QR코드 사기, 흔히 큐싱(Quishing)이라고 부르는 수법은 QR코드로 가짜 웹사이트에 접속하게 만들어 비밀번호, 카드 정보, 돈을 빼앗는 것입니다. QR코드는 눈으로 읽을 수 없기 때문에 사기범은 그 안에 악성 링크를 숨깁니다. 가장 좋은 방어법은 간단합니다. 열거나 결제하기 전에 항상 링크 미리보기를 확인하세요.
QR코드는 편리하고, 바로 그 편리함 때문에 범죄자들이 좋아합니다. 큐싱이 어떻게 작동하는지, 어떻게 알아챌 수 있는지 알아보겠습니다.
큐싱이란?
큐싱은 'QR'과 '피싱(Phishing)'을 합친 말입니다. 피싱은 은행, 택배사, 공공기관 같은 믿을 만한 곳을 사칭해 민감한 정보를 넘기게 만드는 모든 속임수를 말합니다. 큐싱도 똑같지만, 클릭할 수 있는 링크 대신 QR코드로 가짜 링크를 전달한다는 점이 다릅니다.
사기범들이 이 방법을 쓰는 이유는 다음과 같습니다.
- 링크가 보이지 않습니다. 은행으로 가는 QR코드든, 가짜 사이트로 가는 QR코드든 겉모습은 똑같습니다.
- 휴대폰으로 옮겨 가게 만듭니다. 작은 화면에서는 주소창을 자세히 살피거나 철자가 살짝 틀린 도메인을 알아채기 어렵습니다.
- 필터를 피해 갈 수 있습니다. 이메일·메시지 필터는 텍스트 속 의심스러운 링크는 잘 잡아내지만, 이미지 안에 숨은 링크는 잡아내기 더 어려울 수 있습니다.
- 사람들이 QR코드를 믿습니다. 식당과 가게에서 매일 스캔하다 보니 멈춰서 의심하는 일이 드뭅니다.
여러 나라의 소비자 보호 기관과 은행이 QR코드 사기, 특히 주차 정산기, 결제 안내판, 이메일 속 가짜 QR코드에 대해 주의를 당부해 왔습니다.
QR코드 사기가 나타나는 곳
큐싱은 QR코드가 있을 법한 곳이라면 어디든 나타날 수 있습니다. 흔한 장소는 다음과 같습니다.
- 공공 시설물에 붙은 스티커. 주차 정산기, 전기차 충전기, 공유 자전거 거치대, 버스 정류장의 진짜 코드 위에 가짜 코드를 덧붙입니다.
- 결제 카운터. 매장이나 시장 노점의 결제 QR을 바꿔치기해 판매자가 아닌 사기범에게 돈이 가게 합니다.
- 이메일. 비밀번호가 곧 만료된다, 서명할 문서가 있다, 계정이 잠겼다며 QR코드로 '해결'하라고 합니다.
- 우편물과 택배 안내문. 가짜 부재중 배송 안내나 공문처럼 보이는 우편물로 스캔해서 소액을 결제하라고 요구합니다.
- 전단지와 포스터. 무료 사은품이나 파격 할인처럼 너무 좋아 보이는 혜택으로 가짜 쇼핑몰이나 개인정보 수집 양식으로 유도합니다.
- SNS와 메신저. 단체방이나 개인 메시지로 QR코드를 공유하며 급하게 행동하도록 재촉합니다.
실제 사례에 가까운 시나리오는 흔한 QR코드 사기 유형 가이드에서 더 자세히 볼 수 있습니다.
가짜 QR코드의 위험 신호
대부분의 QR 사기는 기술 지식 없이도 알아챌 수 있습니다. 다음 신호를 눈여겨보세요.
- 다른 코드 위에 붙은 스티커. 손가락으로 코드를 쓸어 보세요. 튀어나와 있거나 가장자리가 들떠 있거나 주변 안내판보다 새것처럼 보이면 의심해야 합니다.
- 맞지 않는 링크. 미리보기에 해당 기관의 공식 도메인이 아닌 주소, 이상한 철자, 무작위 문자열이 보입니다.
- 긴박감이나 협박. "오늘 계정이 정지됩니다", "1시간 안에 결제하세요"는 전형적인 압박 수법입니다.
- 로그인 정보나 카드 정보 요구. 주차 정산기, 메뉴판, 택배 안내문이 인터넷뱅킹 비밀번호를 요구할 일은 거의 없습니다.
- 예상치 못한 앱 설치 요구. 특히 공식 앱 마켓이 아닌 곳에서 앱을 설치하라고 하면 매우 조심하세요.
- 로그인을 요구하는 이메일 속 QR코드. 정상적인 서비스는 보통 웹사이트나 앱에 직접 접속해 로그인하도록 합니다.
- 결제 시 다른 수취인 이름. 은행 앱에 표시된 이름이 결제하려는 가게가 아니라면 멈추세요.
QR코드 사기 예방법
좋은 습관만으로도 큐싱의 효과를 크게 줄일 수 있습니다. 실천 체크리스트는 다음과 같습니다.
- 미리보기를 먼저 읽기. 카메라는 링크를 열기 전에 보여 줍니다. 2초만 들여 도메인을 확인하세요.
- 애매하면 직접 접속하기. 스캔하는 대신 회사 웹사이트 주소를 직접 입력하거나 공식 앱을 여세요.
- 결제 전 수취인 확인하기. 은행 앱은 돈을 받을 사람을 보여 줍니다. 가게와 일치하는지 확인하세요. 자세한 내용은 QR 결제 안전 가이드에서 다룹니다.
- 모르는 코드로 연 페이지에서 비밀번호 입력 금지. 로그인을 요구하면 창을 닫고 공식 앱으로 로그인하세요.
- 2단계 로그인 켜기. 비밀번호가 유출되더라도 인증 앱이 두 번째 장벽이 되어 줍니다.
- 휴대폰을 최신 상태로 유지하기. 보안 업데이트는 악성 페이지가 노릴 수 있는 약점을 고쳐 줍니다.
- 안전하게 미리 보여 주는 스캐너 사용하기. 확신이 없을 때는 아무것도 열기 전에 목적지를 보여 주는 도구로 스캔하세요.
QR-TH에서는 모든 단축 링크를 생성할 때 Google Safe Browsing으로 검사하고 매일 밤 다시 검사합니다. 방문자는 링크가 열리기 전에 목적지를 보여 주는 로딩 페이지도 볼 수 있습니다. 이런 도구는 도움이 되지만, 본인의 판단과 함께할 때 가장 효과적입니다.
가짜 QR코드를 스캔했다면
의심스러운 페이지를 열었다는 사실을 알아챘다면 침착하지만 빠르게 행동하세요.
- 페이지를 닫고 더 이상 아무것도 입력하지 마세요.
- 비밀번호를 입력했다면 진짜 웹사이트에서 즉시 변경하고, 같은 비밀번호를 쓰는 다른 곳도 모두 바꾸세요.
- 카드나 계좌 정보를 입력했다면 카드 뒷면이나 공식 앱에 있는 번호로 바로 은행에 연락하세요.
- 앱을 설치했다면 삭제하고 휴대폰 보안 검사를 실행하세요.
- 해당 가게나 장소에 알려 코드를 제거하게 하고, 금전 피해가 있다면 관계 당국에 신고하세요.
더 자세한 단계는 악성 QR코드를 스캔했을 때 해야 할 일에서 확인하세요.
사업자를 위한 팁
QR코드를 게시하는 사업자라면 사기범의 일을 어렵게 만들 수 있습니다. 인쇄된 코드에 스티커가 붙어 있지 않은지 정기적으로 확인하고, 직원이 훼손 흔적을 알아챌 수 있도록 교육하세요. 또한 관리 가능한 도메인의 동적 QR코드를 사용하면 스캔 통계를 보고 링크를 빠르게 바꿀 수 있습니다. 결제 코드 옆에 상호명을 함께 인쇄해 두면 고객이 올바른 곳에 결제하는지 확인하기도 쉬워집니다.
자주 묻는 질문(FAQ)
QR코드를 스캔하기만 해도 휴대폰이 해킹되나요?
스캔만으로는 해킹되지 않습니다. 위험한 것은 그다음 행동, 즉 가짜 웹사이트 방문, 정보 입력, 앱 설치입니다. 열기 전에 항상 링크를 확인하세요.
가짜 QR코드는 어떻게 알아보나요?
다른 코드 위에 붙은 스티커가 있는지 살피고, 링크 미리보기를 꼼꼼히 읽고, 비밀번호·카드 정보·급한 결제를 요구하는 페이지를 의심하세요. 확신이 없다면 공식 웹사이트에 직접 접속하세요.
이메일에 있는 QR코드는 안전한가요?
각별히 주의해야 합니다. 로그인, 계정 인증, 수수료 결제를 요구하는 이메일 속 QR코드는 흔한 피싱 수법입니다. 스캔하지 말고 서비스에 직접 접속하세요.
QR코드 사기는 어디에 신고해야 하나요?
코드를 발견한 가게나 장소에 알리고, 돈이나 카드 정보가 관련됐다면 은행에 연락하고, 경찰이나 지역 소비자 보호 기관에 신고하세요.
큐싱은 사람들이 생각 없이 스캔한다는 점을 노립니다. 링크를 2초만 읽어 보는 습관이면 대부분 안전하게 지킬 수 있습니다. 다음에 의심스러운 코드를 만나면 QR-TH의 온라인 QR 스캐너로 실제 목적지를 먼저 확인해 보세요.