店舗ポイントのQRコードは撮影されたら危険？不正取得を防ぐNFC・GPS来店認証の作り方

店舗のポイントカードやスタンプラリーをデジタル化するとき、「店頭にQRコードを置けば簡単」と考えがちです。

確かにQRコードは安く、誰でも読み取れ、導入も簡単です。しかし、ポイントやクーポンのように金銭的価値を持つものを付与する場合、固定QRコードを置くだけの設計には明確な弱点があります。

QRコードは写真に撮れます。画像として送れます。URLが分かれば、店舗から離れた場所でもアクセスできる場合があります。

実際、この問題は机上の空論ではありません。店頭QRを撮影して不正にデジタル商品券を取得した事件や、LINEショップカードでポイントの不正取得・特典利用が確認された店舗があります。

そして現在、LINEヤフー自身もNFCを使った「LINEタッチ」で、QRコードを無効化し、NFCタグが実際にタッチされたことを検証してからポイントを付与する不正防止機能を提供しています。

店舗のデジタル化で重要なのは、「QRかNFCか」という二択ではありません。

本当にその人が、その時間に、その店舗へ来たのか。そこまで確認できる来店認証をどう設計するかです。

実際にあった「店頭QRを撮影してポイントを取る」不正

QRコードの持ち出しリスクが分かりやすく表れた事例が、仙台市のデジタルスタンプラリーです。

仙台市は2022年、参加店舗で1,000円以上の買い物をすると、店頭の二次元コードを読み取ってスタンプを取得できるキャンペーンを実施しました。スタンプを集めるとデジタル商品券を受け取れる仕組みです。

その後、khb東日本放送は2023年3月、仙台市泉区の40代夫婦が店のレジに置かれていたQRコードを写真で撮影し、自分や子ども名義の複数端末で繰り返し読み取る手口で、約5万円分の商品券を不正に受け取った疑いで書類送検されたと報じました。

本来は「その店で買い物をした人が、その場で読む」ためのQRでした。

しかし技術的には、撮影されたQR画像そのものが店舗の外へ持ち出せてしまったわけです。

この事件が示したのは、QRコードそのものが危険ということではありません。

固定QRを読めたことと、実際に店へ来て条件を満たしたことは同じではないという問題です。 !固定QRを撮影してポイントを不正取得する流れ

LINEショップカードでもポイントの不正取得が確認されている

同じ問題は、民間店舗のポイント運用でも起きています。

札幌東急REIホテルのレストラン「サウスウエスト」は2025年1月、LINEショップカードでポイントの不正取得および特典利用が確認されたと公式に発表しました。

同ホテルは対策として、店舗側の管理画面でポイント付与履歴を確認し、特典利用時に利用者本人のLINEプロフィール画面を提示してもらう運用へ変更しています。

札幌エクセルホテル東急のレストラン「ラーブル」でも、同日に同様の不正利用と対策が公表されました。

店舗側にとって厄介なのは、ポイント不正が単なる「無料サービスの取りこぼし」で終わらないことです。

• 原価のある商品・飲食が特典として持ち出される
• 本来の優良顧客向け施策の採算が崩れる
• 不正確認のためスタッフの作業が増える
• 正規ユーザーにも本人確認などの負担を求めることになる
• 最悪の場合、ポイント制度そのものを縮小・終了する必要が出る

利便性のために導入したデジタル施策が、不正対策によって逆に店舗オペレーションを重くする可能性があります。

そもそもLINEのショップカードはQRでポイントを付与できる

LINE公式アカウントのショップカードは、商品購入、サービス利用、来店などに応じてLINE上でポイントを発行・管理できる機能です。

LINE公式ヘルプでは、ユーザーがQRコードを読み取ってポイントを取得する方式として、スマートフォン画面に表示するワンタイムQRと、印刷して掲示するQRの両方が案内されています。

固定QRは店舗側の運用が簡単です。印刷してレジや卓上に置いておけば、スタッフが毎回コードを表示する必要がありません。

一方で、ポイントに価値があるほど、「コードがコピーされた後も同じ条件で使えるのか」を考える必要があります。

便利さと不正耐性は、別々に設計しなければなりません。

LINE自身がNFCで「QR撮影対策」を始めている

LINEヤフーは2025年11月、NFCタグを活用した「LINEタッチ」の提供を開始しました。

専用NFCタグへスマートフォンをかざすと、LINE公式アカウントのプロフィール、クーポンリスト、ショップカード、LINEミニアプリなどへ誘導できます。

重要なのは、単にQRの代わりにNFCを使えることではありません。

LINEタッチには、サービスの不正利用を防止・軽減する機能があります。

ショップカードでは、NFCタグに印刷されたQRコードを無効化し、NFCタグがタッチされたことを検証してからポイントを付与できます。LINEヤフーは、この機能によってQRコードの撮影などによる不正利用を防止・軽減すると説明しています。

2026年8月時点の公式料金は、スタンド型が2,000円/台、ステッカー型が300円/枚で、いずれも税別です。LINEタッチ自体の継続利用料はなく、利用には認証済みLINE公式アカウントが必要です。

これは店舗DXの方向性として重要です。

「コードを知っているか」ではなく、「その物理タグへ触れたか」を認証条件に加える考え方が、一般店舗向けサービスにも入ってきたからです。

ただし「NFCなら絶対安全」は間違い

ここは特に注意が必要です。

一般的なNFCタグへ、単純に固定URLを書き込むだけでは、それだけで不正利用がなくなるわけではありません。

たとえばNFCタグに、

https://example.com/point/store-a

というURLが保存されているだけなら、そのURLを一度取得して共有されれば、ブラウザから直接開ける設計もあり得ます。

つまり、

QRコード → 固定URL

を

NFCタグ → 同じ固定URL

へ置き換えただけでは、入力方法が変わっただけです。

LINEタッチが価値を持つのも、単なるNFCタグではなく、LINE側がタッチされたことを検証する仕組みまで提供しているからです。

独自NFCなら「GPS・日時・ユーザー・回数」を重ねる

店舗独自のNFCスタンドやNFCタグを使う場合は、タッチ後に開くWebシステム側で複数の条件を確認する設計が有効です。

たとえば来店ポイントなら、次のような流れです。

1. 店頭のNFCスタンドへスマートフォンをかざす
2. 店舗専用の認証ページを開く
3. ブラウザで位置情報の利用許可を求める
4. 店舗から一定距離以内か確認する
5. ログインユーザーまたは会員IDを確認する
6. 当日のポイント取得履歴を確認する
7. 営業時間・キャンペーン期間を確認する
8. 条件を満たした場合だけポイントを付与する
9. 取得日時・店舗・ユーザー・端末情報などを記録する

たとえば「店舗から100m以内」「1ユーザー1日1回」「11時〜22時のみ」といった条件をサーバー側で持たせれば、URLだけが拡散した場合でも、不正取得のハードルを大きく上げられます。

GPSだけにも頼らない

GPSも万能ではありません。

屋内では測位誤差が出ますし、端末側の設定や開発者向け機能などによって位置情報が偽装される可能性もあります。

そのため、セキュリティは一つの条件へ依存させず、

NFCという物理接点 + 位置 + 時間 + アカウント + 利用回数 + サーバー履歴

を重ねる方が実務的です。

店舗サービスでは100%の不正防止を目指して利用者全員を不便にするより、簡単な不正では得をできない状態を作りながら、正規利用者の体験を維持することが重要です。

さらに強いNFC認証なら「毎回変わる認証データ」も使える

より高いセキュリティが必要な用途では、一般的な安価なNFCタグとは別に、暗号認証機能を持つNFCチップを使う方法もあります。

NXPの「NTAG 424 DNA」には、AES-128暗号やSUN（Secure Unique NFC）認証が用意されています。読み取りごとにタグ固有情報やカウンター、認証コードを含むデータを生成し、Web側で真正なタグからの読み取りかを確認する設計ができます。

こうした方式なら、単純にURLをコピーするだけの攻撃へさらに強くできます。

ただし、通常の店舗ポイントでそこまで必要かは別問題です。チップ単価、初期設定、鍵管理、サーバー側検証などが必要になるため、付与する特典価値や不正リスクに応じて選ぶべきです。

QR・NFC・来店認証を比較するとどう違う？

大事なのは、全部をNFCに置き換えることではありません。

Googleレビュー画面へ飛ばすだけなら、QRでもNFCでも大きなセキュリティ問題はありません。誰かがURLを共有しても、それだけで店舗から金銭的価値が失われるわけではないからです。

一方、ポイント、クーポン、無料商品、抽選権、スタンプラリーなど「取得すると価値が発生する導線」では、来店条件の確認が重要になります。

NFCスタンドは「リンクを開く道具」から「店舗の入口」へ変えられる

NFCスタンドの使い道を、単純なURLリンクだけに限定する必要はありません。

タッチ先に店舗専用の中間ページを置けば、そこから目的別に導線を分岐できます。

• Googleレビューをお願いする
• LINE公式アカウントを案内する
• 来店ポイントを付与する
• InstagramなどSNSへ誘導する
• メニューを表示する
• 予約ページを開く
• アンケートを取る
• クーポンを配布する

さらにサーバー側を持てば、時間帯によってリンク先を変えたり、特定キャンペーンだけポイント付与を有効にしたり、店舗ごとのタッチ数を計測したりできます。

ここでNFCの価値は、「QRより新しいから」ではありません。

店舗内の物理接点とデジタル施策をつなぎ、その後の処理をWeb側で制御できることにあります。

Googleレビュー施策とも相性がいい

以前の記事で解説した通り、GoogleレビューはGoogle検索・Googleマップでの店舗発見や、検索後に選ばれるための重要な店舗資産です。

レビューを増やしたい場合も、「レビューを書いてください」と口頭でお願いするだけでは投稿率は上がりにくいものです。

レジ横や卓上のNFCスタンドからレビュー画面へ直接つなげば、ユーザーの操作を減らせます。

ポイントのような金銭価値を付与する導線は来店認証を厳しくし、Googleレビューや公式SNSのような公開導線は簡単にアクセスできるようにする。

同じ店舗でも、目的によってセキュリティ強度を変える設計が合理的です。

まとめ｜店舗のデジタル施策は「読み取れた」ではなく「条件を満たした」で判断する

固定QRコードは、店舗DXを始める上で非常に便利な技術です。問題は、QRを使うことではありません。

ポイントや特典を「コードを読めた」という一条件だけで付与してしまうことです。

実際に店頭QRを撮影して商品券を不正取得した事件があり、LINEショップカードでもポイントの不正取得と特典利用が確認されています。そしてLINEヤフー自身も、NFCタグのタッチを検証してからポイントを付与する機能を提供するようになりました。

店舗がこれからポイント、スタンプ、クーポン、会員特典をデジタル化するなら、考えるべきなのは「QRを置くかNFCを置くか」ではありません。

誰が、いつ、どこで、何回、どの物理接点からアクセスしたのか。

必要な範囲でこれらを確認し、条件を満たした人だけに価値を付与する。

その考え方が、店舗のデジタル施策を「便利なだけの仕組み」から「安全に運用できる仕組み」へ変えていきます。 ......