detecting-qr-code-phishing-with-email-security

メールセキュリティによるQRコードフィッシングの検出

概要

QRコードフィッシング（クイッシング）は、フィッシングメール内のQRコード画像に悪意のあるURLを埋め込む、急速に増加している攻撃手法です。クイッシングのインシデントは、2025年8月から11月にかけて46,000件から250,000件へと5倍に増加し、検出されたインシデントの89.3%を認証情報のフィッシングが占めました。従来のメールセキュリティフィルターでは、QRコードを人間や一般的なURLスキャナーが読み取れないため、検出が困難です。また、QRコードをスキャンする際に、ユーザーは通常、企業のセキュリティ対策が施されていない個人用モバイルデバイスを使用します。攻撃者は、分割QRコード（別々の2つの画像）、入れ子QRコード、ASCIIテキストベースのQRコードを使って、検出を回避するよう進化しています。

使用する場面

• メールセキュリティによるQRコードフィッシングの検出が必要なセキュリティインシデントを調査する場合
• この分野の検出ルールや脅威ハンティングクエリを作成する場合
• SOCアナリストがこの種の分析に体系的な手順を必要とする場合
• 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証する場合

前提条件

• 画像分析機能を備えたメールセキュリティゲートウェイ
• QRコードの構造とエンコードに関する知識
• モバイルデバイス管理（MDM）またはモバイル脅威防御ソリューション
• セキュリティ意識向上トレーニングプログラム
• 相関分析とアラート通知のためのSIEMプラットフォーム

主な概念

クイッシングが有効な理由

1. URLスキャナーを回避する：従来のゲートウェイはテキスト形式のURLをスキャンしますが、画像に埋め込まれたURLはデコードできません
2. 保護されていないデバイスへ誘導する：企業メールは保護されたシステムに届きますが、QRコードは個人用モバイルデバイスでスキャンされます
3. ユーザーの信頼を利用する：QRコードは日常生活（支払い、メニュー、駐車場）に普及しています
4. 検出率が低い：クイッシングのインシデントを正確に識別できる受信者はわずか36%です

回避手法（2025年）

• 分割QRコード：個別に見ると無害に見える2つの画像に分割されたQRコード（Gabagool PhaaSキット）
• 入れ子QRコード：QRコードの中に別のQRコードがあり、最初のスキャンで中間ページに誘導されます
• ASCII QRコード：画像ではなくテキスト文字で描画されるQRコード。画像分析を回避します（2026年1月の攻撃の12%）
• 装飾QRコード：ロゴを入れた独自デザインのQRコードで、パターンマッチングを回避します
• PDF添付ファイル内のQRコード：メール本文ではなく、PDF添付ファイルに埋め込まれたQRコード

検出上の課題

• パターンベースの検出にはトレードオフがあります。設定を厳しくすると誤検知が増え、慎重に設定すると検出漏れが増えます
• クイッシングメールと正規のQRコードメールの平均類似スコアは0.209です
• 画像添付ファイル内のQRコードには、OCRと高度な画像処理が必要です

ワークフロー

ステップ1：画像ベースの脅威検出を有効にする

• 埋め込み画像からQRコードを検出するよう、メールゲートウェイを設定します
• 画像添付ファイル（PNG、JPG、GIF、BMP）のOCR処理を有効にします
• 画像処理、OCR、NLP分析を組み合わせたマルチモーダルAIを導入します
• 添付ファイル内のQRコードを検出するよう、PDFスキャンを設定します
• ASCII／テキストベースのQRコード描画を検出する設定を行います

ステップ2：QRコードURLの分析を設定する

• 検出されたQRコードからURLを抽出し、URLレピュテーションサービスに送信します
• QRコードから抽出したURLにも、テキスト形式のURLと同じURLスキャンポリシーを適用します
• QRコードからデコードされた遷移先ページに対するリアルタイムのサンドボックス分析を有効にします
• 可能であれば、QRコードから抽出したURLに対するクリック時保護を設定します
• QRコードから抽出された既知のフィッシングドメインをブロックします

ステップ3：モバイル側の保護を導入する

• QRコードのスキャン機能を備えたモバイル脅威防御（MTD）を導入します
• Palo Alto ALFAまたは同等のセキュア・バイ・デザインなQRコードスキャンを導入します
• スキャンしたURLを開く前にユーザーへ警告するよう、MDMポリシーを設定します
• QRコードをスキャンして開く遷移先に対し、企業VPN／セキュアブラウザーを有効にします
• モバイルプロキシレベルで既知の認証情報窃取ドメインをブロックします

ステップ 4：検出ルールを構築する

• 画像のみでテキストがほとんどないメール（よくあるクイッシングのパターン）にアラートを出します
• 初めて連絡してきた外部の送信者からのQRコード画像を含むメールにフラグを付けます
• QRコードの存在と組み合わさった緊急性をあおる表現を検出します
• MFAの設定を求めてQRコードのスキャンを促す、IT／セキュリティチームになりすましたメールにアラートを出します
• MFAのリセット、文書への署名、ボイスメールの通知など、よくあるクイッシングのテーマを監視します

ステップ 5：クイッシングの見分け方をユーザーにトレーニングする

• セキュリティ意識向上プログラムにQRコードを使ったフィッシングのシナリオを追加します
• 管理されたQRコードを使ったクイッシングのシミュレーションキャンペーンを実施します
• 認証情報を入力する前に、QRコードのリンク先URLを確認するようユーザーに教えます
• 不審なQRコード付きメールを報告するプロセスを確立します
• QRコードを安全にスキャンする方法に関するガイダンスを配布します

ツールとリソース

• Barracuda Multimodal AI：QRコード検出のためのOCR＋高度な画像処理
• Palo Alto ALFA：安全性を考慮して設計されたQRコードスキャンの評価
• Microsoft Defender for O365：メール内の画像に含まれるQRコードを検出
• Proofpoint TAP：QRコードのデコードに対応した画像ベースの脅威分析
• Lookout/Zimperium：QRコードのスキャンに対応したモバイル脅威対策

検証

• 管理されたテストでQRコードを使ったフィッシングメールを検出できる
• 分割QRコードやASCII QRコードによる回避手法を検出できる
• QRコードから抽出したURLがサンドボックス分析に送信される
• モバイルデバイスが悪意のあるQRコードのリンク先に対して警告を出す
• クイッシングのシミュレーションに対するユーザーの報告率が50％を超える
• QRコード検出の誤検知率が1％未満である