QR코드 사기 ‘큐싱’ 실제 사례부터 예방법 및 2025 트렌드까지
SKT해킹 사건과 같이 개인이 일상생활에서 유의해야만 하는 시대입니다. 최근 QR코드를 악용한 신종 사기 수법, 큐싱(Qshing)이 급증하고 있습니다. 일상 속 편리함을 노린 이 범죄는 개인정보 탈취부터 소액결제 피해까지 다양한 수법으로 확산 중인데요. 이 글에서는 최근 큐싱 사례부터 위험성, 예방법, 그리고 2025년 보안 동향까지 상세히 알려드립니다.
큐싱이란?
큐싱(Qshing)은 QR코드(Quick Response Code)와 피싱(Phishing)의 합성어로, 사용자가 QR코드를 스캔하면 악성 웹사이트나 앱으로 유도되어 개인정보를 탈취하거나 금융사기로 이어지는 사이버 범죄입니다.
QR코드의 편리함을 노린 이 수법은 최근 소비자 일상 깊숙이 파고들고 있습니다.
어디서나 볼 수 있는 이 QR코드의 편리함을 악용하여 범죄로 이어진다는 것이 정말 세상에 믿을 것이 하나도 없다는 생각이 듭니다. 아예 QR코드는 접속 자체를 하지 않는 것도 방법입니다.
최근 사례
- 저도 받아 본 사례가 있는데요. 예를 들어 택배 회사를 사칭한 문자 메시지에 "배송 조회는 QR코드 스캔!"이라는 문구와 함께 악성 QR코드가 포함된 경우가 많습니다. 만약, 내가 최근에 택배를 시킨적이 없다면 쉽게 "이거 뭐지?"라고 의심을 할 수 있겠지만, 재수없게 그 시기에 택배를 시킨 일이 있다면 무심코 누르게 될 수 있다는 것이 큰 리스크입니다.
- 또 하나 주목할 만한 사례는 음식점에서 발생하는 수법입니다. 식당의 테이블 위에 부착된 메뉴판 QR코드를 누군가 몰래 바꿔치기한 사례로, 손님이 해당 QR을 스캔하면 실제 메뉴가 아닌 악성 웹사이트로 연결됩니다. 특히 음식점, 카페, 주차장 등 사람들이 자주 들르는 장소에서 이런 일이 벌어지고 있어 일상적인 행동 속에 위협이 숨어 있는 셈입니다.
- 금융기관을 사칭한 안내문 속 QR코드를 통해 가짜 사이트로 유도하는 수법도 활발하게 활용되고 있습니다. 예를 들어 ‘금융지원 신청’이라거나 ‘비대면 상담을 위한 접속’ 등으로 안내한 뒤 가짜 은행 페이지로 접속하게 만들어 계좌 비밀번호, 공인인증서 등을 탈취하는 방식입니다.
- 전자출입명부 확인처럼 그럴듯한 명분으로 QR 스캔을 유도한 뒤, 단 한 번의 클릭만으로도 소액결제가 발생하거나 악성 앱이 몰래 설치되는 일이 실제로 벌어지고 있습니다. 무심코 찍은 QR 하나가 지갑을 털고 스마트폰을 감염시킬 수 있다는 사실, 이제는 상식으로 인식해야 할 때입니다.
위험성
큐싱의 위험은 단순히 개인정보 유출에 그치지 않습니다.
- 악성앱이 설치되면 해커가 백도어를 통해 스마트폰을 원격으로 조작할 수 있고, 금융사이트를 위장한 피싱 페이지를 통해 계좌 정보나 카드 정보를 입력하도록 유도되기도 합니다.
- 랜섬웨어나 키로거 프로그램이 함께 설치되어 기기 전체가 감염될 수도 있으며, 사용자의 모르게 소액결제가 연동돼 금전 피해로 이어지는 경우도 많습니다.
예방법
- QR코드를 스캔한 후에는 반드시 연결되는 URL을 확인하고, 도메인에 이상하거나 철자 오류가 있다면 절대 접속하지 않아야 합니다.
- 공공장소에 부착된 QR코드, 특히 스티커 형태는 누군가 조작했을 가능성이 있으므로 직접 웹사이트 주소를 입력하는 것이 더 안전합니다.
- QR을 통해 앱 설치를 유도하는 경우에도 반드시 구글 플레이스토어나 애플 앱스토어 같은 공식 경로를 통해 설치해야 합니다.
- 스마트폰 보안 설정에서 알 수 없는 앱 설치를 차단하고, 신뢰할 수 있는 모바일 백신을 설치하는 것도 중요합니다.
※ 모바일 백신: 알약M, V3 모바일 등 - 문자나 카카오톡 등으로 전달된 QR코드는 출처가 명확하지 않다면 절대로 스캔하지 않는 것이 최선입니다.
2025 최신 동향 및 트렌드
최근에는 인공지능(AI)을 이용해 정교하게 위조된 QR코드가 등장하고 있습니다.
겉보기엔 정식 QR과 구분이 어렵기 때문에 사용자 입장에선 더욱 주의가 필요합니다.
특히 간편 결제 서비스를 노린 큐싱 사례가 늘고 있는데, 결제 QR코드를 교체해 피해자에게 무단으로 소액결제가 이뤄지도록 만드는 방식입니다.
또, 디지털 리터러시가 낮은 노년층을 대상으로 한 큐싱 공격도 증가하고 있으며, 대부분 문자나 안내장을 통해 QR을 유도합니다. (※ 디지털 리터러시란 디지털 기기와 인터넷을 능숙하게 활용하고, 온라인에서 정보를 올바르게 이해하고 판단하는 능력을 말함)
최근에는 해외 서버를 통해 조직적으로 큐싱 공격을 감행하는 범죄 집단도 포착되고 있어 국제적인 대응이 필요한 상황입니다.
마무리 및 행동 수칙
QR코드는 편리한 수단이지만 동시에 새로운 보안 위협의 출입구가 될 수 있습니다.
'편리함 뒤에 숨어 있는 위험'을 인지하고, 스캔 전 반드시 URL을 확인하며, 출처 불명 QR은 원천 차단하는 습관이 필요합니다. 특히 기업이나 공공기관은 QR코드 사용 시 위변조 방지 기술과 사후 검증 시스템을 도입하는 것이 요구됩니다.
일반 사용자라면 별도 보안 앱을 설치하기보다는, 스마트폰 기본 보안 설정을 활용하는 것이 먼저입니다.
★ 안드로이드는 ‘알 수 없는 앱 설치 차단’ 켜기
★ 반드시 구글 플레이스토어나 앱스토어에서만 설치하는 습관 가지기
★ 한국인터넷진흥원(KISA)에서 제공하는 큐싱 사례와 대응법을 정리한 공식 가이드를 주기적으로 확인하기
