문자 스미싱은 이제 어느 정도 걸러내는 사람이 많아졌습니다. 그런데 QR코드를 스캔했다가 뒤늦게 이상함을 느끼는 경우는 여전합니다.
이 글은 QR코드를 악용한 피싱 수법인 큐싱의 작동 방식과 실제 확인된 사례, 스캔 전후 구분 기준을 정리했습니다.
식당 메뉴판이나 주차 정산기 QR코드가 진짜인지 가려내는 기준부터 잘못 스캔했을 때 처리 순서까지 함께 담았습니다.
큐싱과 스미싱은 어떻게 다른가
큐싱(Qshing)은 QR코드와 피싱을 합친 말입니다. 코드 자체를 조작하거나 진짜 코드 위에 가짜 스티커를 덧붙여 악성 사이트나 앱 설치 화면으로 유도합니다. 문자로 링크를 보내는 스미싱과 달리 스캔 전에는 주소가 보이지 않아 의심하기가 더 어렵습니다.
카메라 앱이나 전용 앱으로 코드를 찍는 순간 브라우저가 곧장 열리거나 설치 창이 뜨는 구조입니다. 주소를 눈으로 먼저 확인할 틈이 거의 없습니다. 스미싱 차단 설정만 해둔 사람도 큐싱 앞에서는 그대로 뚫리는 이유입니다. 국내 언론에서도 QR코드 스캔 뒤 개인정보가 빠져나간 사례를 다룬 보도가 이어졌습니다.
주차장과 식당에서 확인된 큐싱 사례
미국에서는 주차 정산기의 정상 QR코드 위에 악성 스티커를 덧붙여, 요금 결제 화면처럼 꾸민 가짜 사이트로 연결한 사례가 나왔습니다. 식당 테이블 위 메뉴판 QR코드를 몰래 바꿔치기해 손님을 악성 페이지로 보낸 경우도 확인됐습니다.
공유 자전거나 킥보드 QR코드 위에 조작된 스티커를 덧붙이는 수법, 중국과 스페인 등지에서 나온 가짜 주차위반 딱지 QR코드도 같은 방식입니다. 원본 QR 위에 재질이 다른 스티커가 겹쳐 붙어 있다면 그 자체가 의심 신호입니다. 관련 사례는 보안뉴스 보도에서도 다뤘습니다.
스캔하기 전 확인할 것
QR코드 테두리나 인쇄 상태가 주변 안내문과 다르면 일단 찍지 않는 편이 안전합니다. 스티커 두께가 도드라지거나 손으로 눌렀을 때 요철이 만져진다면, 원본 위에 스티커를 덧붙였다는 신호입니다. 가맹점 이름과 QR코드 옆 안내 문구 표기가 다르게 적혀 있는 경우도 같은 의심 신호입니다.
출처를 알 수 없는 이메일이나 광고물의 QR코드, 결제와 무관한데 개인정보부터 요구하는 코드는 스캔을 피하는 편이 좋습니다. 의심되면 찍지 않는 것이 원칙입니다. 특히 URL 단축 주소로 연결되면 도착 도메인을 미리 볼 수 없어 확인 자체가 불가능합니다.
스캔한 뒤 결제 전에 볼 것
스캔 직후 뜨는 주소창의 도메인이 매장명이나 주차장 운영사와 무관하면 접속을 멈추는 것이 우선입니다. 정상 결제 페이지는 주소 앞에 자물쇠 표시가 있고 도메인도 운영 주체와 일치합니다. 결제 금액이 실제 주차 시간이나 주문 내역과 차이가 크게 나도 결제를 멈추고 매장에 직접 확인해야 합니다.
카메라 앱이 스캔 후 주소를 미리 보여주는 기능을 켜두면 링크를 누르기 전 전체 주소를 확인할 수 있습니다. 앱 설치를 요구하는 창이 뜨면, 그 QR코드가 원래 결제용이었는지부터 다시 따져봐야 할 대목입니다. 정상 결제는 대부분 브라우저 안에서 끝나고 별도 앱 설치를 요구하지 않습니다.
잘못 스캔했다면 해야 할 일
개인정보나 결제 정보를 입력하기 전이라면 브라우저를 즉시 닫고 방문 기록을 지우는 것으로 대부분 마무리됩니다. 이미 정보를 입력했거나 앱을 설치했다면 순서가 달라집니다.
기기를 비행기 모드로 전환해 네트워크부터 끊고, 설치된 앱이 있다면 삭제한 뒤 백신 앱으로 검사합니다. 카드 정보를 입력했다면 카드사 고객센터에 결제 정지를 요청하고, 경찰청(112)·금융감독원(1332)·한국인터넷진흥원(118) 중 상황에 맞는 곳에 신고합니다. 이미 결제까지 끝난 뒤라면 QR코드를 다시 확인해봐야 소용없고, 카드사 신고가 먼저입니다. 예방 수칙은 KB국민은행 안내에도 정리돼 있습니다.
QR코드 큐싱 자주 묻는 질문 (FAQ)
Q. 큐싱과 스미싱은 신고 창구도 다른가요?
신고 창구는 같습니다. 2026년 9월 기준 경찰청 112, 금융감독원 1332, 한국인터넷진흥원 118 상담센터가 24시간 운영되며 큐싱과 스미싱 피해를 함께 접수합니다.
Q. QR코드 결제는 원래 이런 방식인데 매번 의심해야 하나요?
매번 의심할 필요는 없습니다. 스티커가 겹쳐 붙어 있거나 도메인이 낯설 때만 결제 전 한 번 더 확인하는 습관으로도 대부분 걸러집니다.
Q. 카메라 앱과 별도 QR 스캐너 앱 중 뭐가 더 안전한가요?
스캔 즉시 브라우저부터 여는 앱보다 주소를 먼저 보여주는 앱이 낫습니다. 기본 카메라 앱 상당수가 스캔 후 주소를 먼저 띄우는 방식입니다.
Q. 스마트폰이 익숙하지 않은 가족에게는 뭐부터 알려줘야 하나요?
QR코드를 스캔한 뒤 곧바로 개인정보나 카드 번호를 입력하는 화면이 뜨면 일단 닫으라는 규칙 하나면 충분합니다. 설정이 헷갈린다면 가까운 매장에서 직접 확인받는 방법도 있습니다.
Q. 공유 킥보드나 자전거 QR코드는 매번 확인하기 번거로운데 어떻게 하나요?
잠금 해제용 QR 위에 다른 스티커가 덧붙여진 흔적이 있는지 3초만 훑어보면 됩니다. 앱이 자동 인식하지 못하고 수동 입력 화면으로 넘어간다면 그 자체가 의심 신호입니다.