최근 식당 메뉴판부터 모바일 결제, 전자 명함, 공유 모빌리티 대여까지 QR코드가 일상 곳곳에 자리 잡았습니다. 누구나 별다른 의심 없이 QR코드를 스캔하는 틈을 노려 ‘큐싱’이라는 신종 해킹 수법이 빠르게 퍼지고 있는데요. QR코드를 인식하는 순간, 악성 앱이 설치되거나 개인정보를 탈취하는 가짜 페이지로 연결되는 사례도 잇따르고 있죠.

오늘은 너무나 일상적이기에 더 놓치기 쉬운 보안 위협, QR코드를 악용한 해킹인 큐싱 예방법 4가지를 소개합니다.

‍

◼︎ 큐싱이란?

출처: Unsplash

큐싱(Quishing)은 QR코드와 피싱(Phishing)의 합성어로, QR코드를 통해 사용자의 정보를 탈취하는 해킹 수법입니다. 해커는 가짜 QR코드를 제작해 사용자로 하여금 이를 스캔하도록 유도하고, 악성 웹사이트나 앱 설치 페이지로 연결되게 만듭니다. 겉보기엔 평범한 흑백 격자의 QR코드지만, 그 속에는 치밀하게 설계된 공격이 숨어 있는 것이죠.

‍

1) 일상에 침투한 QR코드 사기

출처: Unsplash

코로나 이후 결제나 출입 인증, 이벤트 참여 등 일상생활에서 QR코드인식이 보편화되면서 관련 범죄도 빠르게 증가하고 있습니다. 온라인 보안 위협 중 큐싱이 차지하는 비중은 2023년 기준 전년 대비 약 60%나 증가했는데요. 최근에도 과학기술정보통신부를 비롯한 주요 정부기관에서 QR코드 기반 피싱에 대한 주의를 당부하고 있으며, 금융보안원을 포함한 여러 보안 기관에서도 큐싱을 2025년 디지털 보안 위협 중 하나로 지목했습니다.

QR코드를 활용한 서비스가 오프라인과 온라인을 가리지 않고 확산되면서, 공격 수법도 점점 다양해지고 있습니다. 공유 킥보드나 자전거 등에 부착된 정상 QR코드 위에 조작된 스티커를 덧붙이는 방식부터, 온라인 광고나 이메일 본문에 QR코드를 삽입해 출처를 알 수 없는 앱 설치를 유도하는 사례까지 등장하고 있죠. 육안으로는 진짜와 가짜 QR코드를 구분하기 어려워, 스캔하는 순간 위협이 시작되는 경우가 많습니다. 세금 통지서나 무료 쿠폰, 상품권으로 위장한 QR코드도 사용자를 속이는 데 악용되고 있습니다.

‍

2) 큐싱 범죄, 왜 위험할까?

출처: Unsplash

큐싱은 QR코드를 인식하기만 해도 악성 앱 설치부터 개인정보탈취, 금융 피해까지 이어질 수 있어 특히나 위험합니다. 해커는 일반 웹사이트처럼 보이는 가짜 로그인 페이지나 악성 앱 설치 링크를 QR코드로 생성한 뒤, 이를 광고물이나 안내판, 메신저 등을 통해 유포합니다. 사용자가 아무런 의심 없이 QR코드를 스캔하면 악성 웹사이트에 접속돼 사용자의 계정 정보 탈취로 이어지거나 출처를 알 수 없는 앱이 설치될 수 있습니다.

악성 앱이 설치되면 스마트폰 내 보안카드 정보, 전화번호, 문자 메시지 등 민감한 데이터가 해커에게 탈취될 수 있습니다. 나아가 원격 제어 기능을 통해 소액결제나 자금 이체와 같은 직접적인 금전적 피해로 이어질 수 있으며, 피해자는 시간이 지난 후에야 문제를 인지하게 됩니다.

특히 핸드폰 악성코드 검사를 하지 않는 이상 즉시 알아차리지 못하는 경우가 많아, 초기 대응이 어렵고 피해 범위가 커지기 쉽다는 점에서 주의가 필요합니다. 접속하기 전까지는 URL의 진위를 식별할 수 없다는 점도 해커들이 이러한 수법을 선호하는 주요 이유 중 하나입니다.

‍

‍

◼︎ 큐싱 막는 4가지 방법

피해를 막기 위해서는 일상에서 QR코드 인식을 조금 더 신중히 바라보는 자세가 필요합니다. 무엇보다 정체를 알 수 없는 QR코드는 가급적 스캔을 피하고, 인식 후 연결되는 웹페이지나 앱 설치 화면은 반드시 안전한 경로인지 확인하고 이용해야 합니다. 악성코드 유포 방식이 점점 정교해지고 있기 때문에, 평소에도 출처를 알 수 없는 앱 설치를 제한하고, 정기적인 핸드폰 악성코드 검사를 생활화하는 것이 도움이 됩니다. 아래에서 큐싱을 막기 위한 구체적인 실천 방법 4가지를 소개합니다.

‍

1) 신뢰하기 어려운 QR코드 인식 금지

큐싱은 보통 우리가 무심코 스캔한 QR코드에서 시작됩니다. 특히 길거리 홍보물, 택배 문자, 이벤트 안내 등 출처가 명확하지 않은 QR코드는 그 자체로 위험 요소가 될 수 있습니다. QR코드는 그 모양만으로 악성여부를 판단하기어렵습니다. 따라서 QR코드 인식 전에는 출처와 신뢰도를 한 번 더 점검하는 습관이 필요합니다.

2) 출처를 알 수 없는 앱 설치 제한

QR코드 스캔 후 나타나는 웹페이지에서 앱 설치를 유도할 경우, 반드시 설치 경로와 개발자를 확인해야 합니다. 특히 APK와 같은 안드로이드 설치 패키지 파일은 공식 마켓이 아닌 출처에서 배포될 수 있으므로 주의가 필요합니다. 스마트폰 설정에서 ‘출처를 알 수 없는 앱 설치’를 차단해 두면, 이러한 악성 앱의 자동 설치를 사전에 막을 수 있어 보다 안전한 환경을 유지할 수 있습니다.

‍

클릭 한 번에 당한다! 스미싱 대처법 2가지, 사례와 예방 수칙

‍

3) QR코드 인식 후 연결되는 URL 확인

범죄자들은 가짜 로그인 페이지나 금융기관을 사칭한 사이트로 연결되는 QR코드를 활용해 개인 정보를 탈취합니다. 이때 중요한 건, QR코드 인식 이후 자동으로 열리는 URL을 꼼꼼히 확인하는 일입니다. 주소가 복잡하게 얽혀 있거나 공식 기관 명칭이 포함되지 않은 경우, 악성 페이지일 가능성이 크므로 즉시 접속을 중단해야 합니다. 웹페이지 주소만 잘 확인해도 상당수의 사고를 예방할 수 있습니다.

4) SK쉴더스 모바일가드 설치

아무리 주의하더라도, 개인의 보안 습관만으로는 막을 수 없는 위협이 존재합니다. 이럴 때는 전문 보안 앱의 도움이 필요합니다. SK쉴더스 모바일가드는 안심 QR 스캐너 기능을 통해 사이트에 접속하기 전 악성 URL 여부를 먼저 확인하고, 안전한 경우에만 연결되도록 도와줍니다. 그 외에도 스마트폰 내 악성 앱 탐지 및 삭제와 핸드폰 악성코드 검사 기능까지 제공해 큐싱을 포함한 다양한 보안 위협을 효과적으로 막을 수 있도록 설계된 솔루션입니다. 또한, 가족케어 기능으로 보안 사각지대에 놓이기 쉬운 가족 구성원의 모바일 환경도 함께 관리할 수 있습니다. 일상에서 QR코드 사용이 잦은 분이라면, 보다 실질적인 보안 관리를 위해 꼭 활용해 보면 좋은 서비스입니다.

‍

‍

◼︎ SK쉴더스와 함께 실속 있는 모바일 보안, 지금 시작하세요

점점 교묘해지는 보안 위협 속에서, SK쉴더스 모바일가드는 더 강력한 모바일 보안 기능을 기본으로 제공합니다. 실시간으로 스미싱 문자 및 악성 앱을 자동 탐지 및 차단하며, 보안 Wi-Fi 연결, 앱 잠금, 앱 권한 관리 기능 등을 통해 스마트폰 사용 중에 발생할 수 있는 보안 취약점을 선제적으로 차단할 수 있습니다. 특히 QR코드 인식 전후에 숨겨진 위험을 감지할 수 있는 안심 QR스캔 기능은 최근 큐싱 피해가 급증하는 상황에서 실질적인 대응책이 될 수 있습니다. 지금 내 스마트폰을 안전하게 지키는 가장 쉬운 방법, 모바일가드로 시작해 보세요.

‍

‍

모바일 백신부터 가족케어 서비스까지! 모바일가드 설치하기

*안드로이드 OS 전용 앱입니다

‍

‍

‍

‍

‍

‍

‍

[콘텐츠 내용 출처]

IT 동아, 늘어나는 큐싱 범죄, 악성 QR 구분하려면?

대한민국 정책브리핑, QR코드 찍었다가 ‘헉’…큐싱 사기 예방법은?

연합뉴스, 정부, 청소년 대상 '큐싱 범죄' 주의보…"수상한 QR코드 조심"

보안뉴스, QR코드 스캔 잘못 했다간 개인정보 털린다! 큐싱 범죄 실태와 예방법은?