QR코드 피싱·큐싱을 구별하고 안전하게 스캔하는 방법

식당 주문, 주차 정산, 공유 자전거, 전자문서 확인처럼 QR코드를 찍는 일이 일상이 됐습니다. 문제는 작은 사각형 안의 주소를 눈으로 읽기 어렵다는 점입니다. 공격자는 정상 안내판 위에 가짜 스티커를 덧붙이거나 이메일·메신저에 악성 QR코드를 넣어 피싱 사이트 접속이나 악성 앱 설치를 유도합니다. 이런 수법을 QR코드와 피싱의 합성어인 큐싱(Quishing)이라고 부릅니다.

공유 자전거 거치대에서 덧붙인 QR코드 스티커를 확인하는 스마트폰 사용자 — 공공장소의 QR코드는 덧붙인 스티커인지 살피고, 스캔 뒤에는 실제 연결 주소를 다시 확인하세요.

핵심 요약

출처가 불분명한 이메일·문자·메신저 속 QR코드는 스캔하지 않습니다.
공공장소에서는 원래 표면 위에 다른 QR 스티커가 덧붙었는지 손상·모서리·재질을 확인합니다.
스캔 직후 열기 전에 미리 표시되는 도메인을 보고, 철자 변형과 단축 주소를 경계합니다.
QR 접속 뒤 로그인·카드정보·인증번호를 요구하거나 앱 설치 파일을 내려받게 하면 중단합니다.
의심되면 KISA 118 또는 카카오톡 보호나라 채널에서 상담하고, 금전 피해가 발생했다면 112와 금융회사에 즉시 신고합니다.

일반 QR코드와 큐싱은 무엇이 다른가

확인 항목	정상 사용 가능성이 높은 경우	큐싱을 의심할 신호
부착 상태	안내판에 인쇄되어 있고 표면·디자인이 자연스럽다	기존 코드 위에 스티커가 덧붙었거나 모서리가 들떠 있다
출처	공식 앱이나 기관 홈페이지 내부에서 제공한다	모르는 발신자의 메일·문자, 긴급 보상·과태료 문구와 함께 온다
연결 주소	알고 있는 공식 도메인과 철자가 정확히 일치한다	철자가 비슷한 낯선 도메인, 숫자 나열, 단축 주소로 연결된다
접속 후 요구	서비스 목적에 필요한 최소 동작만 안내한다	앱 파일 설치, 원격제어, 카드 비밀번호·문자 인증번호 입력을 요구한다

겉모양만으로 정상과 악성을 완전히 구별할 수는 없습니다. QR코드는 결국 웹주소나 앱 설치 주소를 담는 전달 수단이므로, 코드를 찍기 전 출처와 부착 상태, 찍은 뒤 실제 주소와 요구 행동을 연속해서 확인하는 것이 중요합니다.

안전하게 스캔하는 5단계

왜 이 QR코드를 찍어야 하는지 먼저 확인합니다. 주문·결제·출입처럼 현재 행동과 직접 관련이 없는 경품, 환급, 보안 점검 QR코드는 한 번 더 의심합니다.
물리적인 덧붙임을 살핍니다. 공유 자전거, 킥보드, 주차 정산기, 식당 테이블처럼 여러 사람이 접근하는 장소에서는 스티커 모서리, 기포, 이중 부착, 색상 차이를 확인합니다.
자동으로 열지 말고 주소 미리보기를 봅니다. 카메라 앱이 보여 주는 도메인을 천천히 읽습니다. 기관명 철자가 한 글자 다르거나 낯선 국가 도메인, 의미 없는 숫자·문자 조합이면 열지 않습니다.
접속 뒤 요구를 점검합니다. 단순 주문이나 안내를 위해 주민등록번호, 계좌 비밀번호 전체, 보안카드, 문자 인증번호까지 요구할 이유는 거의 없습니다. 브라우저가 앱 설치 파일을 내려받으면 취소합니다.
공식 경로로 다시 들어갑니다. 의심스러우면 QR 창을 닫고 해당 기관의 공식 앱을 직접 실행하거나 주소를 직접 입력합니다. 안내판의 고객센터 번호도 조작될 수 있으므로 공식 홈페이지에서 번호를 확인합니다.

상황별 바로 실행 체크표

상황	먼저 할 일	피해야 할 행동
공유 자전거·킥보드	공식 앱을 먼저 열고 앱 안의 스캔 기능 사용	덧붙인 스티커의 웹주소에서 새 앱 설치
식당 주문	테이블 번호와 매장 도메인을 직원에게 확인	주문 전에 카드 비밀번호·인증번호 입력
주차·과태료 안내	관할 기관 공식 사이트에서 차량번호로 재확인	긴급 납부를 재촉하는 QR에서 바로 송금
이메일 전자문서	발신 도메인과 실제 업무 관련성을 별도 연락으로 확인	QR 접속 뒤 회사 계정 비밀번호와 OTP 입력
이벤트·무료 쿠폰	브랜드 공식 앱·홈페이지에 같은 행사가 있는지 확인	앱 파일 설치나 과도한 개인정보 제공

실제 예시: 공유 자전거의 QR 스티커가 들떠 있다면

퇴근길에 공유 자전거를 빌리려는데 QR코드 한쪽 모서리가 들려 있다고 가정해 보겠습니다. 코드를 바로 찍지 말고 공식 앱을 먼저 실행합니다. 앱에서 자전거 번호를 직접 입력할 수 있는지 확인하고, 불가능하다면 다른 자전거를 이용합니다. 문제의 스티커는 억지로 떼지 말고 자전거 운영사의 공식 앱 고객센터에 위치와 기기 번호를 신고합니다. 이미 스캔했더라도 주소를 열지 않았다면 창을 닫으면 됩니다. 주소를 열었지만 아무 정보도 입력하지 않고 앱도 설치하지 않았다면 브라우저 다운로드 목록을 확인하고 의심 파일을 삭제한 뒤 최신 보안 업데이트를 적용합니다.

이미 정보 입력이나 앱 설치를 했다면

의심 사이트를 닫고 네트워크 연결을 끊은 뒤 추가 로그인·송금을 중단합니다.
다른 안전한 기기에서 해당 서비스의 공식 비밀번호를 바꾸고, 사용 중인 모든 세션을 로그아웃합니다.
금융정보를 입력했거나 송금 피해가 있으면 금융회사 고객센터와 경찰 112에 즉시 연락해 지급정지 가능 여부를 문의합니다.
악성 앱 설치가 의심되면 KISA 118에 상담하고, 설치 파일과 출처 불명 앱을 점검합니다. 감염 기기로 금융서비스를 이용했다면 인증서·보안매체 재발급 필요성도 금융회사에 확인합니다.
주소록이 유출됐을 가능성이 있으면 가족과 지인에게 유사 메시지를 조심하라고 알립니다.

휴대전화를 초기화하거나 앱을 삭제하는 것만으로 모든 피해 대응이 끝나는 것은 아닙니다. 계정 탈취, 금융정보 입력, 송금 여부에 따라 비밀번호 변경·지급정지·신고를 함께 진행해야 합니다.

자주 묻는 질문

QR코드를 스캔만 해도 바로 감염되나요?

보통은 스캔 뒤 연결된 주소를 열고 악성 앱을 설치하거나 피싱 화면에 정보를 입력하는 과정에서 피해가 커집니다. 다만 기기와 앱의 취약점을 악용할 가능성을 낮추려면 운영체제와 브라우저를 최신 상태로 유지하고, 출처 불명 주소는 열지 않는 습관이 필요합니다.

주소 앞에 자물쇠 표시와 HTTPS가 있으면 안전한가요?

HTTPS는 통신이 암호화됐다는 뜻이지 사이트 운영자가 진짜 기관이라는 보증은 아닙니다. 피싱 사이트도 인증서를 사용할 수 있으므로 도메인 철자와 공식 경로를 함께 확인해야 합니다.

아이폰은 앱 설치 위험이 없나요?

기기 종류와 관계없이 피싱 페이지에서 계정·카드정보를 입력하면 피해가 생길 수 있습니다. 안드로이드의 출처 불명 APK 설치뿐 아니라 iOS의 프로파일 설치, 계정 로그인 유도도 경계하세요.

의심 QR코드는 어디에 신고하나요?

KISA는 국번 없이 118, 카카오톡 보호나라 채널의 스미싱·큐싱 메뉴, 전자통신금융사기 통합신고대응센터의 신고 경로를 안내합니다. 실제 금전 피해나 범죄가 발생했다면 112에도 신고합니다.

결론

큐싱을 막는 핵심은 특별한 보안 기술보다 스캔 전 출처와 스티커를 보고, 스캔 후 도메인과 요구 행동을 다시 보는 두 번의 확인입니다. 오늘 자주 쓰는 공유 이동수단·주차·주문 앱은 홈 화면에 정리해 두고, QR코드가 보여도 공식 앱에서 먼저 시작하는 습관을 만들어 보세요.