QR코드 피싱 큐싱 사기 예방법 – 스캔 한 번에 털리는 신종 수법 총정리

QR코드를 찍는 것만으로 개인정보가 유출되는 시대다. 큐싱(Quishing)이라 불리는 QR코드 피싱 사기가 급증하고 있다. 주차 딱지, 택배 안내문, 식당 메뉴판까지 일상 곳곳에 QR코드가 침투해 있는 만큼, 피해 사례와 예방법을 구체적으로 정리했다.

큐싱이란 – QR코드와 피싱의 결합

큐싱(Quishing)은 QR코드(Quick Response Code)와 피싱(Phishing)을 합친 신조어다. 공격자가 악성 URL이 담긴 QR코드를 생성해서 공공장소에 붙이거나 이메일로 전송한다. 사용자가 무심코 스캔하면 가짜 사이트로 연결되고, 로그인 정보나 금융 정보를 입력하도록 유도한다.

한국인터넷진흥원(KISA)에 따르면 2025년 QR코드 관련 피싱 신고 건수가 전년 대비 2.3배 증가했다. 특히 모바일 결제가 보편화되면서 QR코드에 대한 경계심이 낮아진 점을 노린 공격이 늘고 있다.

실제 큐싱 사기 유형 5가지

큐싱 사기는 일상적인 상황을 교묘하게 이용한다. 가장 흔한 유형을 살펴보면 대비가 가능하다.

• ▲ 주차 위반 스티커 위장 – 차량 앞유리에 가짜 과태료 안내 QR코드를 부착
• ▲ 택배 배송 안내 – 부재중 안내문에 QR코드를 삽입해 개인정보 입력 유도
• 공유 킥보드·자전거 결제 – 정상 QR코드 위에 악성 QR 스티커를 덧붙이기
• 식당·카페 메뉴판 – 테이블 위 QR코드를 교체해 결제 정보 탈취
• 공공기관 사칭 이메일 – 세금 환급, 건강보험 안내 등으로 위장한 QR코드 첨부

큐싱 피해를 막는 예방법 7가지

QR코드 자체를 안 쓸 수는 없다. 스캔 전후에 몇 가지만 확인하면 대부분의 큐싱 공격을 차단할 수 있다.

첫째, QR코드 스캔 시 연결되는 URL을 반드시 확인한다. 정상적인 도메인인지, https가 적용되어 있는지 눈으로 체크하는 습관이 필요하다. 둘째, 출처가 불분명한 QR코드는 스캔하지 않는다. 길거리에 붙어 있는 홍보물이나 우편함에 들어있는 안내문의 QR코드는 각별히 주의해야 한다.

셋째, 스마트폰 보안 앱을 활용한다. 구글 플레이 프로텍트나 별도 보안 앱이 악성 URL을 차단해 준다. 넷째, 공공기관 QR코드는 해당 기관 공식 앱이나 웹사이트에서 직접 접근하는 것이 안전하다.

큐싱 vs 일반 피싱 – 차이점 비교

항목	큐싱 (QR 피싱)	이메일 피싱
공격 매체	물리적 QR코드 + 디지털	이메일·문자
탐지 난이도	높음 (URL 미리보기 어려움)	보통 (링크 확인 가능)
주요 타깃	오프라인 이용자	온라인 이용자
보안 솔루션 대응	제한적 (이미지 기반)	스팸 필터 작동

피해를 당했다면 – 즉시 대응 절차

이미 큐싱 QR코드를 스캔해서 정보를 입력했다면 빠른 대응이 중요하다. 먼저 해당 사이트에서 입력한 비밀번호를 즉시 변경한다. 금융 정보를 입력했다면 카드사에 전화해서 일시 정지를 요청한다.

한국인터넷진흥원(KISA) 118 상담센터에 신고하면 추가 피해 차단과 사후 조치를 안내받을 수 있다. 경찰청 사이버수사국(182)에도 병행 신고하는 것을 권장한다.

자주 묻는 질문 FAQ

Q. QR코드 스캔만으로 해킹당할 수 있나?

A. QR코드 자체로는 해킹이 안 된다. 문제는 스캔 후 연결되는 악성 사이트에서 개인정보를 입력하거나 악성 앱을 설치하는 경우다. 스캔 후 나오는 URL만 확인해도 대부분 차단 가능하다.

Q. 아이폰과 안드로이드 중 어떤 게 더 안전한가?

A. iOS는 앱 설치 제한이 강해 악성 앱 설치 위험이 상대적으로 낮다. 다만 웹 피싱은 OS와 무관하게 위험하므로 두 플랫폼 모두 URL 확인이 필수다.

Q. QR코드 보안 앱이 따로 있나?

A. 구글 렌즈, 삼성 카메라 앱 등 기본 카메라 앱에서도 URL 미리보기가 가능하다. 추가로 Norton Mobile Security, Kaspersky QR Scanner 등 전용 앱을 사용하면 악성 URL을 자동으로 차단해 준다.