　米セキュリティ企業Cofenseは8月16日（現地時間）、主に米エネルギー大手企業を標的とする、QRコードを使った大規模なフィッシングキャンペーンを観測したと発表した。米Microsoftの資格情報を狙ったもので、5月ごろに始まったという。5月以降、キャンペーンは2400％以上増加したとしている。

　Cofenseは「大手エネルギー企業」の具体名は明かしていないが、1000件以上のフィッシングメールの29％がエネルギー企業宛という。その他、製造業、保険業、IT、金融サービスも標的となっている。同社は、QRコードによるこの規模の攻撃は初めてであり、攻撃手段としての有効性をテストしている可能性があるとみている。

　大まかな手口は、Microsoft 365アカウントの設定を更新する必要があるとするフィッシングメールに、スキャンするとアカウントを確認できるというQRコードの画像またはPDFファイルを添付するというもの。メールはアカウントを2、3日以内に確認しないと無効になってしまうという文言入りだ。

メールに添付されたQRコード例（画像：Cofense）

　「QRコードの操作方法には制限があるため、（フィッシングのための）一般的な選択肢ではなかった。ただし、メールに直接埋め込むフィッシングリンクに比べて、添付ファイル内のQRコードであれば受信箱に到達する可能性が非常に高くなる」とCofenseは説明する。

自治体ではどんなインシデントが発生しやすい？　総務省に聞く自治体セキュリティのトレンド
自治体の情報管理に厳しい目が向けられる近年。非IT系の人材が多くいる中で、特に機密性の高い情報を扱わなければいけない自治体が、インシデントの発生を防ぐには何が必要なのか。総務省に自治体で発生しやすいインシデントについて聞いた。
Cloudflare、WAFやDDoS攻撃対策を無料提供　中小企業向けにセキュリティ支援
米Cloudflareが、中小企業向けセキュリティ支援プログラムを日本やドイツなど5カ国で始めた。WAFやDDoS攻撃対策といったセキュリティサービスを無料提供する。
QRコードから偽サイトに誘導　「ETCに支払情報が変更」フィッシングメールに注意
ETC利用照会サービスをかたり、QRコードから偽サイトに誘導して個人情報を盗み取ろうとするフィッシングメールが出回っている。
そのQRコードは大丈夫？　詐欺目的の利用増加、キャッシュレス決済の普及を逆手に
米国でQRコードを使った詐欺の手口が相次いで報告されている。非接触のキャッシュレス決済での利用など便利な反面、軽い気持ちで読み取ってしまいがち。そこに付け込み、悪用するケースが増えているとして、米連邦捜査局（FBI）などが注意を呼び掛けた。