運転者はなおも反則金通知を受ける可能性がある。
米国には同等の数字がない。FTCは2025年に約300万件の詐欺報告を受け、損失額は159億ドル（約2兆5100億円）に上ったが、それはあらゆる種類の詐欺を含むもので、この手口の総額を公表している機関はない。米国企業が駐車場QR詐欺で毎年どれだけの損失を被っているかを語る者がいれば、それは推測である。
流通している数字には注意が必要だ。Microsoftは、2026年第1四半期に検知した83億件のメールフィッシング脅威に関する分析で、QR攻撃が1月の760万件から3月の1870万件へと146％増加し、その10件中7件がPDF添付ファイル内に含まれていたと報告した。衝撃的な数字だが、あくまでメールに関するものだ。同社自身は、この形式が機能する理由として、スキャンによって被害者がスマートフォンに移動し、デスクトップ上の保護の外に出ることを挙げている。この理屈は企業の受信箱には当てはまる。だが、駐車メーターに貼られたステッカーについては何も語っていない。
物理的なバージョンが機能する理由は、もっと単純である。QRコードは人間が読むことができない。差出人の確認から、スペルミスのあるドメインの発見まで、リンクを精査するために通常行うことはすべて、カメラがすでに処理を始めた後に起きる。そして、リスクは些細なものではない。この形式は静かに決済インフラになっているからだ。ブラジルのPixシステムは2025年3月に63億件の取引を処理し、Mordor Intelligenceの集計では、その約41％がQRコード経由だった。
信頼すべきではない数字
少し回り道する価値がある。この分野のデータは不確かだからだ。Mordorは、ダイナミックコードが形式別売上の約65％を占めるとしている。競合する調査会社market.usは、ほぼ正反対に、スタティックコードが65％を占めると報告している。2025年の市場規模推計は、レポートを販売しているのが誰かによって105億ドル（約1兆6600億円）から186億ドル（約2兆9400億円）まで幅がある。セキュリティベンダーは、自社の以前のページと矛盾するクイッシング統計を公表している。すべてを方向感を示すものとして扱い、何かの入力値として使うべきではない。
確認にかかるコスト
認証の問題を解決しようとしているベンダーは少ない。そのため、ある小規模企業の名前を挙げる価値がある。米国のコード生成・分析企業であるGetQRは、リダイレクトを完了する前にコードを採点するソフトウェアを試験運用している。遷移先を検証済みの事業者プロフィール、リダイレクトチェーン、ブロックリストと照合する仕組みだ。不合格の場合、ページの代わりに警告画面が表示される。同社が報告する数字は、見かけどおりの意味を持たない。社内の90日間の試験で1万2400件のコードに対して精度88％、脅威インテリジェンスフィード由来の悪性コードに対して84％というものだ。プロダクト責任者のビリー・ヴァキルは書面での回答で、テストサンプルは訓練データと重複しており、モデルは試験期間中ずっと学習を続けていたと述べている。保持された検証用データはなく、外部監査も受けていない。それを自発的に明かすことは、ほとんどの企業がする以上のことではあるが、その割合が証明されたことにはならない。
より重要なのは、別の2つの数字である。同じ試験で、4000件の正規コードからなる対照群のうち3.4％が誤ってフラグ付けされた。また、274人のユーザーによるフォーカスグループ全体で、同社は警告が表示されると約70％がスキャンを中止することを確認した。その範囲は65％から75％だとしている。裏返せば、10人中3人はそのまま進む。検証はチャネルを元に戻すものではない。ある損失を別の損失に置き換えるだけであり、運営者はいずれにせよコストを支払う。これはマイアミの判断によく似ている。
責任の押し付け合い
誰が損失を負うのかと問えば、その答えは事業者にとって居心地の悪いところにある。GetQRはコードを生成し、ホストする。レストランはそれを印刷し、テーブルに置く。その時点からコードは物理世界に存在し、そのコードと設置場所を管理できるのは事業者だけである。ヴァキルはこれを、企業がいま置かれている現実として説明する。コードをどこに置くか、従業員をどう教育するかについて、より慎重になるよう企業を促している現実である。表面に印刷または刻印されたコード、あるいは改ざんがわかるラミネートの下に封入されたコードは、テーブル上に立てかけられた緩いカードよりも、説得力を持って覆い隠すことがはるかに難しい。従業員が開店時と閉店時にいくつかのコードをスキャンすれば、どんなソフトウェアにもできない方法で差し替えを発見できる。彼はこの先を説明するためにICカードを引き合いに出す。「より安全な技術が存在するようになると、それを採用できたのに採用しなかった人々へと、期待は徐々に移っていく」と彼は言う。
鋭い指摘ではあるが、その立場を少し良く見せすぎている。米国で2015年10月1日に起きた責任移転は、Visa、Mastercard、American Express、Discoverがそれを運用規則に書き込み、日付を設定し、より弱い技術を使っていた当事者に損失を移したから機能した。これは自然な移行ではなく、執行だった。自治体の設備に貼られた粘着ビニールについて運用規則を書く者はいないし、その役割を担うと表明したカードネットワークもない。
大西洋の向こう側には、少なくとも審判がいる。2024年10月7日以降、英国のPayment Systems Regulatorは、認可プッシュ決済詐欺（APP詐欺）の被害者に対し、最大8万5000ポンドまで、5営業日以内に払い戻すことを企業に義務付けている。費用は送金側と受取側の企業が折半する。駐車メーターで銀行振り込みをするよう誘導された運転者は、その対象に含まれる。銀行が小切手を書くことになれば、銀行は検知機能を構築し、行動するのに最も適した当事者にインセンティブが落ちる。
米国の加盟店には、その背後にそのような機関がない。そのため、最初に動き得る候補は3つ残る。カードネットワークが2015年と同じように規則を書くこともできるが、自治体の設備を取り締まる意欲を示したスキームはない。裁判所が過失基準に到達することもあり得るが、それには何年もかかり、非常に運の悪い被告が1人必要になる。あるいは保険会社が、改ざんされたステッカーによって企業が顧客を失った場合に商業保険またはサイバー保険が対応するかどうかを判断し、静かに、しかもはるかに速く価格付けするかもしれない。最後の選択肢についてはブローカーに電話する価値があり、誰も書いていないのはそのバージョンである。
こうしてスキャンの価値は奇妙な場所に置かれる。運営者は壁を所有し、プラットフォームはリダイレクトを所有し、銀行は損失を所有するかもしれない。そして、インクが本物かどうかという問いは誰も所有していない。
マイアミはセンサーを切ることで解決した。代替手段としてアプリを持つ駐車場管理当局にとっては、それで機能する。だが、これまで数字を生まなかった壁からようやく数値を得られるようになったコインランドリー、屋外広告の所有者、大家にとっては機能しない。真正性の問題を誰かが引き受けるまで、プリンターを持つ見知らぬ誰かが書き換えられる数字を、貸し手が信用することはない。
