악성 QR코드를 스캔했더라도 당황하지 마세요. 대부분의 경우 스캔 자체만으로는 아무 피해도 생기지 않습니다. 진짜 위험은 그다음에 한 행동에서 옵니다. 먼저 페이지를 닫고, 비밀번호를 입력했는지, 카드 정보를 넣었는지, 돈을 보냈는지, 앱을 설치했는지, 권한을 허용했는지 확인한 뒤 해당하는 항목마다 바로 조치하세요.
먼저 실제로 무슨 일이 있었는지 파악하세요
QR코드는 텍스트, 보통 웹 주소를 저장하는 방법일 뿐입니다. 카메라가 코드를 읽으면 휴대폰은 보통 링크를 보여 주고 내가 누르기를 기다립니다. 그러니 중요한 질문은 "스캔했나?"가 아니라 "스캔한 뒤 무엇을 했나?"입니다.
차분히 떠올려 보고 스스로에게 솔직해지세요. 다음 중 어떤 행동을 했나요?
- 미리 보기만 보고 아무것도 열지 않고 닫았다
- 웹 페이지를 열었지만 아무것도 입력하지 않았다
- 로그인 페이지에 아이디, 비밀번호, 인증번호를 입력했다
- 카드 정보, 계좌 정보, 주민등록번호나 주소 같은 개인정보를 입력했다
- 결제 QR이나 가짜 주차·택배 페이지 등을 통해 돈을 보냈다
- 앱이나 '프로필'을 내려받아 설치했거나, 알림을 허용했다
답에 따라 다음 단계가 달라집니다. 미리 보기만 봤다면 거의 확실히 괜찮습니다. 페이지만 열고 아무것도 입력하지 않았다면 위험은 낮지만, 몇 가지는 빠르게 확인해 두는 것이 좋습니다.
단계별 대처법: 지금 바로 할 일
위에서부터 차례로 진행하세요. 해당하지 않는 단계는 건너뛰어도 됩니다.
- 페이지를 닫고, 이상하면 연결을 끊으세요. 브라우저 탭을 닫습니다. 다운로드가 시작됐거나 휴대폰이 이상하게 작동하면 확인하는 동안 비행기 모드를 켜세요.
- 입력한 비밀번호를 바꾸세요. 의심스러운 페이지의 링크가 아니라 공식 앱이나 직접 입력한 진짜 웹사이트 주소에서 바꾸세요. 같은 비밀번호를 다른 곳에도 쓰고 있다면 그곳도 바꾸세요.
- 2단계 인증을 켜세요. 방금 보호한 계정에 인증 앱을 추가하면 비밀번호를 도둑맞아도 그것만으로는 로그인할 수 없습니다. 방법은 2단계 인증 가이드에서 설명합니다.
- 금융 정보를 공유했거나 돈을 보냈다면 은행에 전화하세요. 카드 뒷면이나 공식 은행 앱에 있는 번호를 이용하세요. 카드 정지, 이상 거래 모니터링, 이의 제기나 지급 정지가 가능한지 문의하세요. 여기서는 속도가 중요합니다.
- 설치한 것을 삭제하세요. 모르는 앱, 구성 프로파일, 브라우저 확장 프로그램을 지웁니다. 안드로이드에서는 모르는 앱이 접근성 권한이나 기기 관리자 권한을 갖고 있지 않은지 확인하세요. 브라우저 설정에서 수상한 웹사이트에 허용한 알림 권한도 취소하세요.
- 다른 세션에서 로그아웃하세요. 이메일, SNS 등 많은 서비스에서 활성 세션을 확인하고 다른 모든 기기에서 로그아웃할 수 있습니다. 비밀번호를 바꾼 뒤에 하세요.
- 휴대폰을 업데이트하고 보안 점검을 하세요. 대기 중인 시스템 업데이트를 설치하세요. 안드로이드에서는 Google Play 프로텍트를 실행하고, 어떤 휴대폰이든 최근 설치한 앱을 살펴보세요.
- 신고하세요. 은행, 사칭당한 서비스, 그리고 필요하다면 경찰이나 국가 사이버 범죄·소비자 보호 신고 창구에 알리세요. 실물 안내판이나 정산기에 붙은 QR코드였다면 해당 업체나 기관에 알려 제거하도록 하세요.
비밀번호나 인증번호를 입력했다면
QR코드 뒤의 피싱 페이지는 이메일 서비스, 택배사, 은행처럼 익숙한 로그인 화면을 흉내 내는 경우가 많습니다. 공격자는 훔친 정보를 바로, 때로는 몇 분 안에 사용해 봅니다.
비밀번호를 바꾼 뒤 계정에 손댄 흔적이 있는지 살펴보세요.
- 이메일에 새로 생긴 자동 전달 규칙이나 필터
- 바뀐 복구용 전화번호나 복구용 이메일
- 보안 기록이나 로그인 기록에 있는 모르는 기기나 위치
- 내가 쓰지 않았는데 내 계정에서 보내진 메시지
문자나 인증 앱의 일회용 인증번호를 가짜 페이지에 입력했다면, 공격자가 그 번호로 이미 로그인했을 수 있다고 가정하세요. 즉시 비밀번호를 바꾸고, 모든 세션에서 로그아웃하고, 복구 설정을 확인하세요.
돈을 보냈거나 카드 정보를 알려 줬다면
가능한 한 빨리 공식 경로로 은행이나 간편결제 서비스에 연락하세요. QR코드에 속았다는 사실, 시간과 금액을 알리고 안내에 따르세요. 결제 확인 화면, 표시된 받는 사람 이름, 접속했던 페이지의 스크린샷을 보관해 두세요.
이후 몇 주 동안 거래 내역도 계속 확인하세요. 사기범은 큰 금액을 시도하기 전에 소액 결제로 카드를 시험해 보기도 합니다. 주민등록번호나 주소를 알려 줬다면 나를 '알고 있는' 듯한 전화, 문자, 이메일을 특히 조심하세요. 그런 정보는 이후의 사기를 더 그럴듯하게 만듭니다.
결제 QR코드에 관해서는 확인 전에 받는 사람 이름을 확인하는 방법을 다룬 QR코드로 안전하게 결제하는 법을 읽어 보세요.
앱이나 프로필을 설치했다면
공식 앱 스토어 밖에서 설치한 앱이나 아이폰의 구성 프로파일은 활동을 엿보거나 데이터를 훔치는 데 쓰일 수 있습니다. 먼저 삭제한 뒤 다음을 확인하세요.
- 기기 관리 또는 프로파일 설정: 모르는 항목은 삭제하세요
- 안드로이드의 접근성 권한과 기기 관리자 권한: 악성 앱이 자주 요청하는 권한입니다
- 브라우저 알림 권한: 사기 사이트가 가짜 경고를 띄우는 데 씁니다
삭제할 수 없는 것이 있거나 팝업이 계속 뜬다면 사진과 중요한 데이터를 백업한 뒤 공장 초기화를 고려하세요. 그런 다음 앱은 공식 스토어에서만 다시 설치하세요.
다음에 피하는 방법
QR코드 사기는 코드가 목적지를 숨기기 때문에 통합니다. 몇 가지 습관으로 그 틈을 막을 수 있습니다.
- 누르기 전에 미리 보기 링크를 읽으세요. 도메인에 오타나 덧붙은 단어가 없는지 꼼꼼히 보세요.
- 다른 코드 위에 덧붙인 QR코드는 의심하세요. 특히 주차 정산기, 포스터, 결제 거치대에서요.
- 예상하지 못한 QR코드로 들어간 페이지에서는 절대 로그인하거나 결제하지 마세요. 대신 공식 앱을 여세요.
- 긴급함은 경고 신호입니다. "과태료를 피하려면 지금 결제하세요", "택배가 반송됩니다"는 전형적인 압박 수법입니다.
코드가 확실하지 않다면 먼저 QR-TH로 QR코드를 온라인으로 스캔해 보세요. 브라우저에서 코드를 읽고 아무것도 열기 전에 목적지를 보여 주므로 차분하게 판단할 수 있습니다. 더 많은 경고 신호는 QR코드 사기와 큐싱 가이드에서 확인하세요.
FAQ
QR코드를 스캔하는 것만으로 휴대폰이 해킹될 수 있나요?
가능성은 매우 낮습니다. 최신 상태의 휴대폰에서 스캔은 보통 텍스트나 링크를 보여 줄 뿐입니다. 피해는 대개 악성 페이지를 연 뒤 정보를 입력하거나, 결제하거나, 무언가를 설치할 때 생깁니다.
링크를 열었지만 아무것도 입력하지 않았어요. 괜찮을까요?
위험은 낮습니다. 페이지를 닫고, 그 사이트에 허용한 권한이 있다면 지우고, 휴대폰과 브라우저를 최신 상태로 유지하세요. 무언가 내려받아졌다면 열지 말고 삭제하세요.
휴대폰을 공장 초기화해야 하나요?
삭제할 수 없는 것을 설치했거나, 정리 후에도 휴대폰이 비정상적으로 작동할 때만 필요합니다. 비밀번호나 카드 정보를 도둑맞은 경우에는 초기화가 도움이 되지 않습니다. 비밀번호를 바꾸고 은행에 연락하는 것이 맞습니다.
QR코드 사기는 어디에 신고해야 하나요?
돈이 관련됐다면 은행에, 사칭당한 회사에, 그리고 관할 경찰서나 공식 사기 신고 창구에 신고하세요. 공공 안내판에 붙은 코드였다면 그 안내판의 관리자에게도 알리세요.
수상한 스캔은 걱정스럽지만, 거의 모든 경우 빠른 대처로 피해를 줄일 수 있습니다. 다음에 코드가 이상해 보이면 열기 전에 확인하세요. QR-TH의 무료 온라인 스캐너로 QR코드가 정확히 어디로 연결되는지 먼저 볼 수 있습니다.