주말에 차를 몰고 마트에 갔다가 주차장 기둥에 붙은 노란 안내문을 본 적 있으신가요? "주차 위반 과태료 안내, QR코드로 즉시 납부 시 20% 감면"이라는 문구와 함께 QR코드가 떡하니 붙어 있던 경우요. 솔직히 저도 처음엔 별생각 없이 스캔할 뻔했습니다. 급하게 나가야 하는 상황이었고, "과태료면 빨리 내는 게 낫지"라는 생각이 먼저 들었거든요. 그런데 QR코드 아래 인쇄 상태가 미묘하게 어색하다는 걸 알아채고 멈췄습니다. 이게 바로 최근 급증하고 있는 큐싱(Qshing), 즉 QR코드를 이용한 피싱 수법입니다. 이번 글에서는 주차장 QR코드 큐싱 구별법을 스캔하기 전 5초 안에 확인할 수 있는 체크포인트 위주로 정리했습니다.
3줄 요약
- 큐싱은 QR코드 위에 가짜 QR코드 스티커를 덧붙이거나, 안내문 자체를 위조해 악성 링크로 유도하는 사기 수법이다.
- 스캔 전에 QR코드가 이중으로 겹쳐 붙어 있는지, 연결된 URL 도메인이 정상인지 딱 두 가지만 확인하면 90%는 걸러진다.
- 이미 눌렀다면 개인정보·결제정보를 입력하지 않았는지가 가장 중요하고, 입력했다면 즉시 카드사·경찰청 사이버수사국에 신고해야 한다.
큐싱(Qshing)이 스미싱보다 더 위험한 이유
큐싱은 QR코드(Quick Response code)와 피싱(Phishing)을 합친 말로, 사용자가 QR코드를 스캔하는 순간 악성 앱 설치나 피싱 사이트 접속을 유도하는 공격입니다. 기존 문자 스미싱은 "[Web발신]" 표시나 이상한 URL 축약 링크로 어느 정도 의심할 여지가 있었습니다. 하지만 큐싱은 QR코드 자체가 사람 눈에는 그냥 검은 점 패턴으로 보이기 때문에, 스캔하기 전까지는 그 안에 어떤 주소가 들어있는지 전혀 알 수 없다는 게 치명적입니다.
실제로 경기 파주시 등 여러 지역에서는 도로변에 주차된 차량에 허위 주차위반 안내문을 부착하고, 그 안에 가짜 QR코드를 넣어 결제 페이지로 유도한 뒤 카드번호를 입력하게 만든 사례가 다수 확인됐습니다. 해외에서는 공영 주차장 정산기 QR코드 위에 똑같은 크기의 악성 QR코드 스티커를 덧붙이는 수법도 보고됐습니다. 국내 보안업계 자료에 따르면 큐싱 피해 신고는 최근 1~2년 사이 수십 배 늘었고, 피해자 상당수가 "QR코드라서 더 믿었다"고 답했다는 점이 눈에 띕니다.
주차장·킥보드·과태료 고지서에 숨은 가짜 QR코드 사례
큐싱이 노리는 장소는 생각보다 다양합니다.
- 공영주차장 정산기: 정상 QR코드 위에 똑같은 크기의 스티커를 덧붙여 결제창을 가짜 사이트로 바꿔치기
- 불법주차 안내문: 실제 지자체 서식과 거의 똑같이 만든 종이에 가짜 QR코드와 계좌/카드 입력 페이지 연결
- 공유 킥보드·자전거: 정상 QR코드 바로 옆에 "할인 이벤트" 문구로 유인하는 별도 QR코드 부착
- 식당 테이블 오더: 테이블에 붙은 QR코드 위에 비슷한 디자인의 가짜 스티커를 덧붙여 카드 정보 탈취
저도 이 글을 준비하면서 동네 공영주차장 세 곳을 직접 둘러봤는데, 다행히 이상은 없었지만 QR코드 테두리가 살짝 들뜬 스티커 형태인 곳이 한 군데 있어서 관리사무소에 바로 알렸습니다. 이렇게 평소에 "혹시?" 하는 눈으로 한 번 더 보는 습관이 생각보다 큰 차이를 만듭니다.
스캔 전 5초 구별법 체크리스트
아래 체크리스트는 QR코드를 스캔하기 직전, 딱 5초만 투자해서 확인할 수 있는 항목들입니다.
| 확인 항목 | 정상 QR코드 | 큐싱 의심 신호 |
|---|---|---|
| 부착 상태 | 인쇄물에 바로 찍혀 있음 | 별도 스티커가 겹쳐 붙어 있고 테두리가 들뜸 |
| 설치 위치 | 공식 시설물(정산기, 안내판)에 고정 | 전봇대, 가드레일 등 비공식 위치 |
| 안내문 디자인 | 로고·서식이 또렷하고 번호 체계 정상 | 폰트가 어색하거나 기관명이 미묘하게 다름 |
| 스캔 후 URL | 기관·업체 공식 도메인(.go.kr, 공식 브랜드 도메인) | 축약 URL, 낯선 해외 도메인, 숫자 나열 주소 |
| 요구 정보 | 조회만 하거나 공식 결제 모듈로 연결 | 스캔 직후 카드번호·주민번호·앱 설치 요구 |
체크리스트로 정리하면:
- [ ] QR코드가 이중으로 겹쳐 붙어 있지 않은지 확인했다
- [ ] 스캔 후 뜨는 URL 주소를 끝까지 읽어봤다
- [ ] 앱 설치나 과도한 개인정보 입력을 요구하지 않는지 확인했다
- [ ] 급하게 "지금 당장 결제" 식의 압박 문구가 없는지 확인했다
이 네 가지 중 하나라도 걸리면 스캔을 멈추고, 해당 기관 공식 앱이나 홈페이지에서 직접 조회하는 쪽이 훨씬 안전합니다.
이미 눌렀다면? 피해 발생 시 대응 순서
이미 QR코드를 스캔해버렸다고 해도 너무 당황하지 않아도 됩니다. 중요한 건 그 다음 단계에서 개인정보나 결제정보를 "입력"했는지 여부입니다. 단순히 링크만 열어본 거라면 바로 브라우저를 닫고 통신사 명의도용방지서비스로 혹시 모를 앱 설치 여부를 점검하는 정도로 충분한 경우가 많습니다.
반면 카드번호, 계좌번호, 주민등록번호 중 하나라도 입력했다면 아래 순서로 즉시 움직여야 합니다.
- 카드사 고객센터에 전화해 해당 카드 사용 정지 및 재발급 신청
- 금융감독원 또는 경찰청 사이버수사국(국번없이 182)에 피해 사실 신고
- 악성 앱을 설치했다면 스마트폰을 비행기 모드로 전환 후 초기화 또는 보안 앱으로 정밀 검사
- 같은 비밀번호를 쓰는 다른 계정(이메일, SNS, 쇼핑몰)도 비밀번호 변경
이 부분에서 전에 정리해둔 내 명의 휴대폰 몰래 개통됐는지 PASS 앱으로 5분 확인하는 법 글도 함께 참고하시면, 혹시 QR코드 사고로 명의도용까지 이어졌는지 교차로 점검할 수 있습니다.
모바일 백신·URL 차단 앱으로 미리 막아두기
체크리스트로 매번 눈으로 확인하는 것도 중요하지만, 스마트폰에 악성 URL을 자동으로 걸러주는 보안 앱을 하나 깔아두면 실수로 스캔해도 2차 피해를 막을 수 있습니다. 대표적으로 안랩의 V3 모바일 시큐리티는 기본 악성 URL 차단, 실시간 검사 기능은 무료로 제공하고, 피싱 사이트 자동 차단이나 스미싱 문자 정밀 분석 같은 고급 기능은 월 2,000~3,000원대 유료 플랜에서 지원합니다. 통신3사가 제공하는 스팸·피싱 차단 서비스(예: T전화 스팸 알림, 후후 등)도 기본 기능은 무료이고, 더 정밀한 발신자 정보 조회는 유료 부가서비스로 운영되는 경우가 많으니 본인이 QR코드·문자를 자주 접하는 환경이라면 무료 버전부터 먼저 켜두는 걸 추천합니다.
가족 중 고령층이 있다면 AI 보이스피싱까지 함께 대비하는 게 좋은데, 이전에 정리한 AI 보이스피싱 가족 인증 키워드 5분 설정법도 QR코드 예방법과 같이 적용해두면 사기 수법 전반에 대한 방어선이 한층 두꺼워집니다.
자주 묻는 질문
Q. QR코드를 스캔만 하고 아무것도 누르지 않았는데 괜찮을까요?
A. 대부분의 경우 스캔만으로 바로 악성코드가 설치되지는 않습니다. 다만 일부 악성 QR코드는 스캔 즉시 특정 사이트로 자동 이동하며 취약점을 노리는 경우도 있으니, 스캔 후 뜬 화면에서 앱 설치나 정보 입력 창이 보이면 즉시 뒤로 가기를 누르고 앱을 완전히 종료하는 게 안전합니다.
Q. 정상 QR코드인지 미리 확인할 수 있는 앱이 있나요?
A. 네이버 앱이나 카카오톡 코드 스캔 기능은 QR코드를 스캔하면 실제 연결 URL을 먼저 보여주고 이동 여부를 한 번 더 물어보는 경우가 많아, 기본 카메라 앱보다 한 단계 안전장치가 있습니다. 또한 모바일 백신 앱의 URL 검사 기능을 함께 켜두면 알려진 피싱 도메인은 자동으로 차단됩니다.
Q. 공영주차장에서 가짜 QR코드를 발견하면 어디에 신고하나요?
A. 해당 주차장 관리사무소나 지자체 주차 관련 부서에 바로 알리는 게 가장 빠르고, 금융 피해로 이어질 수 있는 사안이라 판단되면 경찰청 사이버수사국(182) 또는 한국인터넷진흥원(KISA) 118상담센터에도 함께 신고하는 것이 좋습니다.
마무리하며
큐싱은 QR코드라는 익숙한 형태를 이용하기 때문에 오히려 문자 피싱보다 경계심이 덜 생기는 게 가장 큰 위험 요소입니다. 스캔 전 QR코드가 이중으로 붙어 있는지, 스캔 후 URL 주소가 정상인지 딱 5초만 확인하는 습관, 그리고 모바일 백신 앱의 URL 차단 기능을 켜두는 것만으로도 큐싱 피해는 상당 부분 예방할 수 있습니다. 혹시 최근에 주차장이나 식당에서 QR코드를 찍고 "뭔가 이상하다"고 느낀 적 있으신가요? 댓글로 어떤 상황이었는지 공유해주시면, 비슷한 사례를 모아서 다음 글에서 더 자세히 다뤄보겠습니다.