#898 東武百貨店が薩摩酒造「薩摩BLACK」自主回収 ～ 商品ラベルの QR コード記載の旧通販サイトが第三者に取得され不審サイトに誘導

今回取り上げるのは、商品ラベルに印字されたQRコードが、既に所有権が変わった旧通販サイトへ誘導され、不審な第三者サイトに接続される事例です。消費者が誤ってアクセスするとフィッシングやマルウェア被害のリスクがあり、企業側はドメイン管理や表示物の更新が追いつかないと信頼低下に直結します。本日はこの脆弱性の仕組み、消費者と事業者が取るべき確認手順と対策を具体的に解説します。

今回の事象は、薩摩酒造が以前運用していた通販サイトのドメイン（shiranamitsuhanshop.com）が契約満了などで第三者に取得され、そのドメインを含むQRコードが製品ラベルや外部サイトに残っていたため、消費者がスキャンすると製造元や販売店と無関係の不審サイトへ誘導されるというものです。影響としては個人情報入力や不正ダウンロードのリスク、ブランドの信頼毀損が挙げられます。対策として企業はまず当該URLのリンク削除や告知を行い、流通中の商品の回収や交換を検討する必要があります。技術的には期限切れドメインの監視、所有権回復の検討、公式サイトに正しいリンクと告知を明示することが重要です。消費者は見知らぬドメインへ誘導された場合にはアクセスせず、公式サイトで確認する習慣を持つべきです。

ドメインには登録期間があり、更新手続きが行われないと一般公開され誰でも取得できる状態になります。企業側が更新を失念したり管理者が変わったりすると放棄されたドメインを第三者が買い取り、既存のリンクやQRコードを悪用してフィッシングや広告、不正サイトへ誘導することが可能になります。これらの被害を防ぐには、更新管理の自動化や長期登録、ドメイン監視サービスの導入が有効です。

誘導先がフィッシングサイトであればログイン情報やクレジットカード情報を入力させられる可能性があり、マルウェア配布サイトであれば端末が感染し不正操作や情報漏洩につながります。さらに偽の問い合わせ窓口に誘導され個人情報を渡してしまうと二次被害が発生する可能性があります。ブラウザの警告や証明書の有無を確認し、不審なら直ちにアクセスを中止して端末のウイルススキャンを行うべきです。

まずは社内で当該ドメインの管理状況を確認し、可能なら所有権を取り戻すか正しいリダイレクトを設定します。既存の製品ラベルや広告素材に旧URLが残っていないかを全て洗い出し、回収やラベル差替えを実施します。公式サイトとSNSで注意喚起を行い、被害が疑われる利用者への対応窓口を設けます。さらにドメイン監視、資産台帳の整備、更新アラートの実装を恒常的な手順として組み込むことが重要です。

まずQRコードをスキャンする前にコード周辺の文言や正規の販売元名を確認し、公式サイトや公式SNSの表記と一致するかチェックします。スキャン後は表示されたURLのドメイン部分が公式と一致しているか必ず確認し、不審なサブドメインや見慣れないトップレベルドメインがあればアクセスを中止してください。既に個人情報を入力してしまった場合はパスワード変更やカード会社への連絡、端末のマルウェアスキャンを速やかに行いましょう。

組織的な対策としてはドメイン管理の一元化と更新自動化、外部に出る資材の踏査リスト作成、製品ラベルや包装にQRコード以外の識別手段を併用することが効果的です。さらにドメインの防衛として類似ドメインの取得やDNSSECの導入、第三者が新規取得した場合の監視と即時対応プロセスを整備しておくことが望まれます。これらを組織ポリシーとして運用することが鍵になります。