QRコードの先でログインを求められたら。端末をまたぐ誘導の確認

パソコンに届いた案内をスマホで開く場面でも、正規の入口から必要性を確かめる。

四角い図形は、送信者の証明ではない

カナダのCyber Centreは、QRコードがWebサイトを開く以外にも、接続や情報の確認などさまざまな行動につながり、フィッシングにも使われることを説明しています。SONAEは、コードの見た目から安全を判断せず、どこへ進み、何を求められるかを確かめる習慣を提案します。会社のロゴやきれいな案内が添えられていても、正規の配布元や本人の依頼である証拠にはなりません。

端末を移った後も、会社の依頼か確かめる

パソコンのメールからスマホでコードを読むと、案内を受け取った端末と入力する端末が分かれます。会社の保護や記録が両方で同じとは限りません。私物端末へ業務の認証情報を入れてよいかも自社の条件で確認します。端末を替えること自体が危険という意味ではなく、会社が管理する範囲を外れていないかを見ることが目的です。急いでスマホを出す前に、通常のサービス入口から依頼が存在するか確かめましょう。

表示された行き先と、求める行動を見る

読み取り時に表示されるリンクを確認し、予定していないログインやアプリ導入を求められたら進めず相談します。似たつづりや鍵の表示だけですべての偽サイトを見抜けるとは考えません。短縮された行き先など判断が難しい場合は、既知の公式アプリや保存済みの入口を使います。読み取りのためだけに新しいアプリを案内された場合も、会社が認める方法か確認します。分からない画面で、追加の権限を与えないようにしましょう。

配る側も、コードの管理を続ける

自社が受付や配布資料にQRコードを使うなら、何のための行き先かを読める文字で併記し、問い合わせ先を用意します。印刷後に行き先を変えられるサービスでは、その管理権限と契約の終了も確認します。掲示が差し替えられていないか、古い資料が残っていないかを担当が点検します。架空の例では、社員向けの申請案内に正規の入口名も書き、コードを読めない人も通常の手順からたどれるようにします。

操作した後は、段階を伝える

読み取っただけ、ページを開いた、秘密を入力した、ファイルを取得した、アプリや権限を許可した、という段階を分けて窓口へ伝えます。影響の判断は担当へつなぎ、もう一度同じコードを試して安全を確認しません。報告には配布物の種類、時刻、使った端末、行った操作を添え、秘密の値や実在の認証用コードを共有表へ貼らないようにします。印刷物も関係する場合は、元の置き場所を記録して担当の案内を待ちます。

使える便利さと、確認の経路を両立する

すべてのコードを禁止するのではなく、会社が使う場面と、予定していない操作の相談先を決めます。完了の目安は、利用者が行き先と必要性を正規の入口から確かめられ、配布担当が管理と終了を説明できることです。演習には動作しない架空の表示を用い、実際の認証や送信を発生させる必要はありません。コードを見つけた件数より、困ったときに別の方法へ戻れるかを確認し、読み取り後の報告まで含めて準備しましょう。

相談前の確認表

• QRコードを配布元の証明にしない
• 端末を替えた後の管理範囲も見る
• 正規の入口へ戻れる案内を用意する
• 読み取り後の操作を段階で報告する

参考資料（確認日：2026年10月23日）：Canadian Centre for Cyber Security：Security considerations for QR codes ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。