QRコードのエラー訂正技術を悪用し、指定した確率で別のデータを読み出せるようにするという脆弱性

NHKが、「QRコードにセキュリティー上の弱点 不正サイトに誘導も」と報じている。神戸大学の研究グループが、QRコードに偽の情報を仕込むことができることを実証したというもの。

この検証を行った神戸大学の森井昌克教授がYahoo!ニュースにて詳細を解説しているが、この問題はQRコードが備えるエラー訂正機能を利用することで、読み取り時に一定の確率で異なる結果が読み取られるようなQRコードを生成できるというもの。この確率はQRコードの生成時に指定できるそうだ。

これを悪用する例としては、たとえばURL情報を格納したQRコードに対し、一定の確率で不正なサイトのURLが読み取られるよう細工をすることで問題の発覚を遅らせたり検証を難しくする、といったものが考えられるという。

また、対策としてはQRコードで読み取ったURLを信用せず、必ずその内容を確認することを提案している。