QR コードでログインする方式と、フィッシングへの強さ

QR コードでログインする方式では、パソコンの画面に出た QR コードを、スマホのアプリで読み取ります。そのアプリには、すでに本人がログインしています。スマホ側で承認すると、パソコンがログインします。パスワードを打たないので入力を盗む手口には強く、承認の操作を人が行うので、承認をだまし取る手口には弱さが残ります。

QR コードでログインする方式とは何か

LINE の公式ヘルプは、パソコン版 LINE のログイン方法を 3 つ挙げています。QR コードの読み取り、生体認証、メールアドレスとパスワードの入力です。QR コードの手順はこうです。パソコン版 LINE を開き、メインの端末(スマホ)の LINE で QR コードリーダーを起動します。パソコンに表示された QR コードを読み取り、スマホの LINE で[ログイン]をタップします。初回のログインで認証番号が表示される場合もあります。パソコンの画面の番号をスマホの LINE に入力して[本人確認]をタップします。Steam(ゲームの配信サービス)の公式サイトも、スマホのアプリの働きを挙げています。QR コードを読み取ってサインインすること、サインインをワンタッチで確認すること、スマホをパスワードの代わりに使うことです。

サービスが違っても、手順は 4 つの段階に分かれます。

1. パソコンが、ログイン画面に QR コードを表示します。
2. ログイン済みのスマホのアプリで、その QR コードを読み取ります。
3. スマホで承認します。サービスによっては、パソコンに照合用の番号が出るので、それをスマホに入力します。
4. パソコンがログインした状態になり、スマホ側ではログイン中の端末の一覧に加わります。

なぜスマホで承認すればログインになるのか

スマホのアプリは、すでに本人のアカウントでログインしています。パソコンに表示された QR コードは、「このパソコンをログインさせてよいか」という一回限りの問い合わせです。それを本人のスマホが読み取って承認した事実が、本人確認の代わりになります。使っているのは、多要素認証でいう「持っているもの」(本人のスマホ)です。米国 NIST(国立標準技術研究所)の SP 800-63B は、パソコンとは別の経路(スマホなど)で本人を確かめる方式を扱っています。パソコンとスマホの間で秘密の情報を受け渡す方法の一つに、QR コードを挙げています。

何に強いか

パスワードをパソコンで打たないことが、この方式の強さです。偽サイトにパスワードを入力させる手口、キーボードの入力を盗むプログラム、ブラウザーに残ったパスワードの持ち出しがあります。いずれも、パソコン側でパスワードが打たれるか保存されることを前提にしています。QR コードでログインすれば、パソコン側にパスワードは現れません。共用のパソコンや私物のパソコンでも、その端末にパスワードを覚えさせずに済みます。

何に弱いか

弱さは、承認の操作を人が行う点にあります。攻撃者が本物のサービスのログイン画面を開き、QR コードを表示させます。それを偽サイトやメッセージに載せて利用者に読み取らせます。利用者が承認した時点でログインするのは、攻撃者のパソコンです。NIST SP 800-63B は、別の経路で本人を確かめる方式のうち、ある形をもはや受け入れられないとしています。両方の画面に出た秘密を人が見比べ、承認だけを行う形です。利用者が見比べないまま承認する可能性が高まるためです。承認の要求を大量に送りつけ、うるさくなった利用者が一つを承認するのを待つ攻撃(認証疲れ)が観察されていると書いています。

IPA の「情報セキュリティ 10 大脅威 2026 個人編ハンドブック」は、看板やチラシ、郵送物の QR コードを取り上げています。その中に、偽サイトへアクセスさせる有害なものが確認されています。QR コードのリンク先は、読み取る前に目で確かめられません。IPA が扱っているのは、読み取り先が偽サイトである手口です。ログイン用の QR コードを承認させる手口そのものは書かれていません。ただし、読み取る前に中身を目で確かめられないという性質は、ログイン用の QR コードでも同じです。

承認したパソコンは、そのあともログインしたまま残ります。サービスによっては、その端末を一覧で確認して外せます。

LINE の公式ヘルプは、ログインしている端末の確かめ方を説明しています。メインの端末の[設定]>[アカウント]>[ログイン中の端末]で、端末名とログインからの経過時間が分かります。不要な端末は[ログアウト]で外せます。同じ[アカウント]の設定に、サブ端末からの[ログイン許可]をオンまたはオフにする項目もあります。

パスキーとどう違うか

NIST SP 800-63B は、「フィッシング耐性」を定義しています。利用者の注意深さに頼らずに、偽の相手に秘密や本人確認の結果を渡さない仕組みの性質です。使い捨てのコードのように、人が出力を打ち込む方式には、フィッシング耐性があるとみなしてはならないとしています。QR コードのログインでは、承認するかどうかを人が判断します。この定義は利用者の注意深さに頼らないことを求めているので、QR コードのログインは「フィッシング耐性あり」には入らないと読めます。パスキーは、鍵が作ったサイト専用で偽サイトでは働かないため、人の判断に頼りません。サービスがパスキーに対応していれば、偽サイトへの強さではパスキーのほうが上です。

会社で使うときに確かめること

確かめる点は、決め方の一例として次の 5 つです。承認の画面に、どの端末からの要求かが表示されるか。初回に番号を見比べる手順があるか。ログイン中の端末を一覧で見て外せるか。自分で表示させていない QR コードは承認しないという決まりを、担当者に伝えているか。ログインの通知が続けて届いたときに、担当者が知らせる先を決めているか。NIST は、承認の通知を送る側に、通知の頻度や回数に妥当な上限を設けることを勧めています。