【決済】ＱＲコードにセキュリティー上の弱点 不正サイトに誘導も ->画像>1枚

電子決済や広告などに広く利用されている「ＱＲコード」に、偽の情報を仕込むことができるセキュリティ上の弱点があることが、神戸大学のグループの研究でわかりました。この弱点を悪用すると、利用者を一定の割合で不正なサイトに誘導することも可能で、グループではセキュリティー対策の強化が必要だとしています。

ＱＲコードは、インターネットのアドレスなどの情報を白と黒の四角い図形として表示し、スマートフォンなどで読み取るもので、電子決済や広告などに広く利用されています。

このＱＲコードのセキュリティについて、神戸大学の森井昌克教授らのグループが検証したところ、コードを作成する際に不正な操作を加えると、本来の情報に加えて、偽の情報を仕込むことができることがわかったということです。

これはコードを読み取る際のエラーを修復する機能を悪用したもので、こうして作られたＱＲコードを読み取ると、多くの場合は本来のサイトに誘導されますが、100人に１人といった一定の割合で、別のサイトなどに誘導することができるということです。

このため、金融機関などにつながると偽装したＱＲコードが表示されていた場合、本来のサイトに誘導されることもあるため、利用者が不正に気付きにくくなるおそれがあるということです。

こうした弱点を悪用した被害などは、まだ確認されていないということですが、森井教授は「ＱＲコードは急速に普及しているので、今後、狙われる危険性がある。ＱＲコードは一見しただけでは内容がわからないので、誘導された先が正しいかどうかチェックを強化する必要がある」と話しています。

改ざん被害も
ＱＲコードの普及に伴って、ＱＲコードを改ざんしてインターネットの悪質なサイトに誘導したり、現金がだまし取られたりする被害も出ています。

神戸大学の研究グループなどによりますと、ＱＲコードは見ただけでは内容がわからないため、改ざんしたＱＲコードを読み取らせる手口が多いということです。

このうち、中国ではスーパーで商品ごとに掲示された支払い用のＱＲコードを、客がスマートフォンで読み取って決済するサービスが普及しているということで、改ざんしたＱＲコードを正しいコードの上から貼り付ける手口で、代金をだまし取られる被害も相次いでいるということです。

また、国内でもインターネットに掲載したＱＲコードで、悪質なサイトに誘導して、個人情報などをだまし取ろうとする手口が確認されているということです。
2018年6月23日 18時01分
https://www3.nhk.or.jp/news/html/20180623/k10011492631000.html

ＡＩ「デジタルのアナログ化

中華ソバに検証させれば完全

始めから分ってたことじゃん
どこのアホが説明するんだ

えええ
今は中国の殆どがＱＲ決済とか聞いたが
使えなくなったら経済麻痺するんじゃね？ｗ
信用できない新しいものにすぐ飛びついてアホだな

そもそもなぜqrコードなのか

>>6
たんに小売店が負担するコストが低いから
セキュリティはここでも指摘されている通り、最低限でしかない
Suicaとかのようなものの方がはるかに安全

わけやか訳の分からんバーコード読まなきゃいい話。

認証用のバーコードなら何ら問題はない。

んなもん、大学が公表しなくても
中国ですでにQRコードの不正サイト支払い誘導
多発してるだろうに

QRなんか、現金に信用が無い国で使われるだけのローテク
シール1枚で詐欺れることは以前から報道もされてた
我が国では、普通にFeliCaを使い続ければ良いだろ
FeliCaの設定や契約さえ面倒がる奴がQRなんか使うとは思えんしな

＞中国では改ざんしたＱＲコードを正しいコードの上から貼り付ける手口で、
代金をだまし取られる被害も相次いでいるということです。


こりゃだめだわ
こんなに簡単に詐欺ができるんじゃ
やっぱり中国のもんは信用できないわ

そもそも中国とか露店でQRコードあっても、それが偽造していなくても怖すぎるわｗ
店自体が堂々と不制してそうで

>>1
『いかに大学の研究がムダであるか、神戸大学によって実証されました。』の間違いでは？

それで
中国ではどうゆう対策とってるんだろ
まさかそのままとか？

中国はこの手の報道は規制されるかもだな

危険性の提示とその不正対策を研究し開示しなさい。

>>16
公開鍵で暗号化したデータをQRコードで記録、カメラで読んだQRコードを特定URLのサイトへ
httpsリクエストで投げて、秘密鍵で複合化したデータをjson形式等で得るとか、QRコードを
中継するサイト側で、本来のサイトへ飛ばすといった仕組みを作ればいい。

でもQRコードは誰でも簡単に作成・印刷できるから、偽のQRコードと、偽のWebサイトをセットで
運用されたら防ぎようがない。　無関係な第三者の個人情報や、クレカを使って、正規のサーバ
証明書を取得するのも、不可能ではない。

スーパーにあるコードの上から、偽のコードを貼っとけば自動的に別の店の売上になるの？
イタズラだけでも大混乱じゃん

>>17
>偽のQRコードと、偽のWebサイトをセットで 運用されたら防ぎようがない。　


それなら俺でも簡単に出来そうだわ
店員が見てないときシールをはればいいもんね

10年以上前からFeliCaあんのに、
なんで今さらQRにしなきゃいけないのか
意味分からん。退化してんじゃん。

中国人がアリペイやウィーチャットペイを
使えるようにしとけばいいだけなのに、
日本人にも強制すんな、LINEと楽天。

qrなんてただの文字列に変換されるんだから省略urlとなんも変わらんわ

>>20
そんな前からあるのに結局流行らなかったね

今でも輸入牛のバーコードシールを神戸牛にはってセルフレジで支払えば安く買えるだろ？

マジかよ、バーコード親父最低だな

エラー前提の仕組みに完全性を求めてもね。
１割は間違う仕様だろ。　２回読めば１％だよ。

決済に使うQRコードって貼ってあるものではなくてスマホに表示されてるQRコードをレジとかで読ませるものだと思ってたわ

>>25
QR読み込みなんて運が悪いとなかなか認識しなくてイライラするのにそれを2回とかないわ

>>20
まず流行らないだろうし、使ってる人は被害にあって、LINEと楽天が損害賠償で潰れるだけだろ
アメリカとかEUで訴訟起こされたら酷いことになりそうだし

>>20
NFCのタグを作るよりQRコードを印刷するほうが
遥かに安いからな。
コストの問題。

>>4
この手段を初めから分かってたってお前天才かよ

マスコミって、やけに中国のQR決済を絶賛してるな。
日本には、電子マネー決済があるのに

>>30
すでにチャイナとか問題になってるからな

>>32
何十何百何千分の一の任意の割合で偽装サイトに飛ばすっていうQRコードが既に中国にあったのか？

>>1
金融庁ゴリ押しの国策フィンテックが有能て印象づけたいだろうと思う。
わざわざNHKがトップで流してるし。

そもそも中国のQR決済て単純に振込む行為の情報だけじゃなかったっけ？
日本のQR決済はわざわざ脆弱な手順仕組みを取り入れてるんじゃなかったっけ？

これ「ＱＲコード」に、偽の情報を仕込むことができるセキュリティ上の弱点なのか？？？？？

金融機関などにつながると偽装したＱＲコードが表示されていた場合って、そのサイトの脆弱性だろ
改ざんしたＱＲコードを正しいコードの上から貼り付ける手口ってのもQRコードの脆弱性じゃないだろ
国内でもインターネットに掲載したＱＲコードで、悪質なサイトに誘導してってのもQRコードの脆弱性と違うだろ

>>35
QR読み取りのエラー訂正を利用して一定の割合で目的とは違うサイトに飛ばすって話だぞ

>>31
普及しないと意味ないからな。

>100人に１人といった一定の割合で・・・誘導
こいうの、なかなか、気が付くの大変そーだなぁ

QRコード決済は、カメラのついたスマホなら実装できる汎用性が受けた
安いスマホしか持てなかった層でも使えるものだった
しかしもはやそんな層は中国にはいない
役割の終わった決済方法であることは明白

中国でもQRコードすり替えられて振込口座が変わってるとかあるらしいな

>>14
とってないだろ
乞食だってQRコードで振り込んでもらうんだから誰でも何でも作れる状態

SNSのプライバシーと同様に、多少の詐欺行為は目をつぶるのいい加減さで成立する決済方法

>>32
中国のヤツは振込先がＱＲになってて、振り込むだけだよ
相手は振り込まれたのを確認する、っていう単純なやつ

ただそれはポイントみたいなもんだから、不正があったら現金化
するときチェックされる、じゃなかったかな

>>33
この研究はトンデモで100%飛ばしたほうが威力高いから、どうでもいいって

QRコードで飛ぶ先のURLをいちいち確認しない奴はどうせ騙されるんだから

>>17
復号化、な。

読み取るのめんどくせーから廃止で

スマホ取り出し、カメラ起動して読み込ませる。下手すると現金より時間かかる。電子マネーなら、一瞬で終わるのに

>>47
中国じゃ現金が信用できないからな。
電子マネーはそれなりに設備投資費用がかかるし、スマホも
対応していないものも多いからな。

はあ？
QRコード改竄できるなら何でもできるだろ
って思ったけど1/100とかの確率で他のサイトに飛ばせるのか
まあ気を付けるに越したことはないな

>>1
なんで割合とか確率って言葉が出てくるんだ？
1パターンのQRコードからは必ず同じ情報が読める、ってもんじゃないのか？

QRコードはエラー訂正に乱数でも使ってるのか？
確率で偽サイトに誘導できるのはQRコードのセキュリティ上の弱点というより、エラー訂正の弱点だろ
QRコードのセキュリティ性が高いなんて誰も思わんわ

支那で、乞食すらQRコードでカネを恵んでもらってますってネタはヤラセだよね？ww

名刺にQRコード入れてる奴ｗｗ

あるURLのQRコードが欲しい時に、怪しい作成サイトで作っちゃダメってことか。

>>50
よく読め。
意図的に、まれに違う情報をだせることが明らかになったから問題なんだ。

>>20
日本でこんなに長い間普及に努めたのに、POS導入コストと、クレカや電子マネーの運やうコストが高すぎて、大手チェーンでしか使えないというのが問題の根本。
まあ、いくら安いとはいえ、スマホで直接現金振り込むのもどうかと思うが。

>>11
QRコードを開発したのは日本企業だぞ
20年以上前に開発したものなのに今になるまで脆弱性が見つからないぐらい良くできてるってことだと思うんだが

これヤバくね？
フィッシング詐欺やり放題やんけ

そうか、だからmetooは中国には絶対にいわないで日本に向けていってるのか。
ポリコレいってるやつらは人権とかいいながら、中国の弱者を人身御供にしてるのか。なるほど。

>>55
そこはトンデモ

おまわりさんこの人です → >>23

デンソー最低だな

QRコードの脆弱性と言うか、
飛んだ先のURLは常に疑えと言う事なんだけど
まあ一般ユーザーには敷居高いよな……

接続先の証明書の発行元を見ろと指摘しても、
何処を見たら正規かどうか判断付くのか分からないだろうし。

>>20
つーか、QR決済が普及した本質は決済手数料が格安だったことで、
日本でいくらマネしても手数料が高ければ普及しないよ。

>>63
SSLみたいに認証の仕組みを含んでいるものとは違って、あくまでもQRコードはアドレスの短縮形ってだけだからな
それ以上でもそれ以下でもない。なので、運用上どうするかといった話。

あと、敷居が高いは誤用な

>>23
この手口と本質は同じだなw

100分の1だとこのQRコードで決済した！
嘘つくなボケ！ほら決済できるだろが！
ってなるだろうな

>>6
特別なハードウェアは何もなくても使える

ある店舗が、店のQRコードを読み込ませて来店スタンプ割引やってるが、QRコードの写真写しとけば来店することなくスタンプがもらえるお間抜け仕様w

>>69
仕様は間抜けでもそれやったら犯罪ですよ

>>60
トンデモっていうソースある？

もう少し見やすい記事があった
https://news.yahoo.co.jp/byline/moriimasakatsu/20180624-00086884/

サンプルのQRコードは、見づらいが「lab」に飛ぶ場合と「lob」に飛ぶ場合で揺れる

>>50-51
>>72のリンク先見たら一部のセルを灰色にして白と読まれる場合と黒と読まれる場合で異なるURLに飛ばせるってことらしい

QRコード決済は使わないようにするわ

>>44
トンデモ扱いする根拠って何？


>>73
飛んだ後のURLを確認する前に読み込もうとするQRコードに灰色があったら危険ってことだな

>>75
> 飛んだ後のURLを確認する前に読み込もうとするQRコードに灰色があったら危険ってことだな
小さいQRコードなら気づくだろうけどでかいQRコードだとセルのサイズが小さいからなかなか気づけないと思う
ただ問題が起きたあとに調べられたらすぐわかるから>>67みたいなことにはならない

>>19
中国なら店員が偽造しそう

一定の割合で確実に踏ませることができる上に気づかれにくいって最高だな

狙う相手がたった一人なら、そりゃ長期間気が付かれないって事はあるかもしれないが
この手の詐欺って大勢の人に短期集中でやらないと、いずれ気が付かれたらおしまいだろ
QRコードを単純い完全に偽造するより「気づかれにくい」って点だけが特異なのだとしても、
そこをうまく利用する詐欺の手法が思い浮かばない

中国が使い始めると、どんなものでもこの通りwww

>>75
>トンデモ扱いする根拠って何？
>>44
>100%飛ばしたほうが威力高いから、どうでもいいって
>QRコードで飛ぶ先のURLをいちいち確認しない奴はどうせ騙されるんだから

>>81
何コイツ馬鹿なの？

>>79
すぐに気付かれるコードだと、ソフトで対策されるが、一定確率(読み取りソフトや光の加減で読み取り結果が異なる)で偽サイトに繋がるようなコードだと、再現性がとれなくて対策が困難ということらしい
偽サイトに繋がることが弱点なのではなく、一定確率で繋がるようなコードは、長期間対策されない可能性があるって感じ？

>>83
ドメイン名なんかいくらでも取れるのにソフトで対策って何いってんの？

こういうのは短期間にカモを大量捕獲して身元特定される前にさっさと逃げないと話にならんのに、長期間だらだら続けるとか逃げようがないじゃん

>>6
文化放送派だった

こんなこと今更だよな。
もう何年か前から中国で言われてた。
俺が去年から会社で言っても、聞いてもらえなかったわ。

もうウイルスQRコードみたいの出るんじゃないか？

QRマンセーはどこに行ったんだ？

1000円のもの買って、10000万落とされたら気付くだろ。1050円だったら気付かないかも。でも50円ポッチてそんなめんどいことするかな