QR코드 하나 찍었을 뿐인데 해킹될까?｜큐싱(Qshing) 사기의 정체
QR코드를 한 번 스캔했다고 곧바로 휴대폰이 해킹됐다고 단정할 수는 없다. 하지만 그 QR코드가 연 가짜 사이트에 비밀번호·카드정보·인증번호를 입력하거나 수상한 앱을 설치하면, 계정과 돈을 잃을 수 있다.
주차 요금, 식당 메뉴판, 공유 이동수단, 택배 안내까지 QR코드는 일상이 됐다. 편리한 만큼 공격자도 사람들이 주소를 직접 읽지 않는 순간을 노린다. 진짜 QR코드 위에 가짜 스티커를 붙이거나, 문자·이메일로 급한 사유를 만들어 QR코드를 보내는 식이다.
이런 QR코드 기반 피싱을 큐싱(Qshing)이라고 부른다. QR코드(QR)와 피싱(Phishing)을 합친 말이다. 경찰청과 한국인터넷진흥원(KISA)도 큐싱을 피싱의 한 유형으로 안내한다.
이 글은 2026년 8월 기준 경찰청·KISA·미국 우정검사국(USPIS)의 공개 안내를 바탕으로, 일상에서 QR코드를 안전하게 쓰는 기준과 이미 스캔했을 때의 대응 순서를 정리했다.
목차
- 1. 큐싱은 무엇이고, QR코드만 찍어도 위험할까
- 2. 주차·결제·메뉴판에서 벌어지는 큐싱 수법
- 3. 스캔 직후 10초 안에 확인할 것
- 4. 입력·설치 요청이 나오면 멈춰야 하는 이유
- 5. 이미 수상한 QR코드를 스캔했다면
- 6. QR코드를 안전하게 쓰는 생활 습관 6가지
- 자주 묻는 질문 (FAQ)
1. 큐싱은 무엇이고, QR코드만 찍어도 위험할까
큐싱은 QR코드에 숨긴 인터넷 주소를 이용해 가짜 사이트로 유도하고, 개인정보·금융정보·로그인 정보를 빼내려는 피싱 수법이다. QR코드는 겉으로는 검은 점무늬일 뿐이라, 사람이 스캔 전에는 어떤 주소로 가는지 알아보기 어렵다는 점을 악용한다.
중요한 구분이 있다. 스캔은 대개 링크를 여는 시작 단계다. 스캔 자체만으로 피해가 확정되는 것은 아니다. 다만 연결된 페이지가 진짜 결제창이나 로그인 화면처럼 보이면 경계가 느슨해질 수 있다. 그 상태에서 정보를 입력하거나 앱·프로필·파일 설치를 허용하는 순간 피해로 이어질 수 있다.
경찰청은 출처가 불분명한 QR코드를 스캔하지 말고, 스캔 후 연결되는 링크 주소를 다시 확인하며, 개인정보 입력과 수상한 앱 설치를 하지 말라고 안내한다. USPIS도 공공장소의 QR코드나 예상하지 못한 문자·이메일 속 QR코드가 사칭 사이트로 연결될 수 있다고 경고한다.
2. 주차·결제·메뉴판에서 벌어지는 큐싱 수법
오프라인에서는 진짜 QR코드 위에 가짜 스티커를 덧붙이는 방식이 대표적이다. 주차 정산기, 테이블 주문판, 포스터, 공유 자전거·킥보드 안내판처럼 사람들이 빨리 스캔하는 장소가 표적이 될 수 있다. 경찰청도 공공장소 QR코드가 덧붙인 가짜 코드인지 살피라고 안내한다.
온라인에서는 택배 확인, 환불, 무료 쿠폰, 계정 인증, 대출 조회 같은 말과 함께 QR코드를 보낸다. ‘지금 안 하면 배송이 취소된다’처럼 서두르게 만드는 문구가 붙으면 더 조심해야 한다. 정상 회사나 기관을 사칭한 페이지는 로고와 색상만으로는 구별하기 어렵다.
주차 결제라고 해서 QR코드가 모두 위험한 것은 아니다. 아래 사진처럼 QR코드는 실제 결제·안내에도 널리 쓰인다. 그래서 중요한 것은 QR코드를 전부 피하는 일이 아니라, 그 코드가 원래 운영자가 둔 것인지와 연결 주소가 맞는지를 확인하는 일이다.
3. 스캔 직후 10초 안에 확인할 것
QR코드를 스캔했다면 바로 ‘열기’를 누르기 전에 화면에 미리 보이는 주소를 읽자. 휴대폰 카메라나 QR 스캐너가 보여 주는 주소에서 아래 네 가지를 확인하면 된다.
- 운영 주체의 공식 도메인인가? 화면에 회사 이름이 들어 있다고 공식 사이트는 아니다. 평소 알고 있던 공식 도메인과 정확히 일치하는지 확인하고, 확신할 수 없다면 QR 링크를 열지 말고 공식 앱이나 직접 입력한 홈페이지로 접속한다.
- 지금 이 장소·업무와 맞는 요청인가? 메뉴판 QR코드가 로그인이나 앱 설치를 요구하거나, 주차 결제 QR코드가 과도한 개인정보를 요구하면 이상 신호다.
- 스티커가 덧붙여진 흔적이 있는가? 테두리가 들뜨거나, 인쇄물과 색·크기·정렬이 어색하면 스캔을 멈추고 직원이나 관리 주체에게 확인한다.
- 급하게 처리하라고 재촉하는가? ‘즉시’, ‘마감’, ‘계정 정지’ 같은 압박은 피싱에서 흔한 장치다. QR코드가 아니라 공식 앱이나 직접 입력한 공식 홈페이지로 다시 들어간다.
주소창에 자물쇠가 보여도 가짜 사이트일 수 있다. HTTPS는 기기와 그 사이트 사이의 통신을 암호화할 뿐, 그 사이트가 진짜 회사라는 보증은 아니다. 결제나 로그인이라면 QR 링크를 따르기보다 공식 앱을 열거나 주소를 직접 입력하는 편이 안전하다.
4. 입력·설치 요청이 나오면 멈춰야 하는 이유
큐싱의 목적은 보통 두 갈래다. 하나는 가짜 페이지에 아이디·비밀번호·카드번호·인증번호를 입력하게 만드는 것이고, 다른 하나는 악성 앱이나 수상한 파일 설치를 유도하는 것이다. FTC는 예상하지 못한 물품에 든 QR코드가 피싱 사이트로 연결돼 카드번호나 계정 정보를 빼내거나 악성 소프트웨어를 내려받게 할 수 있다고 경고한다.
따라서 QR코드를 통해 열린 페이지에서 다음 요청이 나오면 중단하자.
- 평소 쓰지 않던 화면에서 계정 비밀번호, 카드번호, CVC, 주민등록번호, 인증번호를 입력하라고 한다.
- 앱스토어가 아닌 웹페이지에서 앱 파일을 내려받거나 설치하라고 한다.
- 기기 관리 프로필, 접근성 권한, 화면 공유, 원격 제어 같은 권한을 허용하라고 한다.
- ‘확인’ 명목으로 소액 결제나 송금, 가상자산 전송을 요구한다.
정상 결제라도 의심되면 화면 안의 고객센터 번호를 누르지 말고, 영수증·간판·공식 웹사이트에서 찾은 연락처로 문의한다. URL을 직접 입력하거나 공식 앱으로 같은 서비스를 다시 찾는 방법이 더 낫다.
5. 이미 수상한 QR코드를 스캔했다면
스캔만 하고 아무것도 입력·설치·권한 허용하지 않았다면 피해 가능성은 상대적으로 낮다. 다만 “아무것도 입력하지 않았으니 무조건 안전하다”라고 단정해서는 안 된다. 일단 페이지를 닫고 브라우저 탭을 종료한 뒤, 의도하지 않은 다운로드나 앱 설치, 기기 설정 변경이 없었는지 확인한다.
비밀번호나 인증정보를 입력했다면 다른 신뢰할 수 있는 기기 또는 모바일 데이터 연결에서 해당 계정의 비밀번호를 즉시 바꾸고, 같은 비밀번호를 쓴 다른 계정도 각각 바꾼다. 가능한 서비스에는 2단계 인증을 켠 뒤 최근 로그인 기록과 연결된 기기를 확인한다.
카드·계좌 정보나 송금이 관련됐다면 해당 금융회사의 공식 고객센터로 즉시 연락해 거래 확인과 필요한 보호 조치를 요청한다. 의심 문자·QR 이미지·결제 화면·접속 주소는 삭제하기 전에 기록해 두자. 국내에서는 경찰청 사이버범죄 신고시스템(ECRM) 등 공식 신고 경로를 이용할 수 있다.
이때 문자나 QR코드가 안내한 전화번호·링크로 다시 들어가면 안 된다. 피해 대응도 반드시 카드 뒷면, 금융 앱, 직접 찾은 공식 홈페이지처럼 별도 경로에서 시작해야 한다.
6. QR코드를 안전하게 쓰는 생활 습관 6가지
- 예상하지 못한 문자·이메일의 QR코드는 스캔하지 않는다. 배송·환불·인증이 필요해도 해당 회사의 공식 앱이나 홈페이지에서 직접 확인한다.
- 공공장소 QR코드는 스티커 덧붙임을 먼저 본다. 특히 주차·결제처럼 돈이 오가는 곳은 관리인이나 직원에게 확인할 가치가 있다.
- 스캔 뒤에는 주소를 읽는다. 브랜드명보다 실제 도메인을 보고, 낯선 주소라면 열지 않는다.
- 결제와 로그인에는 공식 앱을 우선한다. QR코드가 열어 준 페이지보다 내가 직접 연 공식 경로가 안전하다.
- 앱·프로필·권한 설치 요청은 한 번 더 확인한다. QR코드가 열었다는 이유만으로 설치를 허용하지 않는다.
- 운영체제와 앱을 업데이트한다. 알려진 보안 취약점을 줄이는 기본 방어선이다.
QR코드는 위험한 물건이 아니다. 다만 링크를 검은 점무늬 안에 숨기는 방식이므로, 평소 링크를 클릭할 때보다 한 번 더 멈춰 보는 습관이 필요하다. ‘스캔 → 주소 확인 → 공식 경로로 재확인’을 습관으로 만들면 큐싱 피해 위험을 크게 줄이는 데 도움이 된다.
마치며
QR코드를 찍었다고 휴대폰이 자동으로 해킹되는 것은 아니다. 그러나 공격자는 그 한 번의 스캔을 가짜 결제창, 로그인창, 앱 설치 화면으로 이어지는 입구로 쓴다.
주차·메뉴판·결제 QR코드에서는 스티커 덧붙임을 살피고, 스캔 뒤에는 주소를 확인하자. 로그인·결제·권한 요청이 나오면 닫고 공식 앱이나 직접 입력한 홈페이지로 다시 들어가는 것이 가장 간단한 방어다.
자주 묻는 질문 (FAQ)
Q1. QR코드를 한 번 찍기만 해도 해킹되나요?
스캔만으로 해킹이나 피해가 확정되는 것은 아니다. 다만 스캔이 가짜 사이트로 연결하는 시작점이 될 수 있다. 그곳에 비밀번호·금융정보를 입력하거나 수상한 앱·권한 설치를 허용하지 않는 것이 중요하다.
Q2. 주차장 QR코드는 모두 위험한가요?
아니다. QR코드는 실제 주차·결제 서비스에도 널리 쓰인다. 다만 코드 위에 다른 스티커가 붙었는지 살피고, 스캔 뒤 주소가 운영 주체의 공식 도메인인지 확인하자. 의심되면 공식 앱이나 정산기 안내에 적힌 방법을 사용한다.
Q3. QR코드가 연 페이지에 자물쇠가 있으면 믿어도 되나요?
아니다. HTTPS 자물쇠는 통신 암호화 신호일 뿐, 사이트의 운영자가 진짜라는 증명은 아니다. 주소의 도메인과 서비스의 공식 경로를 함께 확인해야 한다.
Q4. 수상한 QR코드를 스캔했지만 아무것도 입력하지 않았어요. 비밀번호를 바꿔야 하나요?
입력·설치·권한 허용이 없었다면 비밀번호를 반드시 바꿔야 한다고 단정할 수는 없다. 페이지를 닫고, 낯선 앱·파일이 생기지 않았는지 확인하며 기기를 업데이트하자. 비밀번호나 인증정보를 입력했다면 즉시 변경하고 최근 로그인 기록을 확인한다.
Q5. QR코드로 앱을 설치하라고 하면 설치해도 되나요?
원칙적으로 앱은 공식 앱스토어에서 직접 찾아 설치하는 편이 안전하다. QR코드가 연결한 웹페이지에서 앱 파일, 기기 관리 프로필, 접근성 권한 등을 요구하면 설치하지 말고 서비스 운영자에게 별도 경로로 확인한다.
Q6. QR코드로 결제 정보를 입력했거나 돈을 보냈다면 무엇부터 해야 하나요?
QR코드 페이지가 아닌 금융회사의 공식 고객센터나 금융 앱으로 바로 연락해 거래 확인과 보호 조치를 요청한다. 관련 메시지·QR코드·접속 주소·결제 내역을 보관하고, 필요하면 경찰청 사이버범죄 신고시스템(ECRM) 같은 공식 신고 경로를 이용한다.
참고 자료
- 경찰청, 카드형 신종 사기유형? QR 찍으면 알려드려요
- 한국인터넷진흥원(KISA), KISA Insight 2024 Vol.07 국내·외 피싱 대응 현황 및 시사점
- United States Postal Inspection Service, Quishing
- Federal Trade Commission, Scam alert: QR code on an unexpected package
- Wikimedia Commons, Test QR Code at Derby.png
- Wikimedia Commons, Smart Parking Spaces with Automatic Parking Barriers in Suzhou.jpg
💻 함께 보는 IT에 EQ를 더하다
- 공공 와이파이, 그냥 연결해도 안전할까?｜카페·공항에서 주의할 것
- 딥페이크는 어디까지 진짜처럼 만들 수 있을까?｜AI 영상 구별하는 법
- 내 사진, AI에 올려도 될까?｜개인정보 체크리스트 7가지
IT에 감성과 실용을 더한 디지털 생활 정보를 기록합니다.
0 Comments
댓글 쓰기