QRコード乗っ取り短縮URL対策

前回の「短縮URLの乗っ取り」に関連してQRコード。
自分で短縮URLを使う場合は、記事の通りの内容で大丈夫でしょう。

でも「いなげや」などはQRコードのURLが改ざんされていたわけです。
たぶんですが、QRコードを作成時に短縮URLに変換されたはずです。

そこで今後は読み取る人も注意する人がふえると思われるので、対策を考えてみました。

全然関係ないけど、寂しいので生成Aでイラストをいれておきますｗ

URLが長いと短縮された

QRコード生成サービスによるのでしょう。
私がいつも使っているところでは短縮URLになっていました。

これでは乗っ取りのリスクもある。
今後、QRコード注意として不明なURLはアクセスしない。
というのが広まると考えられますよね。

ただURLパラメータをつけて１００文字以上だったので、URLとパラメータを短くしてみました。
すると、短縮URLではなく直接ドメインへリンクしてくれました。

これでQRコードによる短縮URL対策はOK。
あとは、QRコードを読み取る人に対しての不信対策ですね。
※QRコードってあぶないらしいよ、という噂がでるかと

たぶんQRコードを読み込んだら、表示されているドメインを確認しましょう。
なんてのが一般的になると思うんですね。

その時に、何を確認すればいいのかわからない。
なのでQRコードの下に、ドメインを表示しておく。

そしてQRコードを読み込んだら、ドメインが同じかどうかをチェックする。
これが読み取り側ができる対策になると思うんですね。

乗っ取り対策をしたQRコードのサンプル

このようにに、短縮URLはつかわない。
QRコードと一緒にドメインも表示しておく。

人の行動としてはこのようになりますね。

• 案内を見た
• 興味をもった
• QRを読み込んだ
• 表示のドメインを確認した
• クリック

もっとも、これでも全体をシールで作られたら破られますが、シールは読まないとなれば安全は確保できます。
そういう意味では、WEBは作る側も使う側も、どんどん知識をアップデートしていかないとですね。

ということで、QRコードがURLが長いと短縮URLになってしまう。
その対策として、URLは短く。不信の払拭のために印刷物にドメイン名を印刷がおすすめです。

短縮URLの乗っ取り被害を安全に避ける方法

いなげや、オートバックス、学習院大学などが短縮URL乗っ取り被害。
ホームページのURLが長いので、短縮URLを利用している人もいるはず。

でもWEB担当者ならば、できるだけ避けたいところです。
被害の実例から対策方法を考えみた。

短縮URLなんて、利用者としてはどうしようもない。
変なページならすぐに閉じちゃうとかでしょうか。

QRコードならば、怪しいドメインをチェック。
といっても怪しさなんてわからないんですよね。

なので短縮URLを提供する側が、しっかりと対策をする。
それができなければ、怪しいままという判断がされるでしょう。

短縮URLの乗っ取り実例

被害の実例を探してみると、特別な事例ではありません。
メジャーな企業なんかでも普通に作成し、普通に掲示や配布をされています。

これを消費者側がチェックするのは難しいでしょうね。

オートバックスのチラシ

これ、「短縮URL」と検索１位だったサービスで改ざんされたとなれば、検索すら信用できませんよねぇ。

「オートバックスのチラシにあるQRコードをスキャンしたらフィッシングサイトに飛ばされた」という報道について、資料をいただいたので簡単に調査しました。今回、問題があったQRコードはURL Redirection Service (いわゆる短縮URL)を利用したものでした。

学習院大学の配布物

【重要】「大学案内2024」掲載二次元コードの不正リンクについて 2023年10月30日 学習院大学 https://univ.gakushuin.ac.jp/news/29309.html

いなげや・店頭ポスター＆チラシ

『ポスター･チラシからQRコードで入会サイトにアクセスした際、予期せぬ不正サイトに誘導する広告が表示されることがあり、クレジットカード情報が抜き取られる被害が発生』 2023年11月9日 株式会社いなげや ネットスーパー入会案内における注意のお知らせ [PDF] https://inageya.co.jp/files/pdf/231109.pdf…

ほか

しくみとして同じなので、ジャンルも企業も関係なく被害にあう恐れがあります。

【ご注意】短縮urlサービスur0[.]bizで始まるアドレスへのアクセスが、現在全く関係ないアプリのインストールを促すサイトに転送される挙動になっています。ご注意ください。

CoinHive URL Shortenerが悪用され、 #Hackedサイトhttp://feedproxy.google.com/~r/TheHackersNews/~3/_mtd78JErIo/coinhive-shortlink-crypto-mining.html… #TheHackerNewsを使用して暗号通貨を秘密裏にマイニング

「短縮URL 乗っ取り」などで検索すると、いろいろでてきますよ。

短縮URL乗っ取りのしくみ

基本的に短縮URLは、あるページから別のページに転送します。
短縮ですから、短いURLを作り、元の長いURLへ転送します。

乗っ取ることで、転送設定した元の長いURLとは違うページ（フィッシング詐欺など）を表示させることができます。

乗っ取りと言っても、原因は複数考えられます。

• アカウントの乗っ取りなどで乗っ取られた
• 最初から悪用目的でサービス提供
• ドメインの更新をせず悪人が利用した

WEB担当者としての対策

被害状況、短縮URLの仕組みを踏まえると、WEB担当者としては対策が考えられます。

URLは短くする

SEOの基本でもありますが、日本語なんかは絶対にやめましょうね。
重要な単語で構成するのがよいでしょう。

このページは、「短縮URLのリスクと対策」を英語化し、「Risks-countermeasures-shortened-URL」としました。もっと短くてもいいですが、内容も入れたいのでこんな感じで。

そもそもURLが長すぎるから短縮URLを使います。
だったらできるだけ短くするのは、現実的な対応です。

自分で転送設定を行う

３０１転送

そうは言っても、いまからURLを変えられないよ。なんて場合。

自分のサイトで短縮URLと同じように、転送をかける。
ちょうど先日の３０１リダイレクトの内容そのものです。

ページのURLを変更したら３０１リダイレクト

ページのURLを変更したら３０１リダイレクトページのURLを変更したら３０１リダイレクト設定を忘れずに。リンクされていたらリンクは無効に。検索に出ていたら、検索順位も水の泡。せっかくの検索評価を失わないようにしましょう。ワードプレスなんかは...

blog-homepage.net

自分のサイト内に、転送用のフォルダでも作る。
そして短いURLのファイルから、長いURLのページへ転送します。

「～.com/aaa.html」 転送→ 「～.com/aaaaaaaaaaaa.html」
「～.com/aaa/」 転送→ 「～.com/aaaaaaaaaaaa/」

ワードプレス

ワードプレスであれば、テーマによって標準機能で転送ができます。
短いURLのページをつくり、そのページから「リダイレクト先」※URLの長いページ
という設定で短縮URLと同じ働きができます。

または、「短縮URLプラグイン」の導入で設定ができます。

短縮URLツール

URLを短縮する機会が多い場合は、専用ツールで対応するのが良いでしょう。
アフィリエイトではおなじみの「短縮URLツール」を自分のサイトに設置するだけ。

数千円程度ですから、短縮URL乗っ取りのリスクを考えれば安いものです。

とくにWEB担当者なら「知らなかった」では済まされない話です。
しっかりと短縮URLでもリスク対策をしましょう。

短縮URLって、URLアドレスを短くできます。
でもアフィリエイトの場合、別の意味の方が大きかったりします。

それは、
一括で多ページの広告を一括で貼り替えることができる。

長いURLから、短いURLへ転送しています。
このしくみをそのまま使って、転送する広告を変更するわけですね。

無料ブログをいっぱい作ったりした場合、いちいちログインしてテンプレから変更するのは面倒。

短縮URLだと、千でも万でも1発で変更できるわけですね。

IFRAMEに近いですが、リンクの方がシンプルですね。