큐싱, QR코드 하나로 이렇게까지 당할 수 있다고요?

큐싱(QR코드 피싱)이란 무엇이고 어떻게 예방할 수 있을까요? 큐싱(Quishing)은 QR코드(QR Code)와 피싱(Phishing)의 합성어로, 가짜 QR코드를 통해 개인정보를 탈취하거나 악성 앱을 설치시키는 사기 수법이다. 공유 킥보드·주차장 안내문에 붙은 조작된 스티커, 택배·세금 통지서로 위장한 문자 속 QR코드 등 다양한 경로로 유포된다. 의심스러운 QR코드는 스캔하지 말고, 스캔했더라도 연결된 주소를 확인하기 전에는 정보를 입력하거나 앱을 설치하지 않아야 한다. 피해가 의심되면 한국인터넷진흥원(KISA) 118 상담센터로 신고할 수 있다.

QR코드 하나로 어떻게 당하나

해커는 정상 QR코드 위에 조작된 스티커를 덧붙이거나, 문자·이메일·온라인 광고에 가짜 QR코드를 삽입하는 방식으로 큐싱을 시도한다. 실제로 확인된 유통 경로는 다음과 같다.

• 공유 킥보드·자전거의 정상 QR코드 위에 조작된 스티커를 덧붙이는 경우
• 주차장 안내문, 배달 포장지, 길거리 홍보물에 QR코드를 끼워 넣는 경우
• 세금 통지서, 무료 쿠폰·상품권으로 위장한 문자·우편물에 QR코드를 넣는 경우
• 온라인 광고나 이메일 본문에 QR코드 이미지를 삽입하는 경우

QR코드를 스캔해 연결된 사이트에서 개인정보를 입력하거나 출처가 불분명한 앱을 설치하면, 보안카드 정보·전화번호·문자메시지가 탈취되거나 스마트폰이 원격 제어당해 소액결제·자금 이체 피해로 이어질 수 있다.

실제 수법을 뜯어보면 이렇습니다

• QR코드가 부착된 장소·발신 주체가 신뢰할 수 있는 곳인지 먼저 확인한다.
• 정상 코드 위에 스티커가 덧붙여진 흔적(들뜸, 색 차이)이 있는지 살펴본다.
• 출처가 불분명한 QR코드는 스캔하지 않는 것이 가장 확실한 예방법이다.

🛠️ 스캔 후 확인할 것

• QR코드로 연결된 URL 주소가 복잡하거나 기관·기업 명칭 없이 낯선 도메인이면 즉시 창을 닫는다.
• 앱 설치를 유도하면 반드시 공식 앱마켓(구글 플레이, 앱스토어)을 통해서만 설치한다.
• 스마트폰 설정에서 '출처를 알 수 없는 앱 설치' 허용을 꺼둔 상태를 기본값으로 유지한다.
• 이미 개인정보를 입력했거나 앱을 설치했다면 즉시 인터넷 연결을 끊고 비밀번호를 변경한다.

QR코드 찍기 전에 확인하면 좋은 것

큐싱이 의심되는 QR코드를 발견했거나 이미 피해를 입은 경우, 한국인터넷진흥원(KISA)이 운영하는 118 상담센터(전화 118)로 신고·상담할 수 있다. 의심스러운 문자는 캡처해두고, 스미싱·피싱 문자 신고 기능을 통해 118로 전달하는 방법도 함께 안내되고 있다. 금전 피해가 실제로 발생했다면 경찰(112) 또는 금융감독원에도 별도로 신고해야 한다.

출력물에 덧붙은 QR코드를 조심하세요

큐싱은 스미싱·보이스피싱과 마찬가지로 수법이 계속 변형되기 때문에, 이 글에 정리된 유통 경로가 전부는 아니다. 확인되지 않은 피해 통계나 특정 사건의 피해액은 임의로 밝히지 않았으며, 정확한 최신 피해 현황은 KISA·경찰청의 공식 보도자료로 확인하는 것이 정확하다. 시니어 가족이 있다면 QR코드를 스캔하기 전 자녀에게 먼저 확인하는 습관을 함께 만드는 것도 실질적인 예방법이 될 수 있다.

정상 QR코드와 조작된 QR코드, 구별이 헷갈리시죠

Q. 큐싱과 스미싱은 뭐가 다른가요?
A. 스미싱은 문자메시지 속 링크를 직접 클릭하도록 유도하는 방식이고, 큐싱은 QR코드를 스캔하도록 유도하는 방식이다. 최종적으로 악성 사이트·앱으로 연결한다는 목적은 같지만, 미끼로 쓰는 매개체가 다르다.

Q. QR코드를 스캔했는데 아무 반응이 없으면 안전한가요?
A. 반드시 안전하다고 단정할 수 없다. 백그라운드에서 앱 설치 파일이 다운로드됐거나 정보 수집이 이뤄졌을 가능성도 있으므로, 의심스러운 QR코드를 스캔했다면 스마트폰 보안 앱으로 검사하거나 118 상담센터에 문의하는 것이 안전하다.

Q. 공공기관·기업이 보낸 QR코드는 무조건 안전한가요?
A. 공식 채널에서 발송된 QR코드라도 문자·이메일 자체가 위조됐을 가능성이 있다. 발신 번호나 이메일 주소가 해당 기관의 공식 채널이 맞는지 별도로 확인하는 것이 안전하다.

스마트폰 자체의 보안 기능을 최신 상태로 유지하는 것도 도움이 된다 — 예를 들어 안드로이드 17 업데이트에는 앱 설치 전 위험을 미리 경고하는 보안 강화 기능이 포함돼 있다. 큐싱은 QR코드 사용이 일반화되면서 함께 늘어난 신종 사기 수법이다. 출처가 불분명한 QR코드는 스캔하지 않는 것이 가장 확실한 예방법이며, 이미 스캔했더라도 연결된 주소를 확인하기 전에는 정보를 입력하거나 앱을 설치하지 않아야 한다. 의심되는 경우 118 상담센터(KISA)로 문의할 수 있다. 문자메시지를 이용한 유사한 사기 수법인 스미싱 문자 구별법과 118 신고 방법도 함께 확인해두면 도움이 된다. (작성 기준일: 2026년 8월)