情報処理推進機構（IPA）とVisa Japanは金曜、鉄道事業者とコンビニフランチャイズにQRコード決済パネルの点検を呼びかける共同アドバイザリを公表した。東京圏での当局確認で、正規の券売機デカールの上に重ねた偽ステッカーが少なくとも11台で見つかり、定期清掃で除去されるまでモバイルウォレット決済を不正加盟店口座へ誘導しようとした。

すり替えの手口

犯行者はVisaや国内ウォレットのブランドを模した高解像度ステッカーを印刷し、既存の固定QRプレートの上に貼った。通勤客が上層をスキャンすると、カード情報やウォレットログイントークンを求めるフィッシングページが開く。下層の機器は本物のままなので、取引エラー率が跳ねるまで素早い目視では見逃されがちだった。

IPAのインシデント担当は、ステッカーが屋外の駅空気に数日耐えるUV耐性ラミネートを使ったと述べた。清掃員には縁の段差を触る拡大カードを配布するようになった。

範囲と対応

JR東日本は東京・上野周辺の巡回を強化したが、確認作業中のため全被害機器の一覧は出さないとした。警察庁サイバー部門と調整中。公表された事実はアドバイザリに基づき、剥がれや周囲パネルと反射が違うステッカーは公衆に報告を求めた。

Visa Japanは不正フローに結びついた加盟店IDを停止し、影響のない券売集約事業者に認証鍵を再発行。ウォレット提供者は最近フラグされた駅のジオロケーションでコードをスキャンしたユーザーにアプリ内警告を送った。

加盟店向けガイダンス

IPA―Visaの通達は、改ざん防止シールの採用、画面対応機器ではステッカーではなくQRペイロードの動的ローテーション、パネルの夜間写真ログによる比較を事業者に求める。飲料機など同様の固定コードを持つコンビニは、週末の補充時に監査し、東京枢纽でクライマックスシリーズ観客が増える前に対応するよう促した。

決済サービス提供者は、非対面決済悪用に関する更新金融庁ガイドラインで72時間以内のインシデント報告が要る。

消費者保護の手順

旅行者は共有券売機の未知コードをスキャンするより、物理的な交通系ICのタップや公式鉄道アプリのチケットを優先すべき。スキャンがウォレット本来UI外でカード番号を求めるブラウザページを開いたら中止し駅員に知らせる。

消費者庁のホットラインは10月の苦情増加後、QRすり替えカテゴリを追加した。

広い潮流

日本のコード決済普及は現金処理を減らしたが、安価に差し替えられる平面を攻撃者に与えた。昨年大阪の駐車メーターでも同様の重ね貼りがあった。東京の密度はラッシュ時の発見を難しくする。

ヤマト運輸の別件データ漏えいが今週の見出しを占めたが、IPA関係者は物理ステッカーの改ざんは小規模グループにとまだサーバー侵入より安いと述べた。

事業者の月曜の動き

地方鉄道は月曜朝、国会再開と通勤客増加前に点検チェックリストを標準化するためIPA技術者との電話会議を予定。Visaは動的QR導入コストについてフランチャイズオーナー向けウェビナーを計画する。

今週末東京駅を通る乗客への実務的なルールは単純だ。コードが機械より新しく見えるならそこで支払わない—公式アプリか有人窓口を使う。