주차장·식당 QR코드가 지갑을 터는 법 — 큐싱 수법 4가지와 스캔 전 3초 점검 체크리스트

이미지 출처: general

얼마 전 동네 카페에서 테이블에 붙은 QR코드로 주문을 하려다 문득 멈칫했답니다. 스티커가 원래 인쇄물 위에 덧붙여진 것처럼 살짝 들떠 있었거든요. 별거 아닐 수도 있지만, 요즘 이런 '가짜 QR 스티커'로 돈을 빼가는 수법이 부쩍 늘었다는 이야기를 들은 터라 결국 직원분께 여쭤보고 나서야 찍었지 뭡니까. 오늘은 이 큐싱(QR코드 피싱)이 어떤 식으로 우리를 노리는지, 그리고 어떻게 하면 당하지 않는지 같이 정리해 봐요.

핵심 요약

• 큐싱은 가짜 QR코드로 악성 사이트·앱 설치·송금을 유도하는 피싱이에요. QR은 링크를 눈으로 확인할 수 없다는 점을 노립니다.
• 주차장·식당·공공안내문·전기차 충전기의 '덧붙인 스티커'와 문자·이메일 속 QR을 특히 조심하세요.
• 스캔 전 3초만 멈춰 '미리보기 URL'을 확인하고, 앱 설치나 계좌·비밀번호 입력을 요구하면 무조건 중단하는 습관이 최고의 방어입니다.

큐싱이 뭔가요? 왜 이렇게 잘 통할까요

큐싱은 'QR(큐알)'과 '피싱(Phishing)'을 합친 말이에요. 문자로 낚는 스미싱, 전화로 낚는 보이스피싱의 QR코드 버전이라고 보면 됩니다. 원리는 단순해요. 우리가 링크를 직접 볼 때는 'naver.com이 맞나, 뒤에 이상한 글자가 붙었나' 살펴볼 수 있지만, QR코드는 그냥 까만 네모 무늬라 눈으로는 어디로 연결되는지 전혀 알 수가 없거든요. 공격자는 바로 이 '보이지 않음'을 파고듭니다. 게다가 QR은 이미 주문·결제·인증에 워낙 익숙해져서, 사람들이 별 의심 없이 카메라를 들이대는 것도 한몫하고요.

실제로 이렇게 노립니다 — 대표 수법 4가지

수법을 알아두면 현장에서 '어, 이거 그거 아냐?' 하고 알아챌 수 있어요. 공격 재현이 아니라 어디를 조심할지 감을 잡는 용도로 봐 주세요.

• 스티커 덧붙이기: 주차장 정산기, 식당 테이블, 전기차 충전기, 공유 킥보드처럼 '진짜 QR이 있을 법한 자리'에 가짜 스티커를 살짝 겹쳐 붙입니다. 결제창처럼 생긴 가짜 페이지로 카드번호를 받아가죠.
• 가짜 안내문·과태료 딱지: '주정차 위반 과태료', '택배 배송 조회', '재난지원금 신청' 같은 공문서 흉내를 낸 종이에 QR을 넣어 뿌립니다. 급한 마음에 찍으면 악성 사이트로 넘어가요.
• 문자·이메일 속 QR: 요즘은 스미싱 문자에도 링크 대신 QR 이미지를 넣어요. 백신이 문자 속 '글자 링크'는 걸러도 이미지 속 QR은 놓치는 경우가 있다는 걸 노린 겁니다.
• 가짜 앱 설치 유도: QR을 찍으면 '전용 앱을 깔아야 한다'며 정식 스토어가 아닌 곳에서 파일(APK 등)을 내려받게 합니다. 이렇게 깔린 악성 앱은 문자·연락처·인증번호까지 몰래 빼갈 수 있어요.

스캔 전 3초 점검 체크리스트

거창한 도구가 필요한 게 아니에요. 카메라를 들이대기 직전에 딱 세 가지만 떠올리면 대부분 막을 수 있답니다.

• 1) 스티커가 덧붙여졌나? 모서리가 들뜨거나, 인쇄물 위에 다른 스티커가 겹쳐 있으면 손톱으로 살짝 만져보세요. 이상하면 그냥 직원·관리자에게 물어보는 게 제일 빠릅니다.
• 2) 미리보기 URL을 확인했나? 요즘 스마트폰 기본 카메라는 QR을 비추면 연결될 주소를 미리 글자로 보여줘요. 바로 열지 말고 그 주소를 읽어보세요. 아는 브랜드 이름 뒤에 낯선 글자가 잔뜩 붙었거나, 주소가 짧게 줄여진(단축 URL) 상태면 일단 멈추는 게 좋습니다.
• 3) 개인정보·설치·송금을 요구하나? QR로 열린 페이지가 카드번호, 계좌 비밀번호, 인증번호를 묻거나 앱 설치를 재촉하면 그 자리에서 창을 닫으세요. 정상적인 주문·결제는 이런 걸 대뜸 요구하지 않습니다.

이미 찍었거나 정보를 넣었다면 — 대응 순서

혹시 당황스러운 상황이 벌어졌다 해도, 순서대로 밟으면 피해를 크게 줄일 수 있어요. 자책보다 속도가 중요합니다.

• 카드·계좌 정보를 넣었다면: 곧바로 카드사·은행 고객센터에 전화해 정지·재발급을 요청하세요. 카드사 대표번호는 카드 뒷면이나 공식 앱에서 확인하고요.
• 앱(파일)을 설치했다면: 즉시 비행기 모드로 통신을 끊고 해당 앱을 삭제한 뒤, 백신 검사를 돌리세요. 그래도 찜찜하면 초기화가 가장 확실합니다.
• 인증번호를 알려줬다면: 통신사·포털·간편결제의 비밀번호를 바꾸고 2단계 인증을 켜 두세요.
• 신고: 금융 피해는 112 또는 금융감독원 1332, 악성 문자·URL은 한국인터넷진흥원(KISA) 118로 신고하면 확산을 막는 데 도움이 됩니다.

평소에 켜두면 든든한 습관

결국 큐싱 방어의 핵심은 '한 박자 멈추기'예요. 몇 가지만 미리 세팅해두면 실수해도 최종 방어선이 버텨줍니다.

• 스마트폰 설정에서 '출처를 알 수 없는 앱 설치'를 차단해 두세요. 정식 스토어 밖 설치를 막는 가장 기본적인 벽입니다.
• 은행·간편결제·포털 계정에는 2단계 인증을 켜 두세요. 비밀번호가 새더라도 한 겹이 더 남습니다.
• 공공기관·택배·과태료 안내는 QR을 찍는 대신 공식 앱이나 직접 검색으로 접속하는 습관을 들여요.
• 가족, 특히 부모님께 '길에 붙은 QR, 문자 속 QR은 일단 의심'이라고 한마디 전해두는 것만으로도 피해를 크게 줄일 수 있답니다.

개인적으로는 무늬 하나 찍는 데 3초 멈추는 게 처음엔 좀 번거로워도, 몇 번 하다 보니 아예 몸에 배더라고요. QR은 정말 편한 기술이지만 '눈에 안 보이는 링크'라는 약점도 분명하니, 우리가 조금만 의심의 습관을 더하면 됩니다. 여러분도 오늘 당장 카메라 미리보기 URL부터 확인하는 습관, 같이 들여봐요. 혹시 주변에서 수상한 QR을 본 적 있다면 댓글로 공유해 주세요. 서로의 경험이 제일 좋은 예방책이니까요.