そのQRコード生成サービス、本当に安全ですか？

トレンドマイクロが実際に検証した内容を確認する

トレンドマイクロは2025年11月13日にGoogleとBingで「QRコード 生成」を検索し、検索結果に表示された生成サービスを検証しました。その8日後の2025年11月21日に再検証したところ、2つのサービスで目的のサイトに直接到達しない状態になっていました。一方は広告のような中間ページ、もう一方は再アクティブ化・支払いを促す画面です。アドバイザリでは、この検証結果と悪意あるリダイレクト・物理改ざんの別事例を分けて整理しています。

「動的人質化」というビジネスモデルを理解する

「無料」サービスの多くは、実際には動的コードを発行しています。つまり印刷されるドットパターンには、あなたの本当のURLではなく、サービス側の短縮URLリダイレクタが埋め込まれています。そのサービスが停止・有料化・運営者変更・ドメイン差し押さえなどを受けると、これまでに発行された全パターンが静かに別の場所へリダイレクトされます。DNSもリダイレクトテーブルもTLS証明書も法人も、あなたの管理下にはありません。マーケティング文言で「静的」と謳っているサービスでも同じ罠があり得ます。必ず出力を自分でデコードして確認してください。

2つの具体的な攻撃パターンを知る

トレンドマイクロのアドバイザリと国内インシデントの一次情報を見ると、少なくとも2種類の独立した失敗モードが見えます。それぞれ別のリスクベクトルなので、単層の防御では不十分です:

• ●リダイレクト依存: 印刷済みコードがURL短縮サービスやQRベンダーのドメインを指し、後からリンク先が管理外で変わる。
• ●物理改ざん: 攻撃者が現実世界の印刷物の上や近くにQRシールを貼り付ける。

印刷前の1分安全監査を実行する

紙・パッケージ・サイネージに焼き付ける前に、この短いチェックリストを必ず通してください。各項目は数秒で終わりますが、構造的に危険なベンダーの圧倒的多数はここで弾けます:

• ●生のスキャナで出力をデコードし、第三者リダイレクタではなくあなたのURLを直接エンコードしていることを確認する。
• ●過去12か月の「ベンダー名＋shutdown」「ベンダー名＋expired」をGoogleとRedditで検索する。実例はすぐに出てくる。
• ●ベンダードメインのWHOISで、作成日・登録者国・有効期限を確認する。2年未満は高リスク、6か月以内に失効するものは赤旗。
• ●検証可能な法人情報を探す: 登記上の法人名、所在地、電話番号、日本の場合はインボイス登録番号（適格請求書発行事業者登録番号）。
• ●利用規約で「当社は〜を無効化することがある」「提供を中止することがある」「一時停止することがある」の正確な文言を読む。継続性へのコミットメントが書面にない事自体が一つの情報。

ブラウザ完結型の静的エンコーダを優先する

静的エンコードはURLそのものをドットパターンに直接埋め込みます。スキャン経路に第三者リダイレクタは介在せず、有効期限も人質リスクもありません。あなた自身のドメインが生きている限り、コードは永遠に動きます。QRMintはJavaScriptとCanvas APIを使って、エンコード処理を完全にブラウザ内で実行します。ペイロードに関するどんな情報もqrmint.appに送信されません。万が一qrmint.appが明日消えても、今日ダウンロードしたパターンはエンコードしたURLに永続的に解決し続けます。我々のサーバーへの依存はゼロです。

動的コードが本当に必要な場合はカウンターパーティリスクを下げる

動的コードはABテスト・分析・印刷後のURL差し替えなど正当な用途があります。必要な場合は下記のすべてを満たす事業者を選んでください。目的は、インフラのできるだけ多くの部分を自社のブラスト半径の内側に引き寄せることです:

• ●長い運用実績（複数年のドメイン登録、検証可能な法人設立年数）。
• ●透明性のある法人情報: 公開された所在地・電話・インボイス登録番号。
• ●広告依存ではない有料ビジネスモデル。稼働率とインセンティブが揃う。
• ●全コードを自社ドメイン下で短期間に再発行できるエクスポート経路。
• ●書面化されたデータ保持・インシデント対応・停止時移行ポリシー（ローカル保存可能なもの）。
• ●ベンダー自社ドメイン上のネイティブリダイレクト。チェーン中に第三者の短縮URLを挟まないこと。