QR코드도 함부로 찍으면 안된다…큐싱 사기 구별하는 7가지방법

식당 메뉴판부터 주차요금 결제, 공유자전거, 각종 이벤트와 본인 인증까지 QR코드는 일상 곳곳에서 사용되고 있습니다.휴대전화 카메라만 갖다 대면 바로 원하는 페이지로 이동할 수 있다는 편리함 때문입니다.

하지만 이 편리함을 악용하는 새로운 피싱 방식도 있습니다. 바로 **’큐싱(Quishing)’**입니다.큐싱은 QR코드(QR Code)와 피싱(Phishing)을 결합한 말입니다. 정상적인 QR코드처럼 보이지만 스캔하면 피싱 사이트로 연결하거나 악성 앱 설치를 유도하는 방식입니다. KISA는 실제로 스미싱 문자뿐 아니라 큐싱 QR코드도 탐지·대응 대상으로 관리하고 있습니다. 

문제는 QR코드만 보고는 그 안에 어떤 인터넷 주소가 들어 있는지 사람이 바로 알아보기 어렵다는 점입니다.따라서 이제는 ‘QR코드니까안전하겠지’라는생각보다스캔한뒤어디로연결되는지를확인하는습관이 중요합니다.

큐싱은 일반 피싱과 무엇이 다를까? QR코드 안에 위험한 주소를 숨길 수 있다

일반적인 피싱 문자에는 인터넷 주소가 직접 표시되는 경우가 많습니다. 주소가 이상하면 사용자가 클릭하기 전에 의심할 수 있습니다.QR코드는 다릅니다. 검은색과 흰색 무늬만 보고는 어떤 웹사이트로 연결되는지 즉시 알기 어렵습니다.

공격자는 이러한 특성을 이용해 QR코드 안에 피싱 사이트나 악성 앱과 연결되는 주소를 넣을 수 있습니다.KISA는 큐싱 공격을 통해 악성 앱 감염 후 전화번호와 문자정보 등의 개인정보가 유출되고 2차 피해로 이어질 수 있다고 설명합니다. 

실제 QR코드 위에 가짜 QR코드를 붙일 수도 있다

온라인에서 받은 QR코드만 위험한 것도 아닙니다. 경찰청은 큐싱 수법 중 하나로 공공장소의 정상 QR코드 위에 가짜 QR코드를 덧붙이는 방식을 소개한 바 있습니다.

예를 들어 주차장이나 공유자전거, 공공시설 등에 붙어 있는 QR코드 위에 다른 스티커가 붙어 있다면 사용자가 정상 서비스라고 생각하고 스캔할 가능성이 있습니다. 그래서 공공장소의 QR코드는 스캔하기전에스티커가덧붙여져있지는않은지살펴보는습관도 필요합니다.

특히 조심해야 할 큐싱 유형

1. 무료 쿠폰·이벤트 QR코드

‘무료 쿠폰 지급’, ‘이벤트 참여’, ‘경품 받기’처럼 혜택을 강조하면 사람은 QR코드를 빠르게 스캔하기 쉽습니다. QR코드를 찍은 뒤 로그인이나 카드정보 입력까지 요구한다면 이벤트를 진행하는 업체의 공식 홈페이지에서 동일한 행사가 실제 진행 중인지 확인하는 것이 좋습니다.

2. 공공장소에 붙어 있는 QR코드

주차장, 전동킥보드, 공유자전거, 안내판 등에 QR코드가 많이 사용됩니다. 특히 원래 인쇄된 QR코드 위에 별도의 QR 스티커가 붙어 있다면 한 번 더 확인할 필요가 있습니다. 경찰청도 공공장소에 노출된 QR코드를 이용할 때 가짜 QR코드가 붙어 있지 않은지 살펴볼 것을 권고하고 있습니다. 

3. 기관·회사 직원을 사칭한 QR코드

더 주의해야 할 형태도 있습니다. KISA는 2026년 1월 정부기관이나 싱크탱크 직원 등을 사칭해 피해자에게 QR코드 촬영을 유도하고 악성 앱 설치 또는 인증정보 탈취를 노리는 공격 정황을 경고했습니다.  따라서 업무상 받은 이메일이라도 QR코드 스캔 후 프로그램 설치나 계정 인증을 요구한다면 발신자를 별도로 확인하는 것이 안전합니다.

큐싱 사기 구별하는 7가지 방법

1. 출처를 모르는 QR코드는 바로 찍지 않는다

가장 기본적인 원칙입니다. 누가 만들었는지 알 수 없는 QR코드라면 호기심 때문에 바로 스캔하지 않는 것이 좋습니다. 특히 온라인 커뮤니티나 SNS에 올라온 QR코드라면 출처부터 확인하세요.

2. QR코드 위에 다른 스티커가 붙어 있는지 확인한다

공공장소에서는 QR코드의 물리적인 상태를 먼저 살펴보세요. 원래 안내판과 재질이 다르거나 QR코드 부분만 별도의 스티커로 덮여 있다면 정상 코드인지 확인하는 것이 좋습니다.

3. 스캔 후 나타나는 인터넷 주소를 확인한다

QR코드를 스캔했다고 바로 다음 단계로 넘어가지 마세요. 연결될 주소가 표시된다면 업체나 기관의 공식 도메인이 맞는지 확인합니다. 철자가 미묘하게 다르거나 의미를 알기 어려운 주소라면 접속하지 않는 편이 안전합니다.

4. 개인정보 입력을 요구하면 한 번 더 확인한다

QR코드를 통해 접속한 페이지에서 주민등록번호, 계정 비밀번호, 카드정보 또는 인증정보 등을 요구한다면 바로 입력하지 마세요. 해당 기관의 공식 앱이나 홈페이지를 직접 찾아 동일한 절차가 존재하는지 확인하는 것이 좋습니다.

5. 앱 설치를 요구하면 중단한다

QR코드를 찍은 뒤 갑자기 앱이나 파일을 설치하라는 안내가 나온다면 특히 주의해야 합니다. KISA가 경고한 큐싱 공격에서도 악성 앱 설치와 인증정보 탈취가 주요 위험으로 지적됩니다. 

6. 결제를 요구하면 공식 앱으로 다시 접속한다

주차비나 서비스 이용료를 결제하는 QR코드라면 결제 페이지가 실제 운영업체의 것인지 확인하세요. 조금이라도 이상하다면 QR코드를 통한 결제를 중단하고 해당 업체의 공식 앱이나 홈페이지를 직접 이용하는 것이 안전합니다.

7. 지나치게 좋은 혜택은 먼저 검색한다

무료 상품, 고액 경품, 저금리 대출, 투자 혜택 등 지나치게 좋은 조건으로 QR코드 스캔을 유도한다면 경계할 필요가 있습니다. 경찰청 역시 무료 쿠폰, 가상화폐, 저금리 대출 등을 미끼로 한 가짜 QR코드 유형을 소개했습니다. 

20초 큐싱 확인 체크리스트

QR코드를 찍기 전에 아래 다섯 가지를 확인해보세요.

여기에 하나라도 해당한다면 다음 단계로 진행하기 전에 공식 홈페이지나 앱에서 다시 확인하는 것이 좋습니다. 특히 여러 항목이 동시에 나타난다면 해당 QR코드를 통한 로그인·결제·앱 설치는 중단하는 것이 안전합니다.

최근에는 문자 링크뿐 아니라 AI 음성·영상 기술을 이용한 딥페이크 피싱도 함께 주의해야 합니다.

이미 수상한 QR코드를 찍었다면?

QR코드를 스캔했다는 사실만으로 반드시 피해가 발생했다고 볼 필요는 없습니다. 중요한 것은 스캔 이후 무엇을 했는지입니다. 단순히 주소를 확인하고 창을 닫은 것과, 피싱 페이지에서 비밀번호를 입력하거나 악성 앱을 설치한 것은 위험 수준이 다릅니다. 비밀번호를 입력했다면 해당 계정의 비밀번호를 변경하고 다른 서비스에서도 같은 비밀번호를 사용하고 있는지 확인하세요.

금융정보를 입력했다면 해당 금융회사에 신속하게 확인하는 것이 좋습니다.

앱을 설치했다면 사용을 중단하고 보안 점검을 진행해야 합니다. KISA는 스미싱·큐싱 관련 상담 및 신고를 국번 없이 118, 카카오톡 보호나라 채널 등을 통해 받고 있습니다. 

QR코드는 위험한 기술이 아니라 ‘확인이 필요한 도구’

QR코드 자체가 위험한 것은 아닙니다.

문제는 QR코드 안에 어떤 주소가 들어 있는지 사용자가 눈으로 바로 확인하기 어렵다는 특성을 범죄자가 악용할 수 있다는 것입니다. 따라서 QR코드를 무조건 사용하지 않는 것보다 스캔 전 출처 확인 → 연결 주소 확인 → 개인정보·앱 설치 요구 확인이라는 세 단계를 습관화하는 것이 현실적인 예방 방법입니다.

딥페이크 피싱도 마찬가지입니다.

AI로 만든 얼굴이라고 무조건 알아내려고 하기보다 돈이나 개인정보를 요구할 때 다른 방법으로 신원을 재확인하는 것이 더 효과적일 수 있습니다. 큐싱 역시 QR코드 모양만 보고 가짜를 판별하려 하기보다 QR코드가나를어디로보내고무엇을요구하는지를확인하는것이 핵심입니다.

출처
보호나라  KISA 경찰청