中国アプリQQ ユーザーを狙ったフィッシングQRコード攻撃

今日、ほとんどの人は、送信元が不明なメールなどに書かれたリンクは、クリックしないほうが良いと認識しています。しかし、QRコードのスキャンとなると、油断する人が多いのではないでしょうか。実際には QRコードの方が不審なリンクよりも危険である可能性があります。リンクの場合、クリックする前に自分の目で確認することができますが、QRコードの場合は確認ができません。そう考えると、今からお話する中国で行われたQRコード詐欺は、決してまれな事件ではありません。

何が起こったのか

今年６月、あるサイバー犯罪者が無料でゲームにログインできると謳い、偽のQRコードを配布して、そのQRコードを使用させることで 中国のインスタントメッセンジャーQQの複数のアカウントを乗っ取ったという報道がありました。

日本ではあまり知られていないQQは、実は中国国内では数億人ものアクティブユーザーを持つ超人気アプリで、大手IT企業テンセントが運営しています。チャット、映画、ブログ、ゲームなど幅広いサービスが提供されています。今回のお話する事件は、そのうちのゲームに関連するものです。

攻撃が始まったいきさつや被害に遭ったアカウントの数は明らかになっていませんが、このQRコード詐欺事件は、テンセントが Sina Weibo（中国版のTwitter）で公に謝罪文を掲載したほど大事件でした。

では、どのような攻撃の仕組みだったのでしょうか。先ほども述べたように、まず攻撃者は、無料でゲームにログインできると偽り、悪意のある QRコードを拡散しました。ユーザーがQRコードをスキャンすると、自身のQQアカウントで認証するよう求められます。そして、ユーザーが一度認証を行ってしまうと、その認証情報が攻撃者に盗まれてしまい、結果、自身のQQアカウントにログインできなくなってしまいました。

テンセントは、この問題が発覚した後、被害者のアカウントを復元しました。また、地元当局と協力して事件に関する詳細な調査を行っています。

自分の身を守るには

今回影響を受けた地域は、主に中国国内に限定されていましたが、悪意のあるQRコードの脅威を甘く見てはいけません。特に近年、新型コロナウイルス感染症の影響で QRコードは、いたるところで使用されるようになりました。被害に遭わないためにも、QRコードをスキャンする際には、弊社のKaspersky QR Scanner Android と iOS の両方でご利用いただけます）のご利用をお勧めします。弊社のアプリを利用すれば、危険なサイトへ誘導する QRコードであるか否かを判別できるようになります。