気を付けろ！QRコードに脆弱性？ その深刻さと騙されないための対策（森井昌克） - エキスパート - Yahoo!ニュース

電子決済や広告などに広く利用されている「ＱＲコード」に、偽の情報を仕込むことができるセキュリティ上の弱点があることが、神戸大学のグループの研究でわかりました。この弱点を悪用すると、利用者を一定の割合で不正なサイトに誘導することも可能で、グループではセキュリティー対策の強化が必要だとしています。 出典:ＱＲコードにセキュリティー上の弱点 不正サイトに誘導も【NHK NEWS WEB】 この記事およびNHKでの2018年6月23日（土）午後6時のニュース映像の通りなのですが、開発者本人から説明し、その深刻さとどのように悪用されるのか、さらにQRコードを利用している一般の人がとるべき対策について解説します。 【7月3日付記】上記のNHK記事はすでに消去されています。ここにもNHK記事の概要があります。 一言でいうと、まったく同一のQRコードで、AというURL（ウエッブサイト）に飛ぶ時もあれば、B

[megazalrock]

URLを確認させてとか無理だろ。見ないと死んだりする交通標識ですら見ないやついるんだぞ。

[ardarim]

出所が定かでないQRコードを不特定多数に利用させる運用自体が脆弱でしょ。産業分野とかでの限定された利用ならまだしも。/グレードットが白黒閾値上にあって且つエラー検出もパスする特殊な場合に見えるけどどうかな

[underd]

そういうことだったのね。しかしQRコードって画面の汚れとかカメラの汚れとかで別のとこに飛ばされないのかな。あるいはペンで書き足したら変なとこに繋がったりしないのかな

[kijtra]

ほお、対策なんてあるのか！と思ったら「URLを確認」て…。ないのと同じじゃん。

[nisatta]

…ひょっとしてグレーにした部分が白黒どちらに認識されるかで飛ぶところが変わるよという話？そうなら利用者が視認した段階でバレるんじゃないの。コスパすごく悪くないか（http://b.hatena.ne.jp/entry/366310882）

[tohokuaiki]

世間でよくあるQRコードメーカーのサイトとかは信用しない方が良いってことだよね。WEB制作してるとよくクライアントから「作って」と言われるけど、これは作製費貰って自前で作るようにしないとな。

[tossy_yukky]

一つのQRコードでABテストできちゃうな

[Fushihara]

トップブコメは馬鹿だな。QRコードスキャンする時にグレーがないか100人中100人が確認するか？最近はコードの中央にサービスのロゴがあるコードも珍しくないし、その中でどこまでが正常かを毎回確認する人何人居るんだ

[John_Kawanishi]

その手があるのかぁ…「見りゃわかるだろう」て手口でも引っかかる被害者が出てくるしなぁ

[karupanerura]

決済系でQRコード使っている奴とかどうするんだろうなぁ

[tohu-soy]

もとはこれ

[xrekkusu]

これの灰色部分を適当に弄って縮小したら色が変わりそうな感じにした

[MyPLB]

突然、悪性サイトに飛ばされるのです。多数の人に利用させることができれば効果はてきめんです。もし悪性サイトに飛ばされ、再度、チェックしても再現性はなく

[houyhnhm]

出来の悪いQRコードにありそうな話だが、そもそも野良QRコードを踏まない、てかQRコード使わねえ。

[gogatsu26]

“一言でいうと、まったく同一のQRコードで、AというURL（ウエッブサイト）に飛ぶ時もあれば、BというURLに飛ぶ時もあるという、いわば「気まぐれなQRコード」を開発したということです”

[FTTH]

トップコメは馬鹿だな、ってコメントするとトップにされる流れだな？

[georgew]

QRコードの最大の欠点は人間が理解できないことです > 自分もこの気持ち悪さは常々感じてたから決済に使うのはかなり勇気要る。

[stete]

低い確率で偽サイトへ誘導する仕組み。再現性が低いのでバレる確率も下がる。

[mfks17]

未知のURLはどうやって判断するのか？

[Lat]

毎回誘導されるならともかく滅多に発生しないのは厄介だな。ひょっとするとQRコードにもSSLサーバ証明書の認証局みたいなものが必要になるのか？

[a1ue0]

対策が人力でその都度確認って糞過ぎない？パブリックな空間で使われているQRコードは使用しないこと（本来の工場の部品管理くらいならいい）みたいな対策くらいやらないといけないでしょ。

[summer4an]

これが脆弱性ならそもそも上から張り替えられることのほうが脆弱性では？

[pmint]

"自動的にそのサイトを表示するものがあります。それは非常に危険です"…それはない。Webにもセキュリティがある。そもそも偽装サイトを正当なサイトにリダイレクトすれば隠せるので、半端な改ざんなど無意味。

[benridane111]

明度の認識の違いで振り分けているのかな。ということは夜中だけ読み取れるQRコードが作れるわけか。高度な都市伝説できるな。

[pechiyon]

の世の中には目視QRコード解析が出来る人もいるわけで、それはそれでマトリックスぽくて好き。実際、訓練すればできんくもない。

[kazyee]

手持ちのYahooのQRコードリーダーは10回やって10回NGの方に飛んだ。

[RPM]

"もし悪性サイトに飛ばされ、再度、チェックしても再現性はなく、今度は正常なサイトに飛ぶことに確認することができません。 "

[CLSmooth]

パラメータ積まれてたり、短縮URL使われてたら確認しても分からん

[monochrome_K2]

これはアクセスする前にURLを確認するしかないんだろうけどiPhone標準のカメラアプリの読み取り機能はサイト名しか表示されないのでパスが偽造されていても確認する手段がない。現状使わない方が良いと思う

[TakamiChie]

パソコン道場ではちゃんとその辺注意喚起しておかないとなあ。 まあ、QRコードを読むという概念がない人がほとんどではあるが…

[joint1]

QRのQは Quantum だったのか？そのQRコードには、シュレディンガーの猫のように二つの状態が同時に存在し読み取ると確定するという…。なーんつってな。

[itochan]

文書ハッシュの衝突みたいな話（1bitずれてるけど）　＞任意のURLで、任意の悪性サイトに誘導する技術

[Cald]

これって脆弱性じゃなくて仕様な気がしてるのだけど詳細どこに載ってるのだろう。エラー訂正関連かと思ってるのだけど違うのかな

[agrisearch]

限りなく透明に近いグレー。

[toaruR]

色のおかしなQRコードには悪意があるかもしれないって事か

[devorgachem]

なるほど、結果の不安定さの理由がなんとなくわかった。なるほどなぁ…