QRコードはコンテナです。その中身は、決済、ワクチン記録、運転免許証、eSIM、パスキーサインイン、スマートホームのペアリングなど、それぞれが独自の国際標準に支配され、独自の脅威モデルを持っています。これは、当社のスキャナーが識別するすべての標準について、スキャンしたときに中身が実際に何であるか、そして何を表示し何を意図的にマスクするかを示す、信頼できるリファレンスです。
過去5年間に加盟店への支払いでスキャンしたすべてのQRは、EMVCoのTLV形式で動作していますが、その内容は国ごとに異なります。当社は具体的なスキームを識別し、支払い前に確認すべき加盟店フィールドをデコードし、ステッカーすり替え攻撃者が偽造できないCRCチェックサムを検証します。
世界中のあらゆる加盟店提示型QR決済の基盤標準。加盟店名、都市、国、通貨、金額、受取人口座情報、およびCRC-16/CCITT-FALSEチェックサムを格納するTag-Length-Value形式です。
表示する情報: 加盟店名、都市、国、ISO 4217通貨(全テーブル、169コード)、MCCカテゴリ、金額、動的か静的か、チップ表示、追加データのサブフィールド(参照ラベル、請求番号、顧客ラベル、端末ラベル、目的)。
脅威スコアリング: 無効なCRC → 不審(QRが改ざんまたは破損しているもので、最も信頼できるステッカーすり替えのシグナルです)。
ブラジル中央銀行の即時決済スキーム。取引量で世界をリードしています。2種類があります: 静的(再利用可能なQR)と動的(取引IDが埋め込まれた使い切りのQR)。
表示する情報: 受取人のPixキー(CPF / CNPJ / メール / 電話番号 / EVP UUID)、支払いの説明、存在する場合は動的QRのURL。
インドの統一決済インターフェース(Unified Payments Interface)。ユーザー数で最大規模です。UPIバーチャル決済アドレス(VPA)が、銀行間の支払いをリアルタイムでルーティングします。
表示する情報: 受取人VPA、受取人名、金額、通貨、取引参照、MCC、取引メモ。
EMVCoではなくISO 20022 SPC v2.2。オレンジ / レッドのスイス支払い伝票を置き換えるものです。債権者、最終債権者、最終債務者、参照タイプ(QRR / SCOR / NON)、請求情報、代替手続きをカバーする33の改行区切りフィールドです。
表示する情報: 債権者IBAN、債権者の住所全体、最終債務者、金額、通貨、見やすく整形された参照タイプ、構造化参照、非構造化メッセージ、eBill代替手続きURL。
欧州決済評議会(European Payments Council)の信用振替QR。請求書支払いのため、ドイツ、オーストリア、オランダ、北欧諸国で広く使用されています。
表示する情報: 受益者名、IBAN、BIC、金額、送金情報、目的コード。
暗号学的に署名された請求書発行で、サウジアラビア王国内のすべての商取引で義務付けられています。5つの必須タグ(売り手、VAT番号、タイムスタンプ、合計、VAT額)とECDSA署名を含むTLVエンコードです。
表示する情報: 売り手名、VAT登録番号、ISO 8601タイムスタンプ、請求書合計、VAT額。
その他多数: 54か国の国別決済スキームを識別します。PromptPay(タイ)、PayNow(シンガポール)、DuitNow(マレーシア)、QRIS(インドネシア)、Bizum(スペイン)、Swish(スウェーデン)、MB WAY(ポルトガル)、BLIK(ポーランド)、Wero(EU)など、数十のスキームをアナライザーカタログでカバーしています。
ワクチン記録、処方箋、検査結果、渡航証明書。各国の保健当局によって暗号学的に署名されています。当社は証明書を識別し、発行者と種類を表示しますが、患者の氏名、生年月日、病歴は意図的に決してデコードしません。それらを閲覧するにはウォレットアプリが適切な場所です。
FHIRリソースを含むDEFLATE圧縮されたJSONペイロードをラップした、数値エンコードのJWS。Apple Wallet、Common Trust Network、米国の州、カナダの州、いくつかの薬局チェーンが、ワクチンと検査の記録に使用しています。
表示する情報: 発行者URL、発行のISOタイムスタンプ、証明書の種類(covid19 / immunization / lab / など)、FHIRバージョン、リソース数 + 種類。
デコードしない情報: 患者名、生年月日、接種 / 検査日、個々のFHIRリソース本体。アナライザースイートでテストにより保護されています。
HC1: プレフィックスは、base45 → DEFLATE → COSE_Sign1 → CBOR → CWTのチェーンをラップし、最終的にEUが定義したHCERTクレームに至ります。COVID緊急事態が収束した後も、一部の加盟国では非COVIDの渡航文書として今も使用されています。
表示する情報: 発行国(ISO 3166-1)、発行有効開始タイムスタンプ、有効期限タイムスタンプ、スキーマバージョン、証明書の種類(ワクチン接種 / 検査 / 回復)、対象疾患(SNOMED-CT、生の840539006コードではなく「COVID-19」と表示)、接種 / 検査の国、発行組織、接種回数 / 合計、検査の種類、検査結果。
デコードしない情報: 患者名、生年月日、接種日、固有の証明書ID(UVCI)。テストで保護されています。
運転免許証、モバイルID、デジタル身分証ウォレット。米国の運転免許証の裏面にあるバーコードには、表面のすべてのフィールドが含まれています。モバイル運転免許証QRは接続ハンドシェイクを送信し、検証者がNFC / BLE経由で接続して属性を読み取れるようにします。
米国およびカナダのすべての運転免許証の裏面にあるPDF417バーコード。AAMVA Card Design Standard付録D.12.5に準拠したサブファイル要素形式です。
表示する情報(約17項目): 名・ミドルネーム・姓、ISO形式の生年月日、性別、身長、目の色、免許証番号(マスク済み)、免許区分、制限事項、付与資格、有効期限、発行日、住所全体、国、臓器提供フラグ、退役軍人フラグ、21歳未満の期限。
デフォルトで機微情報として扱います: 免許証番号と生年月日は、タップして表示するマスク済みフィールドとして描画されるため、判定結果のスクリーンショット自体が身元情報の漏洩にはなりません。プライバシー警告では、IDをスキャンするバーやクラブが保有者の年齢だけでなく、このデータすべてを受け取ることを明示します。
iOS / Androidのモバイル運転免許証が検証者に提示するときに表示するmdoc: QR。暗号スイートセレクター、保有者の一時公開鍵、検証者が接続に使用できる転送方式のリストを含む、CBOR DeviceEngagementです。
表示する情報: プロトコルバージョン、暗号スイート(P-256 ECDH-ES + A256KWが現在の必須スイート)、対応する転送方式(NFC / BLE / Wi-Fi Aware)、サーバー取得ホスト(存在する場合)。
デコードしない情報: 保有者の一時公開鍵のバイト列(長さのみ表示)。実際のmDL属性は、検証者が接続した後に交渉されたチャネル上を流れ、このスキャナーを通過することは決してありません。
国境を越えた身元提示のためのOpenID4VPおよびeudi-openid4vpスキーム。加盟国での展開は2024〜2026年にかけて加速しています。
表示する情報: プロトコルファミリー(openid4vp / eudi-openid4vp / mdoc-openid4vp / siopv2)、client_id、response_uriホスト名、署名付きリクエストフロー用のrequest_uriホスト名、response_mode。
分散型識別子(did:web、did:key、did:ion、did:ebsi、その他の方式)。
表示する情報: DID方式、方式固有の識別子、サービスパラメーター、相対参照、検証フラグメント。
あなたが持つすべてのアカウントを保護(または危険にさらす)QRログインフロー。それぞれの種類を識別し、QRがあなた自身ではなく他人のサインインを完了させようとしている場合には、はっきりと警告します。
スマートフォンでパスキーを使ってサインインするときに、ノートパソコンが表示するクロスデバイスのパスキーQR。相手の公開鍵、QRシークレット、操作ヒント、トンネルサーバードメイン、タイムスタンプ、状態支援フラグを含む、Base10エンコードされたCBORマップです。
表示する情報: 操作(make-credential / get-assertion / discoverable)、トンネルサーバードメイン(例: cable.ua5v.com)、ISOタイムスタンプ、状態支援対応、相手公開鍵の長さ、QRシークレットの長さ。
強い警告: このQRをスキャンすると、誰かが別のデバイスで開始したサインインが完了します。自分でパスキーログインを開始した直後でない場合は拒否してください。そうしないと、このQRを生成した人物を自分のアカウントにサインインさせてしまうことになります。
RFC 4226 / RFC 6238のワンタイムパスワード設定QR。認証アプリを登録するときに銀行や勤務先のアプリが表示するotpauth:// URIです。
表示する情報: 発行者、アカウント、アルゴリズム(SHA1 / SHA256 / SHA512)、桁数(6 / 8)、期間(TOTP)またはカウンター(HOTP)、発行者アイコンURL。
デフォルトで機微情報として扱います: Base32シークレットはタップして表示する形式で描画されます。また、シークレットをBase32として検証し、形式が不正な場合ははっきりと警告します。認証アプリは不正な形式のシークレットを黙って受け入れ、その後、決して検証に通らないコードを生成してしまうためです。
Google Authenticatorの一括エクスポートQR。認証アプリ内のすべての2FAシークレットを一度に保持する、N個のOtpParametersエントリを持つprotobufバンドルです。
表示する情報(エントリごと): 発行者、アカウント、種類(HOTP / TOTP)、アルゴリズム、桁数、カウンター、加えてバージョン / バッチのメタデータ。開示では「このバンドル内の付与: ACME / alice@acme; GitHub / bob@github; …」と列挙されるため、本当に移行の途中にいるユーザーはインポート前に内容を確認できます。
デコードしない情報: 実際のシークレットシードのバイト列。判定結果の出力に決して現れてはならないカナリア文字列を用いたテストで検証済みです。
強い警告: ユーザーが文字どおり自分のデバイス間で移行の途中にいる場合を除き、脅威クラスはlikely_dangerous(危険の可能性が高い)です。
ウォレットアドレスの制御をウェブサイトに証明するために、ウォレットが署名する平文のログインメッセージ。
表示する情報: サイトドメイン、ウォレットアドレス、チェーンID、ノンス、有効期限。
警告: サイトとステートメントを注意深く読んでください。悪意のあるサイトは、署名済みのSIWEメッセージを使って、そのドメイン上であなたになりすますことができます。
航空会社の搭乗券にあるQR / Aztec / PDF417。固定幅のヘッダー(60文字)に加え、各セグメントごとに37文字の必須データを含みます。
表示する情報(セグメントごと): 航空会社コード + 便名(先頭ゼロ除去)、ルート(FROM → TO)、日付(ユリウス日 → スマートな年送り処理付きのISO形式)、座席、客室クラス、シーケンス番号、ステータス(搭乗済み / ラウンジ利用 / 保安検査バイパス / など)。複数セグメントの搭乗券には、セグメントごとの行プレフィックスが付きます。
デフォルトで機微情報として扱います: PNR / 予約参照番号はタップして表示する形式で描画されます。氏名とPNRがあれば、ほとんどの航空会社のウェブサイトで予約にアクセスできてしまいます。搭乗券の写真を公開しないでください。
The QR you scan to install a phone plan. Format: LPA:1$<SM-DP+>$<AC-Token>[$<SM-DP+ OID>][$<CC required>].
表示する情報: SM-DP+ FQDN(あなたの携帯電話と通信するキャリアサーバー)、アクティベーションコード、確認コード要否フラグ。
警告: インストールされたeSIMプロファイルはSMSを傍受でき、これにはSMSベースの2FAコードが含まれます。インストール前に、SM-DP+が実在するキャリア(Airalo、Saily、Truphone、Google Fiなど)と一致するか、許可リストと照合して確認してください。
Connectivity Standards AllianceによるMT:プレフィックス付きのbase38パックバイナリコード。ベンダーをまたぐスマートホームのペアリングで、Apple Home、Google Home、Amazon Alexa、Samsung SmartThingsで動作します。
表示する情報: ベンダーID、製品ID、ディスクリミネーター、8桁のセットアップパスコード(機微情報としてマスク)、コミッショニングフロー、検出機能フラグ(Soft-AP / BLE / 既存のIPネットワーク)、仕様バージョン。
Apple HAPアクセサリーセットアップURI。Matterより前から存在し、まだMatterに対応していない多くのアクセサリーに今も搭載されています。
Wi-Fi Alliance Device Provisioning Protocol、WPSの現代的な代替です。2025年世代のルーターで、QRベースのデバイスオンボーディングに使用されます。
LE AudioブロードキャストのためのBluetooth SIGのQRスキーム。サービスUUID 184FがAuracastを識別します。ブロードキャスト名(base64デコード済み)と暗号化状態を表示します。
標準的なBitcoin決済URI。アドレス、金額(BTC / sat単位付き)、ラベル、メッセージ、PayJoinエンドポイント(pj=)、BIP-72決済リクエストURL(r=)、必須(req-*)パラメーター、Lightningフォールバックを表示します。
チェーン選択機能付きのEthereum決済リクエストURI。受取人かコントラクトかをデコードし、人間が読めるラベル付きのチェーンID(Ethereumメインネット、Optimism、Polygon、Base、Arbitrum、BNB Chain、Gnosis、Avalanche、Sepolia)、価値(wei → ETH / Gweiの見やすい表示)、関数呼び出し名、ERC-20転送引数を表示します。
警告: コントラクト呼び出しは単純な送金とは異なります。ウォレットドレイナーは、ユーザーがその違いに気づかないことに依存しています。
dApp↔ウォレットのペアリングURI。バージョン(v2が現行、v1は非推奨で脆弱)、トピック、リレープロトコル、セッション対称鍵(機微情報としてマスク)を表示します。
Solana Foundationの転送リクエストURI。受取人、金額、SPLトークンのミント、ラベル、参照、メッセージ、メモを表示します。
BOLT-12オファー(lno1…)は再利用可能なLightning決済リクエストです。LNURL(lnurl1…)はHTTPSエンドポイントをbech32でエンコードし、ウォレットがそれを呼び出して請求書の取得、引き出し、チャネルオープン、または認証を行います。
持参人払いのecashトークン。他のあらゆる暗号通貨形式と異なり、QRそのものが文字どおりお金です。撮影した人なら誰でも使うことができます。
デフォルトで機微情報として扱います: トークン文字列はマスクされ、判定結果ではQRが未使用の価値を持つことをはっきりと警告します。
Bech32エンコードされたNostr識別子。npub(公開鍵)、nsec(秘密鍵、強く警告)、note、nevent、nprofile、naddr、nrelayを認識します。
nsecは機微情報: QR内のNostr秘密鍵は、保有者の身元が取得されたことを意味します。これを認証情報の漏洩としてフラグ付けします。
消費者向け製品で一次元バーコードに取って代わる標準。URLパス内のアプリケーション識別子(AI)が、GTIN、バッチ / ロット、製造 / 有効期限日、シリアルなどをエンコードします。
表示する情報: GTIN(01)、バッチ / ロット(10)、製造日(11)、賞味期限(15)、有効期限(17)、シリアル(21)、および追加のAIを名前付きフィールドとして表示します。
EU規制により、2027年からすべての消費者向け製品にデジタルパスポート(持続可能性、原産地、修理情報)の搭載が義務付けられます。製品ごとのパスポートページに解決されるGS1 Digital Link URL上に構築されています。
QR自体は現在、当社のGS1 Digital Linkアナライザーでデコードされます。URLを超えたパスポートのコンテンツは、各メーカーが公開します。
INI形式のWireGuard VPN設定。インターフェースアドレス、DNS、リッスンポート、ピアエンドポイント、許可IP、永続キープアライブ、追加ピア数を表示します。
デフォルトで機微情報として扱います: インターフェースの秘密鍵と事前共有鍵はタップして表示する形式で描画されます。許可IPが0.0.0.0/0(フルトンネル、トラフィックの全バイトが他人のサーバーを経由する)の場合は警告します。
OpenSSHのauthorized_keys形式(ssh-ed25519 / ssh-rsa / ssh-ecdsa)。アルゴリズム、コメント、鍵の長さを表示します。
PEMでアーマリングされたX.509証明書と、生のJWTコンパクトシリアライゼーション。証明書をDERウォークして、Subject CN/O、Issuer CN、NotBefore/NotAfter、公開鍵のビット長を抽出します。期限切れの証明書にはフラグを付けます。
JWTのプライバシー: ヘッダーからalgとtypを表示しますが、JWTペイロードのクレームは決してデコードしません。アカウントID、スコープ、その他スキャン結果に含めるべきでない機密情報が含まれている可能性があるためです。
OpenPGPのPUBLIC / PRIVATE KEYブロック。形式のみを表示し、鍵情報はマスクされます。PRIVATE KEYブロックには「このQRを共有しないでください」という強い警告が付きます。
シンボル体系は*コンテナ*、つまりドットと四角の形状です。上記の標準は*ペイロード*、つまり中身です。当社のスキャナーはすべてのオープン標準のシンボル体系を読み取り、デコードしたテキストを上記の適切なアナライザーに渡します。
Model 1(1994年のオリジナル)、Model 2(現在の世界標準)、Micro QR(小型コンポーネント)、長方形のMicro QR(rMQR、ISO/IEC 23941:2022、試験管のような細いラベル向け)。
Eurostar、SBB、および多くの欧州の交通機関の搭乗券で使用される、ブルズアイ型ファインダーのシンボル体系。
高密度の小型シンボル体系。GS1小売、DSCSA医薬品、MIL-STD-130防衛、ATA Spec 2000航空、ISBT 128血液製剤ラベリングで使用されます。
米国 / カナダの運転免許証(AAMVA)、配送ラベル、FedExの航空運送状で使用される、積層型の一次元シンボル体系。
EAN-13、EAN-8、UPC-A、UPC-E、Code 128、Code 39、Code 93、Codabar、ITFなど、あらゆる食料品店のレジや配送ラベルで目にする一次元バーコード。
QRの安全性は、そのURLの安全性ではなく、中身を支配する標準の安全性です。決済QRが危険なのは誰かがステッカーをすり替えたからであり、パスキーQRが危険なのは誰かがあなたとしてログインしたいからであり、ワクチン記録QRが危険なのはそれを読み取るスキャナーを誰が持っているかによります。当社はそれぞれを個別に、独自の脅威モデルに照らして、推測ではなくフィールド単位のデコードによってモデル化します。
上記のすべてのアナライザーは、何を表示し、何を意図的にマスクするかについてオープンです。そのため、ブラックボックスを信用するのではなく、判定結果の出力を読むことで当社の主張を検証できます。