QR코드에 악성 주소가 숨어 있을 수 있는 이유와 큐싱 예방 방법

큐싱의 위협과 디지털 안전을 지키는 방법

스마트폰 카메라로 간편하게 스캔 한 번이면 웹사이트 접속부터 결제까지 해결되는 QR코드는 우리 일상에 깊숙이 자리 잡았습니다. 식당 메뉴판, 주차 요금 정산, 공공기관 안내문 등 어디서나 볼 수 있는 편리한 도구입니다. 하지만 이 편리함 뒤에는 ‘큐싱(Qshing)’이라는 보안 위협이 숨어 있습니다. 큐싱은 QR코드와 피싱(Phishing)의 합성어로, 악성 QR코드를 통해 사용자를 가짜 사이트로 유도하거나 악성 앱을 설치하게 만드는 사이버 범죄입니다.

QR코드에 악성 주소가 숨어 있을 수 있는 이유

QR코드는 겉보기에 검은색과 흰색의 점들로 이루어진 무작위 패턴처럼 보입니다. 하지만 그 안에는 텍스트, URL, 연락처 정보 등 다양한 디지털 데이터가 인코딩되어 있습니다. 문제는 사용자가 코드를 스캔하기 전까지는 그 안에 어떤 주소가 담겨 있는지 육안으로 확인할 방법이 없다는 점입니다.

범죄자들은 합법적인 QR코드 위에 악성 QR코드 스티커를 덧붙이거나, 공공장소에 배치된 안내문의 QR코드를 교묘하게 바꿔치기합니다. 사용자가 이를 스캔하면 브라우저가 자동으로 악성 URL로 연결되는데, 이때 피해자는 해당 사이트가 진짜인지 가짜인지 구별하기 어렵습니다. 특히 스마트폰은 작은 화면 탓에 전체 URL을 꼼꼼히 확인하기 어렵다는 점을 악용하여 금융 정보를 탈취하거나 개인정보를 훔쳐냅니다.

큐싱의 주요 유형과 공격 방식

큐싱 공격은 단순히 가짜 사이트로 연결하는 것을 넘어 다양한 형태로 진화하고 있습니다.

• 가짜 결제 페이지 연결: 주차 요금이나 식당 주문을 가장하여 결제 정보를 입력하도록 유도합니다. 가짜 결제 사이트에 카드 번호나 계좌 정보를 입력하면 즉시 금전적 피해가 발생합니다.

• 악성 앱 설치 유도: 안드로이드 기반 스마트폰의 경우, 스캔 후 특정 APK 파일을 다운로드하도록 유도합니다. 이 앱은 스마트폰의 연락처, 문자 메시지, 사진 등을 탈취하거나 원격 제어 권한을 얻어 좀비 폰으로 만들 수 있습니다.
• 개인정보 입력 창 노출: 경품 이벤트나 회원가입을 빙자하여 이름, 전화번호, 주민등록번호 등을 입력하게 만들어 개인정보를 수집합니다. 이후 보이스피싱이나 스팸 문자의 타겟이 됩니다.
• 계정 탈취: SNS나 이메일 로그인 페이지와 유사한 화면을 띄워 사용자의 아이디와 비밀번호를 가로챕니다.

흔한 오해와 사실 관계 바로잡기

많은 사람이 QR코드는 이미지일 뿐이라 안전하다고 생각합니다. 하지만 QR코드는 ‘데이터 전달 통로’일 뿐 그 자체가 안전을 보장하지 않습니다. 흔히 하는 오해와 진실은 다음과 같습니다.

• 오해: 유명 브랜드나 공공기관 QR코드는 100% 안전하다.

  사실: 범죄자들은 공공기관의 안내문을 복제하여 큐싱 공격을 수행합니다. 겉모습만 보고 판단해서는 안 됩니다.

• 오해: QR코드를 스캔하고 바로 닫으면 괜찮다.

  사실: 스캔하여 사이트에 접속하는 순간 이미 악성 스크립트가 실행되거나 기기 정보가 노출될 수 있습니다.

• 오해: 아이폰은 큐싱으로부터 안전하다.

  사실: 아이폰은 앱 설치가 까다로워 악성 앱 피해는 적지만, 가짜 사이트를 통해 개인정보를 탈취당하는 피싱 공격은 운영체제와 관계없이 발생합니다.

큐싱 피해를 예방하는 실천 가이드

디지털 환경에서 안전을 지키기 위해서는 몇 가지 필수적인 예방 수칙을 생활화해야 합니다.

• 출처가 불분명한 QR코드는 스캔 금지: 길거리 전단지, 출처를 알 수 없는 이메일, 모르는 사람이 보낸 메시지에 포함된 QR코드는 절대 스캔하지 마세요.
• 스캔 전 URL 미리보기 활용: 스마트폰 카메라로 QR코드를 스캔하면 상단에 연결될 URL 주소가 미리 나타납니다. 이 주소가 공식 사이트의 주소와 일치하는지 반드시 확인하세요.
• QR코드 전용 보안 앱 사용: 일반 카메라 앱보다 악성 URL을 탐지해 주는 보안 기능이 포함된 QR코드 전용 앱을 사용하는 것이 좋습니다.
• 공공장소 QR코드 주의: 카페나 주차장의 QR코드가 덧붙여진 스티커 형태는 아닌지 손으로 한번 만져보거나 주변 상태를 확인하세요.
• 앱 설치는 공식 스토어에서만: QR코드를 통해 앱을 설치하라는 안내가 나오면 즉시 중단하고, 구글 플레이스토어나 애플 앱스토어에서 직접 검색하여 설치하세요.
• 보안 업데이트 생활화: 스마트폰 운영체제와 보안 소프트웨어를 항상 최신 버전으로 유지해야 취약점을 이용한 공격을 방어할 수 있습니다.

전문가의 조언: 보안의 기본은 의심에서 시작한다

사이버 보안 전문가들은 큐싱 예방을 위해 ‘제로 트러스트(Zero Trust)’ 원칙을 강조합니다. 아무것도 믿지 말고, 모든 연결을 의심해야 한다는 뜻입니다. 특히 금융 거래와 관련된 QR코드라면 더욱 신중해야 합니다. 만약 QR코드를 통해 접속한 사이트가 평소와 다르거나, 로그인을 요구하는 화면이 갑자기 뜬다면 즉시 창을 닫고 해당 공식 앱이나 웹사이트를 직접 입력하여 접속하는 습관을 들여야 합니다.

또한, 최근에는 QR코드 결제가 활성화되면서 결제 대행업체들이 보안을 강화하고 있지만, 최종적인 확인은 사용자 본인의 몫입니다. 결제 전에는 반드시 ‘결제 요청 금액’과 ‘수신인’ 정보를 꼼꼼히 확인하고, 평소 사용하지 않던 결제 수단으로 유도한다면 의심해 볼 필요가 있습니다.

자주 묻는 질문과 답변

질문: 실수로 악성 QR코드를 스캔했습니다. 어떻게 해야 하나요?

답변: 즉시 스마트폰의 인터넷 연결을 끄고(비행기 모드 실행), 접속한 사이트에서 입력을 멈추세요. 만약 앱을 설치했다면 즉시 삭제하고, 백신 앱을 사용하여 전체 검사를 수행하세요. 피해가 의심된다면 금융기관에 연락하여 계좌 지급 정지를 신청하는 것도 방법입니다.

질문: QR코드 위에 스티커가 붙어 있는지 어떻게 확인하나요?

답변: 손으로 살짝 긁어보거나 옆면을 확인하여 원래 인쇄된 QR코드 위에 다른 스티커가 덧씌워져 있는지 확인하는 것이 좋습니다. 특히 공공장소의 결제 QR코드는 훼손 여부를 꼼꼼히 확인하세요.

질문: QR코드 스캔 시 나타나는 URL이 길어서 확인하기 어려워요.

답변: 주소가 너무 길다면 ‘단축 URL’일 가능성이 높습니다. 단축 URL은 어디로 연결될지 예측하기 어렵기 때문에 가급적 접속을 피하는 것이 안전합니다.

비용 효율적인 안전 관리 전략

안전을 위해 고가의 보안 장비를 구매할 필요는 없습니다. 가장 효율적인 보안은 ‘사용자의 습관’입니다. 무료로 제공되는 신뢰할 수 있는 모바일 백신 앱을 설치하고, 주기적으로 업데이트를 진행하는 것만으로도 대다수의 큐싱 위협을 차단할 수 있습니다. 또한, 가족이나 주변 지인들에게 큐싱의 위험성을 알리고 함께 주의하는 문화가 가장 강력한 방어책이 됩니다. 스마트폰의 개인정보 보호 설정을 강화하고, 알 수 없는 출처의 앱 설치를 차단하는 옵션을 활성화하는 것만으로도 비용 없이 높은 수준의 보안을 유지할 수 있습니다.