QRコードのスキャンは安全？仕組みと危険なQRコードの見分け方
「QRコードを読み取るのは何となく怖い」という声を耳にすることがあります。実際、QRコードを悪用した「クイッシング」と呼ばれる手口の被害報告が増え、注意喚起も相次いでいます。この記事では、QRコードの仕組みから実際に何が危険なのか、安全にスキャンするための具体的なポイントまでを事実ベースで整理します（本記事の内容は執筆時点＝2026年7月の情報です）。
公開日: 2026-07-25（最終更新: 2026-07-25）・執筆: katsuya_ds（運営者情報）
QRコードの仕組み — 読み取っただけでは何も起きない
QRコードは、白黒の小さな正方形（セル）の模様の中に、URLや文字列などの情報を記録した二次元バーコードです。QRコードの規格を開発した株式会社デンソーウェーブによれば、QRコードには誤り訂正機能が搭載されており、コードの一部が汚れたり破損したりしていても、内部の冗長データによって元の情報を復元できます。誤り訂正のレベルは4段階あり、レベルを上げるほど格納できるデータ量は減る一方、破損への耐性は高まるというトレードオフがあります。
ここで押さえておきたいのは、QRコードの中身は基本的に「ただの文字列」だという点です。多くの場合はWebページのURLですが、単なるテキストやWi-Fi設定情報が入っていることもあります。カメラで読み取った瞬間に何かのプログラムが実行されたり、その場でウイルスに感染したりするわけではありません。読み取り機は記録された文字列を解析して画面に表示するだけです。つまり「QRコードを読み取る」という行為そのものは紙のバーコードを読むのと本質的に変わらず、それ自体に危険はありません。
危険なのは「読み取った先」－クイッシングの手口
では何が問題になるのでしょうか。危険が生じるのは、QRコードが示すURLを開いたあと、そのWebサイト上で個人情報やクレジットカード情報を入力してしまった場合です。QRコード（QR Code）を使ったこの種のフィッシング詐欺は「クイッシング（Quishing）」と呼ばれ、近年、実際の被害報告や注意喚起が増えています。
フィッシング対策協議会は2024年8月、大手クレジットカード会社を装い、メール本文に記載したQRコードから偽サイトへ誘導する手口について緊急情報を公開しました。テキストリンクなら宛先のドメイン名の違和感に気づける場合がありますが、QRコードは画像であるため、実際にスキャンするまで飛び先のURLが分かりません。この「開くまで中身が見えない」特性が、クイッシングがテキストのフィッシングメールより見破りにくいとされる理由です。
街中や店舗のQRコードでは、正規のQRコードの上から偽物のシールを貼り重ねる手口も一般に知られています。国内でも2026年、飲食店に第三者が無断で決済用QRコードの読み取り台を設置しようとした事案が報じられ、店員が不審に思い設置を断ったため被害には至らなかったものの、国民生活センターはQRコード決済をめぐるトラブルへの注意を改めて呼びかけています。いずれの手口にも共通しているのは、問題があるのは「QRコード自体」ではなく「読み取った先」だという点です。
安全にスキャンするための5つのチェックポイント
QRコードのリスクを正しく理解すれば、過度に恐れる必要はありません。次の5点を習慣にしておくと、被害の多くは避けられます。
- 読み取った直後にすぐ開かず、表示されたURLを確認する。カメラアプリのプレビュー画面には飛び先のURLが表示されます。開く前に一度、見慣れたドメイン名かどうかを確認する癖をつけましょう。
- 短縮URLには注意する。実際の飛び先が隠れた状態になるため、金銭のやり取りや個人情報の入力を求められる場面では、いつも以上に警戒してください。
- 貼り紙・シールタイプのQRコードは物理的な貼り替えを疑う。QRコードが浮いていないか、周囲より不自然に新しく見えないか、上から重ねて貼られた跡がないかを確認します。
- 個人情報やカード情報の入力を求められたら一度立ち止まる。そのページが公式サイト・公式アプリからの正規の操作なのかを確認してから入力するようにします。
- 送信元が分からないメール・SMS・DMに添付されたQRコードは開かない。心当たりのない相手からのQRコードは、そもそも読み取らないのが最も確実な自衛策です。
信頼できるQRコードの見分け方
個々のQRコードだけを見て「安全か危険か」を100%判定できる方法はありません。ですが、次の視点は判断の助けになります。
- 発行元が明確か（公式サイト・公式アプリ・信頼している相手から直接渡されたものか）
- 印刷物であれば、周辺のデザインや紙質が自然に馴染んでいるか（後から貼られたシールでないか）
- URLを開いたあとのドメイン名が、期待するサービスと正確に一致しているか（一文字違いの偽ドメインに注意）
- httpsで始まっているかはあくまで参考情報の一つで、それだけで「安全」と断定はできない点
総合的に見て少しでも違和感があれば、そのQRコードは使わず、公式サイトへの直接アクセスや公式アプリの利用に切り替えることをおすすめします。
QR Sendの場合はどうか
QR Sendは、PCのChrome拡張機能が表示するQRコードをスマホでスキャンし、スマホとPCをペアリングするための無料ツールです。ここまでの内容を踏まえてQR Sendの仕組みを整理すると、次の2点が挙げられます。
まず、スキャンする対象のQRコードは、自分が操作しているPCの画面上にその場で表示されるものです。街中の貼り紙のように第三者が事前に用意して設置しているものではないため、店舗や街頭のQRコードのように誰かに物理的に貼り替えられたり、上から偽シールを重ねられたりする余地がそもそもありません（PC自体が第三者に乗っ取られている場合はこの限りではありません）。
次に、QR Sendを通じてやり取りされる内容は、自分自身が送信するURLやテキストに限られます。送信専用のシンプルなツールで、送ったURL・テキストは相手の端末に届くまでの間だけ一時的に預かられ、届いたあとは自動的に消える仕組みです。取り扱いの詳細はプライバシーポリシーをご確認ください。なお、送信後にPCで開いたWebページ自体の安全性はQR Sendの管理範囲外であり、開いた先が安全かどうかは他のURL・QRコードと同様に自分自身で確認する必要があります。
まとめ
QRコード自体を読み取る行為に危険はなく、注意すべきなのは常に「読み取った先」です。クイッシングの手口を知り、URLを確認してから開く、短縮URLや貼り替えの跡に注意するといった基本を押さえておけば、過度に恐れる必要はありません。QR Sendのように自分のPC画面に表示されたQRコードをその場でスキャンする使い方であれば、街中の貼り紙のようなすり替えのリスクは生じにくい点も安心材料の一つです。
QR Sendの具体的な使い方はセットアップ完全ガイドで解説しています。スマホからPCへURLを送る他の方法との比較は方法7選の比較コラムもあわせてご覧ください。
よくある質問
Q. QRコードを読み取っただけでウイルスに感染することはありますか？
A. 読み取る操作自体（スキャンして中身の文字列を解析する処理）だけでウイルスに感染することは、通常のカメラアプリやQRコード読み取り機能を使う限り基本的にありません。危険が生じるのは、表示されたURLを開いたあとに不審なサイトで情報を入力したり、案内されるままアプリのインストールを実行したりした場合です。
Q. クイッシングと通常のフィッシングメールは何が違うのですか？
A. 狙いや手口の本質はどちらも同じフィッシング詐欺ですが、クイッシングはURLをテキストではなくQRコード（画像）で提示する点が異なります。テキストリンクなら宛先ドメインの不審な点に気づけますが、QRコードはスキャンするまで飛び先が分からないため、警戒心が働きにくいとされています。
Q. 街中に貼られたQRコードは使わない方がいいですか？
A. 一律に避ける必要はありませんが、特に金銭のやり取りや個人情報の入力が発生する場面（決済・キャンペーン応募など）では、QRコードが浮いていないか、周囲のデザインと違和感がないかを確認し、読み取り後に表示されるURLを一度目で確認してから開くことをおすすめします。
Q. QR Sendで送ったURLを第三者に見られる心配はありませんか？
A. QR Sendは、ペアリングした自分のスマホとPCの間だけでURL・テキストをやり取りする仕組みで、送信内容は相手に届くまで一時的に預かられ、届いた後は自動的に消えます。詳細はプライバシーポリシーをご覧ください。なお、送った先のWebページ自体の安全性は、他のURLと同じくご自身でご確認ください。