QR코드 바꿔치기(위변조)란 누군가 매장의 진짜 QR코드 위에 가짜 QR코드를 붙여, 스캔한 손님이 사기 페이지로 가거나 엉뚱한 계좌로 결제하게 만드는 것입니다. 매장은 코드를 정기적으로 점검하고, 훼손 방지 재질을 쓰고, 직원 눈에 띄는 곳에 코드를 두고, 모니터링과 수정이 가능한 동적 링크를 사용해 이를 막을 수 있습니다.
공공장소에 인쇄된 QR코드라면 무엇이든 표적이 될 수 있습니다. 계산대의 결제 코드, 테이블의 메뉴 코드, 포스터, 주차 안내판, 배달 차량의 코드까지 말입니다. 다행히 몇 가지 간단한 습관만으로도 바꿔치기를 훨씬 쉽게 알아채고 그 효과를 크게 줄일 수 있습니다.
QR코드 바꿔치기는 어떻게 이뤄질까
가장 흔한 방법은 단순합니다. 범죄자가 알맞은 크기의 스티커에 가짜 QR코드를 인쇄해 진짜 코드 위에 붙입니다. 바쁜 손님 눈에는 평소와 다름없어 보입니다.
가짜 코드는 다음과 같은 일을 할 수 있습니다.
- 카드 정보, 로그인 정보, 개인정보를 요구하는 모조 웹사이트를 엽니다.
- 다른 계좌의 결제 QR을 보여 줘 돈이 가게가 아닌 사기범에게 가게 합니다.
- 방문자에게 앱이나 파일을 내려받으라고 재촉하는 페이지로 이동시킵니다.
여러 나라의 소비자 보호 기관과 은행이 주차 정산기, 결제 거치대, 공공 안내판의 가짜 QR 스티커에 대해 경고해 왔습니다. 사업자에게는 피해가 이중입니다. 손님은 돈을 잃고, 대개 스캔한 매장을 탓하게 됩니다.
코드가 훼손됐다는 신호
직원들이 다음 신호를 알아볼 수 있도록 교육하세요.
- 가장자리가 들떠 있거나, 기포가 있거나, 원래 코드와 크기가 살짝 다른 스티커.
- 안내판의 나머지 부분보다 더 새것 같거나, 더 반짝이거나, 색이 다른 코드.
- 원래 코드 옆에 "여기를 스캔하면 할인" 같은 솔깃한 문구와 함께 붙은 두 번째 코드.
- 코드 주변의 손상, 긁힘, 접착제 자국.
- 결제할 때 이상한 페이지, 로그인 요구, 낯선 계좌 이름을 봤다는 손님의 이야기.
가장 좋은 확인 방법은 직접 스캔해 보는 것입니다. 내 코드를 스캔했을 때 목적지는 정확히 예상한 링크여야 하고, 결제 코드라면 올바른 받는 사람 이름이 나와야 합니다.
매일 하는 QR코드 점검 루틴
습관이 되면 코드 하나당 1분도 걸리지 않습니다. 간단한 체크리스트는 다음과 같습니다.
- 목록 만들기. 게시한 모든 QR코드를 위치와 예상 목적지와 함께 목록으로 정리하세요.
- 보고 만져 보기. 영업 시작 때 코드를 하나씩 확인하세요. 손가락으로 쓸어 스티커가 한 겹 더 붙어 있는지 느껴 보세요.
- 샘플 스캔하기. 직원 휴대폰으로, 가능하면 날마다 다른 휴대폰으로 스캔해 목적지를 확인하세요.
- 결제 코드 확인하기. 은행 앱에 표시되는 받는 사람 이름이 내 사업장과 일치하는지 확인하세요.
- 수상한 것은 즉시 제거하기. 가능하면 붙어 있는 상태 그대로 사진을 찍고, 떼어 낸 것은 증거로 보관하세요.
- 점검 기록하기. 날짜와 이름 이니셜을 간단한 일지에 적어 빠진 날이 없는지 알 수 있게 하세요.
우리 QR코드 스캐너 같은 온라인 도구는 열기 전에 목적지를 보여 주므로, 믿기 어려운 페이지에 접속하지 않고도 링크를 쉽게 확인할 수 있습니다.
바꿔치기하기 어렵게 만들기
물리적인 선택만으로도 덧붙인 스티커를 더 눈에 띄게 하거나 붙이기 어렵게 만들 수 있습니다.
- 코드를 안내판이나 메뉴 카드 디자인에 직접 인쇄하세요. 별도의 스티커를 쓰지 않으면 덧붙인 스티커가 바로 눈에 띕니다.
- 스티커여야 한다면 훼손 방지(파손형) 라벨 재질을 쓰세요. 누군가 떼거나 덮으려 하면 찢어지거나 무늬가 드러납니다.
- 코드를 투명 아크릴 뒤나 액자 안에 넣으세요. 코드 위에 직접 아무것도 붙일 수 없습니다.
- 코드 근처에 상호명과 짧은 문구를 넣으세요. 예를 들어 "결제 받는 곳: 상호명"처럼 쓰면 손님이 무엇을 확인해야 하는지 알 수 있습니다.
- 코드를 직원 눈에 띄는 곳에 두세요. 계산대의 코드는 아무도 없는 야외 안내판의 코드보다 훨씬 바꿔치기하기 어렵습니다.
- 같은 코드를 여러 개 두지 마세요. 게시한 코드가 많을수록 점검할 것도 늘어납니다.
모니터링할 수 있는 동적 링크 쓰기
동적 QR코드는 내 페이지로 연결해 주는 짧은 링크를 가리킵니다. 덕분에 유용한 통제권이 생깁니다.
- 다시 인쇄하지 않고 언제든 목적지를 바꿀 수 있습니다. 웹사이트를 옮기거나 페이지가 해킹당했을 때 도움이 됩니다.
- 스캔 통계로 평소 패턴을 알 수 있습니다. 특정 위치의 스캔 수가 갑자기 줄었다면 그곳 코드가 가짜로 덮였을 수 있습니다.
- 브랜드가 드러나는 단축 링크는 알아보기 쉽습니다. 손님이 링크가 예상한 것과 일치하는지 확인할 수 있습니다.
QR-TH의 동적 코드는 qr-th.com/r/ 형태의 단축 링크를 쓰며, 모든 링크를 Google Safe Browsing으로 검사하고 매일 밤 다시 검사합니다. 방문자는 링크가 열리기 전에 목적지를 보여 주는 로딩 페이지도 볼 수 있습니다. 이런 기능이 누군가 안내판에 가짜 스티커를 붙이는 것 자체를 막을 수는 없지만, 문제를 알아채고 내 링크를 깨끗하게 유지하는 데 도움이 됩니다.
결제용 QR코드는 더 신경 써야 합니다
결제 코드는 바꿔치기에 성공하면 돈이 곧바로 범죄자에게 가기 때문에 가장 매력적인 표적입니다.
- 손님에게 결제 전에 은행 앱에서 받는 사람 이름을 확인하라고 안내하고, 안내판에도 적어 두세요.
- 가능하다면 고정된 인쇄 스티커 대신 화면이나 단말기에 변동형 결제 QR을 띄우세요.
- 인쇄된 PromptPay QR을 쓴다면 매일 확인하고 계산대 가까이에 두세요.
- 손님이 다른 이름으로 결제됐다고 알려 오면 즉시 해당 코드 사용을 중단하고 은행에 연락하세요.
손님이 결제 전에 확인해야 할 점은 QR결제 안전 가이드에서 설명합니다.
가짜 코드를 발견했다면
- 가짜 스티커를 떼어 보관하세요. 떼기 전과 후에 사진을 찍어 두세요.
- 여러 개가 바뀌었을 수 있으니 다른 코드도 모두 즉시 확인하세요.
- 손님이 스캔했을 가능성이 있다면 무엇을 주의해야 하는지 짧은 안내문을 붙이세요.
- 경찰에 신고하고, 결제 코드였다면 은행에도 알리세요.
- 새로 인쇄한 코드로 교체하고 설치 위치를 다시 검토하세요.
자주 묻는 질문(FAQ)
QR코드 스티커가 가짜인지 어떻게 알 수 있나요?
가장자리가 들떠 있는지, 크기나 마감이 다른지, 원래 코드 위에 무언가 붙어 있는지 살펴보세요. 그다음 스캔해서 목적지나 결제 받는 사람 이름이 내 사업장과 일치하는지 확인하세요.
동적 QR코드를 쓰면 바꿔치기를 막을 수 있나요?
아니요. 인쇄된 코드라면 무엇이든 위에 스티커를 붙일 수 있습니다. 동적 코드는 스캔을 모니터링하고 목적지를 빠르게 바꿀 수 있게 해 줘서, 문제를 더 쉽게 찾아내고 고칠 수 있게 도와줍니다.
QR코드는 얼마나 자주 점검해야 하나요?
공공장소나 사람이 많은 곳의 코드는 매일, 가능하면 영업 시작 때 점검하는 것이 좋습니다. 직원 전용 공간이나 관리되는 공간의 코드는 덜 자주 점검해도 됩니다.
손님은 QR결제 전에 무엇을 확인해야 하나요?
결제를 승인하기 전에 은행 앱에 표시된 받는 사람 이름과 금액이 가게와 일치하는지 확인해야 합니다.
인쇄된 QR코드를 지키는 일은 대부분 루틴의 문제입니다. 코드가 어디 있는지 알고, 자주 점검하고, 가짜를 쉽게 알아볼 수 있게 만드세요. QR-TH 무료 QR코드 생성기로 추적 가능한 동적 코드를 만들고, 스캔 통계로 모든 위치를 꾸준히 지켜보세요.