Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

QRコード生成サイトの利用に注意 - 思わぬ動作でトラブルに

オートバックスセブンにおいても、会員制度のリニューアルを知らせるダイレクトメールに掲載した1件の「QRコード」において同様のトラブルが発生した。

同社は、「QRコード」のアクセス先について本来想定していない広告ページが経由される状態となっていたと説明。同社サイトのリンクも表示されるが、同時に無関係の広告が表示される状態だった。広告の内容はアクセスごとに変化するため、すべてを把握できていないが、広告であるか非常にわかりにくいものも存在し、誘導先でクレジットカード番号の入力が求められるケースも確認した。

同社ではダイレクトメールを10月に発送しており、発送から1カ月ほど問い合わせなどはなかったという。しかし11月に入ってから顧客から問い合わせがあり問題が発覚。同社サイトにおいて問題の「QRコード」を利用しないよう注意喚起を行った。金銭的な被害の報告などは寄せられていない。

両社いずれも「QRコード」の生成にあたり同じサービスを利用していた。配布前に動作を確認したと説明しており、その際は本来意図する誘導先のウェブサイトが表示されたと口を揃える。誘導にあたって第三者のサイトが経由される状態となっていることを認識していなかった。

また「QRコード」の不備に関しては、学習院大学が配布した2024年度の大学案内においても、本来の意図とは異なるサイトへ誘導されるケースが発生している。本誌では同大にも取材したが、問題の「QRコード」が生成、掲載された経緯についてはコメントを得られなかった。

20231121_qr_002.jpg
オートバックスセブンによる注意喚起。「QRコード」を読み込まないよう求めている

(Security NEXT - 2023/11/21 ) このエントリーをはてなブックマークに追加

PR

関連記事

Fortinetの「FortiOS」に複数脆弱性 - 重要度は「中」
中学校生徒の個人情報含む修学旅行のしおりを紛失 - 仙台市
子育て支援センターの登録者カードが所在不明 - 新潟市
案内メール誤送信で会員のメアド流出 - 生活クラブ生協
「MS Edge」がゼロデイ脆弱性を解消 - 前版ベースに急遽対応
「Dropbox Sign」の侵害、登録セキスペ向け演習の受講者にも影響
外部アプリより利用する「OpenSSL」の一部関数にDoS脆弱性
ゲームイベントサイトに攻撃、出展者の掲載画像が消失
アンティーク雑貨通販サイトに不正アクセス - ジョイフル本田
ランサムウェア「Black Basta」に注意 - 500超の組織で被害、医療機関も