【実録】EC詐欺は死んだ。直近1週間の解析から分かった！今、あなたの残高を直接奪う「QRコードの罠」の恐怖

直近1週間でHeartland-Labに着信した1,400通の検体をブランド別に全件ソートした結果、詐欺勢力の「稼ぎ頭」が完全に交代したことが浮き彫りとなりました。

■ 統計的考察：
かつて猛威を振るったECサイト系（Amazon等）や証券会社を騙る「ログイン情報窃取型」は、今回の母数において激減しています。代わりに、日本国内の決済インフラとして定着したPayPayを窓口とし、個人送金機能を悪用して直接金銭を奪取する「即時換金型」が全体の約半数を占めるに至りました。これは、攻撃側の収益化モデルが「情報の転売」から「直接的な強奪」へシフトしたことを意味します。

1,400通という膨大なサンプルの中で、URLリンクを含まないQRコード直接埋め込み型のメールが、従来のリンク誘導型を圧倒しました。

■ 技術的論理と攻撃者の意図：

• セキュリティプロトコルの無効化: 既存のメールサーバーが備えるURLスキャン機能を、画像データであるQRコードで物理的にバイパスします。
• モバイル環境への標的強制: PCでメールを開かせ、あえて「QRコードを読み取らせる」というワンステップを挟むことで、セキュリティ警告が出にくいモバイルブラウザ環境へユーザーを追い込みます。
• 個人送金URLの悪用: QRコードのリンク先はPayPayの正規送金機能を装ったフィッシングサイト、あるいは直接的な送金リンクとなっており、被害者が気づいた時には既に送金が完了しているという「時短詐欺」が常態化しています。

今回のバルク解析により、特定のドメインを狙い撃ちする「組織的攻撃」の構造的特徴が明らかになりました。

今回の1,400通の検証を経て、我々は以下の防御策を推奨します。