QR코드 피싱 메일은 보통 계정을 '재인증'하거나, 문서에 서명하거나, 비밀번호를 재설정하라며 코드를 스캔하게 만듭니다. 공격자가 QR코드를 쓰는 이유는 이메일 필터가 이미지 속 링크를 읽기 어려울 수 있고, 스캔하는 순간 가짜 로그인 페이지를 알아보기 더 어려운 휴대폰으로 사용자를 옮겨 놓을 수 있기 때문입니다.
피싱은 이메일만큼 오래된 수법이지만, QR코드를 이용한 변종, 이른바 큐싱(Quishing)은 비교적 새로운 방식입니다. 마우스를 올려 확인할 수 있는 파란 링크 대신 네모난 이미지가 들어 있습니다. 이 글에서는 공격자가 이 방법을 좋아하는 이유, 이런 이메일의 전형적인 모습, 직원과 회사가 각각 할 수 있는 대응을 설명합니다.
공격자가 이메일에 QR코드를 넣는 이유
범죄자 입장에서 QR코드는 여러 문제를 한 번에 해결해 줍니다.
- 링크를 숨깁니다. 사람은 QR코드를 읽을 수 없으니 수상한 웹 주소를 한눈에 알아챌 수 없습니다.
- 필터를 빠져나갈 수 있습니다. 많은 이메일 보안 도구는 텍스트 링크를 알려진 악성 사이트 목록과 대조합니다. 이미지 속 링크는 검사하기가 더 어렵습니다. 다만 최신 도구는 점점 이미지까지 검사하고 있습니다.
- 다른 기기로 옮겨 가게 만듭니다. 이메일은 회사 보안이 적용된 업무용 노트북으로 읽지만, 스캔은 보호 장치가 적을 수 있는 개인 휴대폰으로 합니다.
- 작은 화면은 세부 정보를 가립니다. 휴대폰의 주소창은 짧고, 가짜 로그인 페이지는 진짜와 거의 똑같아 보입니다.
- 최신식이고 공식적인 느낌을 줍니다. 은행, 항공사, 회사도 QR코드를 쓰기 때문에 이메일 속 코드가 곧바로 의심을 사지는 않습니다.
QR코드 피싱 메일의 전형적인 모습
내용은 다양하지만 대개 익숙한 패턴을 따릅니다. 자주 쓰는 주제는 다음과 같습니다.
- "비밀번호가 오늘 만료됩니다. 현재 비밀번호를 유지하려면 스캔하세요."
- "다중 인증(MFA)을 다시 활성화해야 합니다. 휴대폰으로 스캔하세요."
- "공유된 문서가 있습니다. 스캔해서 확인하세요."
- "급여 또는 성과급 내역이 업데이트되었습니다."
- "택배 또는 청구서 확인이 필요합니다."
대표적인 경고 신호:
- 긴급함: 짧은 마감 시한이나 계정이 잠긴다는 협박
- 이상한 발신자: 표시 이름은 'IT 지원팀'이나 유명 브랜드인데 이메일 주소가 맞지 않음
- 글은 적고 코드는 큼: 메시지 대부분이 QR코드 이미지와 짧은 안내문으로 이루어짐
- 내 이름 대신 쓰인 일반적인 인사말
- 스캔 후 로그인 페이지: 업무용 이메일과 비밀번호, 또는 인증번호를 묻는 페이지로 연결됨
마지막 항목이 가장 중요합니다. 진짜 IT 부서가 이메일로 보낸 QR코드를 통해 로그인하라고 요구하는 경우는 거의 없습니다.
이런 메일을 받았다면
직원으로서 의심스러운 QR코드 메일을 받았다면:
- 휴대폰으로 스캔하지 마세요.
- 진짜인지 물어보려고 동료에게 전달하지 마세요. 누군가 스캔할 수 있습니다.
- 회사의 피싱 신고 버튼이나 알려진 연락 경로로 IT 부서에 신고하세요.
- 계정은 직접 확인하세요. 비밀번호나 문서에 관한 내용이라면 평소 쓰는 주소나 앱으로 해당 서비스에 직접 접속하세요.
- 회사 절차에 따라 신고한 뒤에는 삭제하세요.
이미 코드를 스캔해 정보를 입력했다면 빠르게 움직여야 합니다. 비밀번호를 바꾸고, 즉시 IT 부서에 알리고, 악성 QR코드를 스캔했을 때 해야 할 일 가이드의 단계를 따르세요.
업무 외 상황에서도 같은 습관이 통합니다. 열지 않고 코드가 어디로 가는지 알고 싶다면 QR-TH의 온라인 QR코드 스캐너처럼 목적지를 먼저 보여 주는 스캐너로 확인한 뒤 클릭하세요.
회사가 직원을 보호하는 방법
모든 QR코드 피싱을 막는 단일 도구는 없습니다. 좋은 보호는 기술, 절차, 사람을 함께 아우릅니다.
이메일 및 보안 도구
- 이미지와 첨부 파일 속 QR코드를 탐지하고 그 안의 링크를 검사할 수 있는 이메일 보안을 사용합니다
- 회사 기기와, 필요하다면 관리 대상 휴대폰에도 링크 검사와 안전 브라우징 보호를 켜 둡니다
- 외부에서 온 이메일, 특히 사내 부서처럼 보이는 이름을 쓰는 이메일에는 분명한 표시를 붙입니다
강력한 로그인 보호
- 모든 직원 계정에 다중 인증을 의무화합니다
- 일회용 인증번호는 가짜 페이지에서 빼앗길 수 있으므로, 가능하면 패스키나 보안 키처럼 피싱에 강한 방식을 우선합니다
- 문자 메시지보다 인증 앱 사용을 권장합니다. 선택지는 2단계 인증 가이드에서 설명합니다.
- 새로운 국가나 기기에서의 로그인 같은 비정상 로그인을 모니터링합니다
명확한 절차
- "IT 부서는 절대로 이메일 속 QR코드로 로그인하라고 요청하지 않는다"는 원칙을 모두가 알게 합니다
- 의심 메시지를 신고하는 간단한 방법 하나를 마련하고, 신고한 사람에게 고마움을 표현합니다
- 누군가 실수를 신고하면 비밀번호를 빠르게 재설정하고 세션을 종료하는 계획을 마련해 둡니다
기억에 남는 교육
- 교육에서 실제와 비슷한 QR코드 피싱 메일 예시를 보여 줍니다
- "이게 왜 QR코드여야 하지?"라는 단순한 질문을 습관으로 만들게 합니다
- QR코드를 포함한 모의 피싱 훈련을 하고, 비난 대신 친절한 피드백을 줍니다
실수를 안심하고 신고할 수 있는 직원일수록 더 빨리 신고하고, 그만큼 피해가 줄어듭니다.
이메일 속 정상적인 QR코드
이메일에 들어 있는 QR코드가 모두 악성인 것은 아닙니다. 행사 입장권, 탑승권, 일부 로그인 기기 연결에는 정상적으로 QR코드가 쓰입니다. 차이는 보통 맥락에 있습니다. 내가 예상한 이메일이고, 내가 한 행동과 관련이 있으며, 코드는 낯선 페이지에 비밀번호를 입력하는 용도가 아니라 보여 주거나 알려진 앱에서 쓰는 용도입니다.
정상적인 QR코드를 보내는 회사는 코드가 무엇을 하는지 설명하고, 대안으로 알아보기 쉬운 링크를 함께 넣고, 신뢰할 수 있는 도메인을 사용하면 도움이 됩니다.
FAQ
피싱 메일은 왜 링크 대신 QR코드를 쓰나요?
사람과 일부 필터 모두에게서 링크를 숨길 수 있고, 스캔하면 피해자가 보안 장치와 시각적 단서가 더 약한 휴대폰으로 옮겨 가기 때문입니다.
이메일 서비스가 QR코드 피싱을 막아 줄 수 있나요?
많은 이메일 보안 서비스가 이제 이미지 속 QR코드를 찾아 링크를 검사하지만, 모든 것을 잡아내지는 못합니다. 본인의 주의가 여전히 중요한 보호막입니다.
은행에서 온 이메일 속 QR코드는 스캔해도 되나요?
조심하세요. 은행이 이메일 속 QR코드로 로그인하라고 요구하는 일은 드뭅니다. 은행 공식 앱을 열거나 주소를 직접 입력하세요.
스캔 후 회사 비밀번호를 입력했다면 어떻게 하나요?
즉시 비밀번호를 바꾸고, IT 또는 보안팀에 알리고, 의심스러운 로그인이 있었는지 확인을 요청하세요. 빠르게 대응할수록 피해가 크게 줄어듭니다.
열기 전에 확인하세요
QR코드 피싱은 사람들이 생각 없이 스캔할 때 성공합니다. 확인을 습관으로 만드세요. 예상하지 못한 코드가 오면 QR-TH의 QR코드 온라인 스캔 도구로 어디로 연결되는지 먼저 확인한 뒤 열지 말지 결정하세요.