日本フィンテック協会は月曜、屋外祭り屋台でのQRコード決済スキミングについて全国警報を出し、犯行者が正規の加盟店コードの上に偽のPayPayコードを重ね、体育の日の人込みでスタッフがすべてのポスターを見られないときにモバイルウォレット送金を盗む手口を説明した。

手口の仕組み

協会公報は関東・関西でラミネートQRシートが正規の加盟店コードの上に糊付けされた事例を記録。客が最上層を読み取ると加盟店が売上欠損に気づく前にマネーロンダリング口座へ送金。送金は即時決済のため、発行体が加盟店不一致パターンをフラグしない限り取り消し窓は狭い。

PayPayの公開セキュリティガイダンスは確認画面の受取人名を確かめ、屋台ブランディングのない紙に印刷されたコードを避けるよう促す。フィンテック協会は屋台主が改ざん防止シール付きの硬いスタンドを使い、プラットフォームが許すなら固定コードを動的加盟店IDへローテーションすべきと付言する。

祭りが脆弱な理由

体育の日週末は季節業でバックオフィスが薄い屋台が集まる。パンデミック後キャッシュレスが増え、観光客はラーメンやたい焼きカートでもQRを期待。人足、音楽、煙が目視検査を難しく—スキマーが突く環境だ。

警察庁のサイバー犯罪概要は今年モバイル決済詐欺件数の増加をすでに記録；祭り上貼りは一部だがテレビ向きで消費者番組を起動しうる。埼玉・大阪の地方警察は口座番号を塗りつぶした偽コード写真を掲示した。

プラットフォームと発行体の対応

PayPayと競合ウォレットは登録事業者の加盟店確認を行うが、仮設屋台は遅れて登録したり個人口座で登録したりする。フィンテック協会は取得者が自治体祭り許可に結びつくイベント許可の審査を速めるよう要請。消費者庁ヘルプラインはQR争議用スクリプトを追加したが、結果はユーザーが名前不一致警告を無視したかによる。

発行体はパターン検知後マネー口座をブロックできるが、金はすでに先へ動いた。協会会員は失効屋台のハッシュ化加盟店ID共有に合意—先月プライバシー弁護士がクリアした限定的なデータ共有だ。

客の実践ステップ

加盟店に受取人名を声に出して言わせ、アプリ内店舗検索で未知の紙を読まず、金額がおかしければスクショを残す。5秒の名前確認が1週間のチャージバック書類に勝る。

屋台側は朝の設営でラミネート角を爪で確認し、見知らぬ人が看板を「調整」するのを見張る研修を。体育の日の売上は数時間に集中；10件欠損でも零細ベンダーには痛い。

見通し

警報はモバイル決済を非難しない—屋外QRをATMスキミングのように見える・物理的・習慣で破るようエコシステムに求める。上貼りが続けば来夏自治体が公式祭りマップに登録動的コードを要求しうる。それまでフィンテック協会の警告はかき氷を買う前に実際に読む休日チェック項目だ。

加盟店教育の推進

協会スタッフは今週埼玉・兵庫の祭り事務所でブース時間を回し、重ね目を見つけるラミネートガイドを配布。PayPayボランティアはタブレットで動的コードモードを実演し、高齢の屋台主が紙メニューを書き直さず切り替えられるようにする。

零細事業のサイバー詐欺をカバーする保険は依然稀；フィンテック協会は損保にQR改ざん補償をイベント責任保険にバンドルするよう働きかけ—今週末には助けないが来年の体育の日までには効きうる長い取り組みだ。

法執行連携

県サイバー部隊は祭りが屋台許可番号を事前提出すれば2時間以内に報告されたマネー口座を凍結するようウォレット提供者に要請。その連携は千葉の7月事例で応答時間を短縮したと協会が月曜会員に回した事例研究による。

間違った受取人に払ったと気づいた客は会場を出る前にウォレット領収書をスクショし発行体に電話—GPSタイムスタンプがどの上貼りがいつ有効だったか捜査官の地図を助ける。

長期の修正

数分ごとに更新する動的QRは上貼りが難しいが、屋台で安定インターネットを要する。協会は静岡試験で祭り主催者に貸すバッテリー付きルーターを試験中；11月の文化週後に結果が届く。