今日、QRコードをスキャンすることは、ほんの数年前なら新鮮に感じられた行為だ。しかし今や、QRコードはあらゆる場所に存在する。すべてのレストランにあり、広告に掲載され、駅のポスターに貼られている。それをスキャンすることに、何の危険もないように感じられる。
目新しさが薄れるにつれ、消費者はQRコードのスキャンをより信頼するようになった。そして詐欺師たちは、ますます大胆になっている。
QRコードを用いたフィッシング詐欺を指す「クイッシング（Quishing）」が急増している。犯罪者は偽のコードを使って支払いを促したり、顧客データを密かに収集したりしている。消費者に「もっと注意するように」と呼びかけるのが本能的な反応だろう。それは間違ってはいないが、取引における負担の大部分を、本来背負うべきではない側に課すことになってしまう。
コードを世の中に出しているのはブランド（企業）側であり、それを保護が必要な能動的なデジタルインフラとして扱い始める必要があるのもブランドである。リアルタイムの監視、指示に応じて変更できる遷移先、そして顧客が異変に気づく前に問題を検知する分析機能が求められる。
詐欺師も注目するQRコードの普及
消費者がQRコードに対して抱く安心感は、偶然生まれたものではない。筆者の会社が発表したレポート「State of QR Codes（QRコードの現状）」によれば、消費者の71%がQRコードを「役立つ」と考えており、マーケターの98%がQRコードは自社の取り組みにポジティブな影響を与えていると回答している。この普及に伴い、現在では消費者の26%が昨年よりもコードを信頼するようになっている。
詐欺師たちは、この信頼を絶好の機会と捉え、さらに巧妙な手口を編み出している。パーキングメーター（有料駐車場）に貼られた偽のQRコードや、不在連絡票、メニュー、イベントの看板などに配置された詐欺的なコードは、人々を誘導して支払いを行わせたり、入力された個人情報を詐欺師の懐に直接収めたりする。また、詐欺的な電子メールやSMSも同様の手口を使っており、企業のブランドデザインを模倣した偽の光熱費の未払い通知やアカウントのアラートを用いてスキャンを促し、個人情報を収集している。
QRコード自体の安全性が低下しているわけではない。詐欺師が利用者の多い場所を狙っているだけだ。未解決の詐欺事例が1件増えるたびに、次に何かをスキャンしようとする顧客の意欲は削がれていく。そしてその代償は、被害を受けたブランドだけに留まらず、このチャネル（QRコード）に依存しているすべての企業に波及する。
QRコード詐欺で注意すべき兆候
消費者として、詐欺的なQRコードを避けるためには警戒を怠らないことが重要だ。信頼できないコードを示すいくつかの警告サインを以下に挙げる。
• SMSや電子メールで突然届き、迅速な対応を促すコード
• 別のコードの上に貼られたステッカー
• 見慣れないURLや、スペルがわずかに間違っている遷移先URL
• スマートフォンの標準カメラではなく、専用にダウンロードしたアプリでのスキャンを要求する企業
消費者も詐欺の発見に役割を果たせるが、より大きな責任を負うのはブランドである。QRコードを信頼されるチャネルであり続けさせる責任だ。
クイッシングから顧客（そして自社ブランド）を守る方法
QRコードは顧客との「ライブな接続」であり、一度印刷して放置すればよいだけの代物ではない。企業がデータを収集したり決済を処理したりする他のチャネルと同様に、継続的な注意を払う必要がある。
そうしたインフラを構築するための戦略は、大きく分けて以下の4つに集約される。
1. QRコードのパフォーマンスを監視する。各コードについて、通常のスキャン数や接続地域の基準を設定しておき、異常が発生した際に、数週間後に顧客からの苦情を受けて気づくのではなく、即座に把握できるようにする。
2. 異常を検知する。例えば、普段は1日に50回スキャンされるコードが突然ゼロになったり、予期せぬ場所からスキャンが届き始めたりする場合がある。こうした異常は、コードの破損、差し替え、または改ざんを示している可能性があり、動的に変更する必要がある。
3. スキャン前後における体験のコントロールを維持する。筆者の会社の調査によると、消費者のデータがどのように使用されるかを明確に開示しているマーケターは、わずか34%にとどまる。明確なメッセージ、ローディング画面、ブランド独自のドメインを使用して、スキャン体験に透明性を持たせることで、消費者が誰に、なぜデータを提供しているのかを理解できるようにする。
スキャン後の遷移先をリアルタイムで制御し、継続的なフィッシングやマルウェアの検知を組み合わせることで、ブランドは異常を検知した瞬間に、改ざんされたコードの利用を停止したり遷移先を変更したりできる。物理的に現地へ行ってコードを回収し、交換するのを待つ必要はない。
4. コードにブランドの一貫性を持たせる。一般的なリンクや見慣れないリンクに遷移するQRコードでは、顧客が安全かどうかを判断する手段がない。自社のブランドを冠したカスタムドメインを使用すれば、スキャンするたびに、顧客がすでに信頼している企業と視覚的に一致するページに遷移させることができる。
QRコードに対する消費者の信頼は、業界全体で共有されている財産だ。現在は強固な信頼があるが、それが今後も維持される保証はどこにもない。QRコードのセキュリティは継続的に取り組むべき課題であり、企業が顧客に信頼を求める他のあらゆるチャネルと同様に、高い優先順位を置くべきである。
