店頭のステーブルコイン払いQRがすり替えられたら｜事案図解：告知物の設計と第1報

ステーブルコイン払いを店頭で受け付ける事業会社は、レジ横の卓上スタンドやテーブルのPOPに、支払い用のQRコードを掲示することになります。掲示物は、店員の目が届かない時間に第三者が触れられる場所に置かれます。その上に偽のステッカーが貼られれば、利用者の支払いは店ではない送付先へ向かいます。QRコードを使ったフィッシングは「クイッシング」とも呼ばれます。本記事は、告知物を載せる側の事業会社を主語に、すり替えに強い掲示物の設計、利用者に確認してもらう表示、発覚したときの第1報を、架空の事案で整理します。

用語を一言ずつ。ステーブルコインは法定通貨などの価値と連動するよう設計されたデジタルな支払手段で、日本では資金決済法上の「電子決済手段」等として整理されています。電子決済手段等取引業者（以下、登録業者）は、その売買や管理などを業として行うため登録を受けた事業者です。

事案：カフェと雑貨の小規模チェーンが、卓上スタンドで支払い用コードを掲示する

以下は当サイトが検討用に組み立てた想定事案であり、実在の企業・案件ではありません。

①既存事業と既存ユーザー。G社は、首都圏の駅近くでカフェ併設の雑貨店を8店舗運営しています。来店客は通勤前後の会社員と週末の観光客が中心で、支払いは現金、クレジットカード、コード決済に対応しています。繁忙時間帯はレジに列ができ、客席は店員の視界から外れる位置にもあります。

②やろうとしていること。G社は、海外からの来店客を意識して、ステーブルコイン払いを試験導入します。レジに並ばずに席で支払えるよう、各テーブルにもコードを置く案が出ています。

③登録業者との役割分担。利用者のウォレット（電子決済手段を保管し送付するアプリ）と、送付を承認する画面は提携先の登録業者が提供します。支払い用コードのデータも業者が発行します。G社が担うのは、コードを印刷した掲示物の制作と設置、店頭での案内、問い合わせの一次受付です。

④想定される告知・導線の具体像。初案は、レジ横のアクリル卓上スタンド、各テーブルのラミネートPOP、入口ドアのステッカーの3種類に、同じ固定のコードを刷るものでした。POPには「スマホで読み取ってお支払いください」とだけ書かれ、支払画面で何を確かめればよいかの記載はありません。

図: 掲示物のすり替えから送付確定までの流れと、載せる側が置ける3つの防御線（当サイト作成）

前提：コード決済の業界ガイドラインは、掲示するコードの弱点を明記している

ステーブルコイン払いの掲示物に絞った公的な指針は、当サイトが2026年10月27日に調べた範囲では見当たりませんでした。手がかりになるのは、一般社団法人キャッシュレス推進協議会の「コード決済に関する統一技術仕様ガイドライン【店舗提示型】MPM」Ver.3.0（2022年11月8日）です。いわゆるQRコード決済の事業者向けの文書で、ステーブルコイン払いに直接適用されるものではありません。ただ、店舗に掲示するコードの弱点という論点は共通しています。

同ガイドラインは、あらかじめ印刷して店舗に設置し繰り返し使うコードを「静的QRコード」、決済の都度、店舗側の端末で生成されるコードを「動的QRコード」と定義しています。第5部の不正利用例（図表17）には、第三者が「ステッカー等を貼り換え・偽造により、代金を不正取得する」例が挙がっています。

画像: 一般社団法人キャッシュレス推進協議会の公表資料より（出典）

第5部4「静的QRコードの管理」は、設置された静的QRコードが不正に貼り換え、偽造等されれば正常な決済が行われなくなり、同じコードを複数回使う前提のためワンタイムトークン等による偽造防止策を行うことができないと整理しています。そのうえで、コード決済事業者に必要な対策を求め、例として次の3つを挙げています。

海外でも同じ手口が注意喚起されています。米国FBIのIC3は2022年1月18日、支払い用のQRコードを改ざんしたコードに置き換え、送金を犯罪者の口座へ向け直す手口を公表し、物理的なコードを読み取るときは改ざんされていないか確かめるよう呼びかけています。日本の制度とは別の文脈ですが、手口の構造は同じです。

論点①　掲示物の素材と点検は、誰の仕事か

同ガイドラインで対策を求められているのはコード決済事業者ですが、例示された対策の多くは店舗の現場でしか実行できません。G社の場合も、点検と試し払いは店舗スタッフの作業になります。登録業者との契約にこの役割分担がどう書かれているかを、掲示前に確認しておきます。

素材の選び方には落とし穴があります。同ガイドラインの第1部5.2は、静的QRコードの読み取りに影響する事象として、ステッカーにフィルムが貼られていること、そのフィルムに気泡があること、汚損、印刷のヨレ、暗い設置場所、照明の反射を挙げています。そして、ヨレや汚損、不鮮明な印刷等は読み取り不可や誤った決済情報の読み取りを生じ、意図しない決済を引き起こす可能性があるとして、静的QRコードを常に良好な状態に保つ必要性を説明するようコード決済事業者に求めています。

掲示箇所を減らすことも対策です。客席は店員の視界から外れやすく、点検の手間も増えます。テーブルごとに置く案は、点検を回せる枚数かどうかで判断します。

論点②　固定のコードか、会計ごとに表示するコードか

掲示するコードの方式は、すり替えへの強さを左右します。

どちらを選べるか、コードに送付先アドレスと支払い用ページのどちらが入るかは、登録業者・決済事業者側の仕様で決まります。G社が自分で方式を設計するのではなく、業者が提供する選択肢の中から、店舗の運営に合うものを選ぶ立場です。レジ横は会計ごとの表示、席での支払いは見送る、という組み合わせも検討できます。

論点③　承認の前に、何を確かめてもらうか

すり替えられたコードを読み取っても、利用者が送付を承認するまでは支払いは確定しません。ここが最後の防御線です。ウォレットで利用者に求める操作の書き分けはウォレットの「署名」と「承認」は別物で扱いました。

確定した後は戻りません。オンチェーンの送付には銀行振込の「組戻し」にあたる手続きがなく、誤った送付先からの返金は受け取った相手が送り返すかどうか次第です（詳しくはオンチェーンの送付に「組戻し」はない）。

だからPOPには「読み取ってください」だけでなく、承認の前に支払画面の店名と金額を確かめるよう一言添えます。そのためには、業者の承認画面に何が表示されるかを先に知っておく必要があります。店名が表示されない仕様なら、POPに書くべき確認事項が変わります。

G社は初案のPOPの文言を、次のように見直しました。注意書きの文言は業者の確認を経ることを前提にしています。

最後の行は、店頭以外の経路にも備える一文です。フィッシング対策協議会は2024年8月28日に、メールに記載したQRコードから誘導するフィッシングの報告が増えていると注意喚起し、ログインは公式アプリやブックマークから行うよう勧めています。店頭のコードと同じ見た目のコードがメールで届いても、自社は送らないと先に言っておけば、利用者が判断できます。

同ガイドラインは、偽造・変造されたQRコードを使った決済等による不正利用に対応するため、決済の都度、利用者に決済が行われた旨を通知するようコード決済事業者に求めています（第5部5.4）。登録業者の取引通知の有無と内容も、利用者に案内できる材料になります。

論点④　すり替えが見つかったときの第1報

見つけるのは、点検中のスタッフか、「支払ったのに店に届いていないと言われた」という利用者です。決済障害の第1報と同じく、原因が第三者にあっても最初の問い合わせは自社に来ます（第1報で書けることの線はステーブルコイン決済が完了しない事案図解）。

第1報で書けるのは、見つけた事実、撤去したこと、利用者に確かめてほしいこと、問い合わせ先までです。被害の有無や補償の範囲は、業者との確認と法務の判断を経ないと書けません。補償をにおわせる一文を急いで出すと、後で撤回が難しくなります。文案は掲示を始める前に、社内広報・法務・業者の確認を経て用意しておきます。

告知で利用者がまず知りたいのは「自分は当てはまるか」です。それに答えるには、いつからいつまでの間に読み取った人が対象かを書く必要があります。ここで論点①の点検が効いてきます。直前の点検で異常がなかった時刻が記録されていれば、対象期間を「最後に確認した時刻から撤去した時刻まで」と区切れます。点検表に時刻と担当者の欄を設けておくのは、防ぐためだけでなく、第1報を書くための準備でもあります。

なお、店頭で利用者のステーブルコイン払いに関わることが、登録の要否にどう関係するかは本記事では扱いません。金融庁はパブリックコメントへの回答で、この種の論点は個別事例ごとに実態に即して実質的に判断する必要があるとの立場を示しています（2026年5月22日公表）。

この事案から取り出せること

店頭に掲示する支払い用コードは、利用者にとって「店が出しているもの」です。誰が貼り替えたのであっても、利用者の目には店の掲示物に見えます。そのため、掲示物の仕様、承認前に確かめてもらう表示、発覚時の第1報の3つを掲示より先に決めておくことが、載せる側の事業会社の準備になります。確認の相手は法務だけではありません。販促制作パートナー、登録業者、社内広報と、論点ごとに分かれます。