スラッシュドット・ジャパン

>その手口は非常に簡単で、町中の看板やポスターなどに印刷されているQRコードの上に、誘導したいサイトの情報を入れたQRコードを貼り付けるだけ。

こんなの、似た偽URLのシールを貼っても有効だし、偽電話番号を貼っても同様じゃないか。
QRコード独自の話じゃないだろう。

サイト運営者としては、QRコードを表示してアクセスさせる場合には、URLも併せて表示しておくことです。QRコードを読み取った時に画面に表示される URLと同じかどうかユーザーが確認できるようにしておくことで、無関係のサイトに飛ばされるリスクが減少します。また、この効果を高めるためには、 URLをシンプルにすることが有効です。ドメイン名だけの短いURLなら、確認も容易になります。

ドメイン名だけの短いURLを確認せよというのなら、URLを手入力させた方がよくないか？
しかしそれでは typo の危険があるから、単に『ドメイン名だけの短いもの』ではなく視認性のよい文字列でかつ短い名のドメインURLにせよという方が気が利いていそう（この時点で手入力ではうざったい文字の羅列を気にせず入力できるQRコード唯一のメリットが失われそうだ）。または『信頼できそうな看板のQRコードか確認する』とか(w

# QRコードは使ったことがないのでID

携帯電話のブラウザの場合，オレオレ証明書は例外的に出会っても受け付けないものが多いようなので，携帯サイトにこそサイト証明書は大切なのかも，と思いました．しかし携帯電話のブラウザにおいてHTTPSで接続しているかどうかがあまり目立つようにインジケートされていないようにも感じます．

自分が使ったことのある数台の携帯電話についてたブラウザだけがサンプルなので，「ようなので」とか「感じます」の域を出ません．

と書かないといけないってことはないのですか？

QRコードについて [denso-wave.com]の、「QRコードの知的財産権について」より、

Q. QRコードの使用料は必要ですか？
A.

JIS規格やISO規格に制定されているQRコードの使用に対するライセンス等は必要なく、誰でもご自由にお使い頂けます。

なお、「QRコード」という名称は、デンソーウェーブの登録商標です。出版物やホームページなどに、「QRコード」という言葉を使用される場合、「QRコードは(株)デンソーウェーブの登録商標です」という一文(以下、登録商標文)を記載いただいております。
登録商標は「QRコード」という名称のみであり、QRコードパターン(イメージ)は登録商標ではありません。

（強調は俺が勝手に）

ということで、QRコード自体をプリントしてるかどうかには触れておらず、QRコードという言葉に対して課せられているようなのですが。
そもそもこんなの無効ですか？
ファミレスの店内でも何かのチラシでも、「QRコードを云々かんぬん・・・」って書いてる印刷物に
「QRコードは(株)デンソーウェーブの登録商標です」って書いてるのは少ないようですし。

# ここはホームページじゃねぇって議論は別の話として・・・

不正アクセスによるサイトの書き換えの際、QRコードだけを書き換えて偽サイトに誘導するような事例はどうだろう。
アンチウイルスでは検出できない(QRのデコードをしてURLをチェックする機能の実装は可能だけど)は働かないし、
サイト運営者がログチェックなどで見落とせばシールと同様の効果が得られるかも知れない。

高木氏のプレゼンPDFは後日配布版2005年4月とありますが（PDFの日付は2006年3月）、ちなみにタレこみの元ネタは2007年8月の雑誌記事をWebに再録したもの。あと、後者の結論は分かりやすいURLがいいというもので、それには日本語ドメインがいいね、というのがちょっと...

検索してて気づいたが、QRコードの偽装の手口にこんなものがあったんですね（今は解決済みのはずだが）。

バーコード (2次元コード) リーダーご利用にあたっての注意点 2005年4月14日 [kddi.com]

この件に関する高木氏の詳しい解説＞高木浩光＠自宅の日記 [takagi-hiromitsu.jp]（元は2005年4月）

検索してると、QRコードでフィッシング対策という記事が引っかかるのが、ちょっと微妙...

QRコードしか書いてない広告などがよろしくないことには
賛同します。しかし、今は

• フルキーボード付きでない
• カメラ付き
• Webにアクセスできる
• QRコードを読み込めない

という携帯を売っていないと思われます。

便利だから、キーボードがあろうとなかろうと、
QRコードリーダーは付けてほしいとも思いますけどね。

あれ、fishingとphishingって発音違うの？