まず自分が3つの状態のどれにいるかを確認する
予期していなかった荷物に付いているQRコード、つまり身に覚えのない差出人、「返品」や「再配達」と書かれたラベル、住所確認を求めるメモなどは、あなたが求めていないリンクです。ここで役立つ問いは「この荷物は本物か？」ではなく、「このコードはどこまで自分のアカウントに入り込んだか？」です。
何よりも先に、次の表で自分の状態を確認してください。
| 状態 | 起きたこと | 最初にすべきこと |
|---|---|---|
| A. 未開封 | 荷物やラベルは手元にあるが、コードはまだ読み取っていない | 「何か確認しよう」と読み取らない。梱包を保管し、差出人の記載、日付、配送業者の表示を記録する |
| B. 読み取っただけ | コードでページやアプリのプロンプトが開いたが、パスワード、コード、カード番号は入力していない | ページを閉じる。何も入力しない。ページが名乗っていたアカウントを、公式アプリか既に持っているブックマークから確認する |
| C. 認証情報を入力した | 読み取った後にパスワード、ワンタイムコード、カード番号などのログイン情報を入力した | アカウントが露出したものとして扱い、以下の復旧手順に進む |
予備の端末であっても、試しにコードを読み取らないでください。読み取りこそがページを読み込む行為そのものです。
状態A：コードをまだ読み取っていない
自分を守るために差出人を特定する必要はありません。必要なのは、印刷された経路を使わないことです。
- コードを読み取らず、その横に印刷された短縮リンクも開かない。
- 梱包とラベルを保管する。 ラベル、差出人の行、追跡番号があれば写真に撮ります。これは自分の記録のためであり、差出人が正当である証拠ではありません。
- 実際に注文した配送かどうかを確認する。 ラベルにある電話番号やリンクではなく、配送業者や小売店のアプリ、または自分でアクセスしたサイトを使います。
- 荷物が本当に予期しないもので、注文と一致しない場合は、求めていないものとして扱う。 それをどう扱えるかは住んでいる地域によって異なります。この記事はどの国の法律についても助言するものではありません。
- 必要なら報告する。 米国ではFTCが詐欺的なテキストや荷物に関する消費者向けガイダンスを公開しています。報告の経路は国によって異なるため、米国の手続きが当てはまると決めつけず、地元の消費者保護機関を利用してください。
注文と一致しない荷物が届いたからといって、それが自動的に犯罪というわけではなく、QRコードが自動的に悪意あるものというわけでもありません。要点は、ラベルだけでは判断できないということなので、知るためにリスクを取る必要はありません。
FTCは、身に覚えのない荷物のQRコードが、ログイン情報や支払い情報を盗むフィッシングサイトやマルウェアにつながる可能性があると警告しています。出典
状態B：読み取ったが、何も入力していない
コードでページが開いたものの、何かを入力する前に止めた場合、主な仕事は自分が管理する経路から本当のアカウント状態を確認することです。
- ページやアプリのプロンプトを閉じる。 コードが開いたページで「キャンセルするためにログイン」したり「配送を確認」したりしないでください。
- サービスの公式アプリを開くか、新しいブラウザタブで自分でアドレスを入力する。 読み取りで得たリンクを再利用しないでください。
- 名乗られた出来事が実在するか確認する。 荷物が保留されているとページに書かれていたなら、配送業者や小売店の自分のアカウント領域で同じ通知を探します。何もなければ、そのページは本物の通知ではありませんでした。
- ページが提供するものをインストールしない。 荷物のQRコードからのアプリインストールの促しは、確認できる配送の要件ではありません。
- ページが何を求めていたかを書き留める — パスワード、カード番号、ワンタイムコード、配送料など — 報告する場合に正確に説明できるようにします。
読み取っただけでは、アカウントにアクセスされた証拠にはなりません。この状態でのリスクは次に何をするかにあるので、安全な次の行動は印刷された経路を使うのをやめることです。
状態C：認証情報を入力してしまった
これが行動を要する状態で、順序が重要です。
そのようなコードを読み取った後にアカウントの認証情報を入力した場合、FTCはパスワードの変更と二要素認証の有効化を勧めています。出典
アカウント自身のアプリか、自分でアクセスしたページを使い、次の手順を順番に進めてください。
- 公式アプリまたはサイトからパスワードを変更する。コードが開いたページからは行わないでください。
- 二要素認証がまだ有効でなければオンにする。 アカウントが対応しているなら、SMSより認証アプリやハードウェアキーを優先してください。
- 同じパスワードを使い回しているすべての場所で変更する。 フィッシングページに入力したパスワードは、他人が知っているものとして扱うべきです。
- カードや銀行の詳細を入力した場合は、カードに記載の番号か公式アプリを使ってカード発行会社や銀行に連絡する。 荷物や読み取ったページにある番号やリンクは使わないでください。この記事は支払いを取り戻せることを約束するものではありません。
- 終えるまで復旧手段へのアクセスを保つ。 パスワード変更と二要素認証の設定が機能することを確認する前に、メール、電話番号、復旧コードを削除しないでください。自分でロックアウトしてしまう可能性があります。
- 公式アプリで最近のアカウント活動を確認する：サインインした場所、接続されたアプリ、転送ルール、支払い方法。心当たりのないものは元に戻してください。
ログイン接続を削除したりプロフィールを編集したりすることは、保存されたデータを削除することとは同じではありません。アカウントを完全に閉鎖する場合は、提供元自身の閉鎖手順に従い、閉鎖が確認されるまで有効な復旧手段を保ってください。
印刷されたコードではなく、既知のアカウント経路を使う
荷物のラベルにはどんな住所、電話番号、QRコードでも印刷できます。それは宛先の所有者を証明できません。アカウントに関する判断、つまりパスワードのリセット、配送の確認、支払い、返金などは、すでに信頼している経路から始めてください。
| 作業 | 信頼できる出発点 |
|---|---|
| 配送の確認 | 配送業者や小売店のアプリ、または自分で入力したアドレス |
| パスワードのリセット | サービスの公式アプリやサイト、またはその文書化されたアカウント復旧フロー |
| 支払いの確認 | 銀行やカード発行会社のアプリ、またはカードに記載の番号 |
| 不審なメッセージの報告 | 地元の消費者保護機関。米国ではFTCの公開ガイダンス |
メッセージがサポートアカウントを名乗り、会話をチャットアプリに移すよう求めたり、ログインして「確認」するよう求めたりする場合も同じルールです。サービス自身のアプリで確認してください。この別の状況については、偽のカスタマーサポートSNSアカウントの確認をご覧ください。
公開ユーザー名の一致は手がかりであり、所有者の証明ではありません。自分に連絡してきたハンドルの背後に誰がいるかを特定しようとしている場合、TraceSeekのようなユーザー名検索は、そのハンドルが3,000+のプラットフォームのどこに現れるかを示せますが、アカウント設定を変更したり、復旧コードを発行したり、お金を取り戻したり、実在の身元を確認したりするものではありません。
結論としてはいけないこと
- QRコードを読み取れば必ずマルウェアがインストールされるわけではない。 FTCはフィッシングとマルウェアを起こりうる結果として挙げていますが、すべての読み取りがそうなると述べているわけではありません。
- 読み取ったページが本物に見えたからといって、本物だった証拠にはならない。 名乗られた出来事はサービス自身のアプリ内で確認してください。
- 注文と一致しない荷物は差出人を特定しない。 ラベルの名前や返送先住所を確認済みとして扱わないでください。
- 求めていない商品に関するルールは国によって異なる。 この記事はどの国のルールも他の市場に拡張するものではありません。
- パスワードの変更は復旧の保証ではない。 露出は減りますが、アカウントや支払いが回復するかどうかは提供元によります。
コピーして使える短いワークシート
後で思い出す手間を省くため、行動する前にこれを埋めてください。
- 状態：A / B / C
- 読み取りの日時（あれば）：
- ページやプロンプトが名乗っていたもの（配送業者、小売店、銀行、その他）：
- 求められたもの（パスワード / ワンタイムコード / カード番号 / 手数料 / アプリのインストール）：
- 入力したもの（あれば）：
- 影響を受けたアカウント：
- パスワード変更：はい / いいえ — 公式アプリまたはサイトから：はい / いいえ
- 二要素認証の有効化：はい / いいえ
- 復旧手段にまだアクセスできる：はい / いいえ
- カード発行会社への連絡（カード詳細を入力した場合）：はい / いいえ
- 報告先（地元の機関、配送業者、小売店）：
終わったら、役立つ次の行動は、影響を受けた各アカウントをそのアカウント自身のアプリから確認することです。パスワードが変更され、二要素認証がオンになり、復旧手段が機能し、心当たりのないセッションや接続アプリがないことを確認してください。