주차 안내·택배·설문·결제 QR코드를 스캔하기 전 확인할 사항과, 이미 정보를 입력하거나 앱을 설치했을 때의 대응 순서를 정리한다.
메뉴판이나 결제 안내에 붙은 QR코드는 편리하지만, 연결 주소가 화면에 바로 보이지 않는다는 약점이 있다. 공격자는 정상 QR 위에 가짜 스티커를 덧붙이거나 기관 안내로 위장한 QR을 보내 개인정보와 금융정보를 노린다.
최근 공식 안내를 비교해 보니 핵심은 QR 자체를 무조건 피하는 것이 아니라, 스캔 후 열리는 주소와 요구 행동을 한 번 더 확인하는 것이다.
큐싱부터 구별하기
핵심 요약 │ 큐싱은 QR코드에 피싱 사이트나 악성 앱 주소를 숨긴 사기 수법이다.
한국인터넷진흥원은 큐싱을 악성 앱 설치 주소나 피싱 사이트를 QR코드에 넣어 개인정보와 금융정보를 빼내는 수법으로 안내한다. 정부기관 자료, 설문, 주차 요금, 택배 확인처럼 일상적인 상황으로 위장할 수 있다.
QR코드를 스캔했다는 사실만으로 악성 앱이 곧바로 설치됐다고 단정할 필요는 없다. 다만 가짜 로그인 화면에 정보를 입력했거나 내려받은 앱을 직접 설치했다면 즉시 대응해야 한다.
QR코드는 그림이 아니라 가려진 링크이다. 스캔한 뒤 표시되는 주소가 진짜인지 확인하는 습관이 필요하다.
찍기 전부터 확인
핵심 요약 │ 덧붙인 스티커와 불분명한 출처, 급한 결제를 요구하는 문구부터 살펴야 한다.
공공장소의 QR코드는 가장자리 들뜸, 색상 차이, 다른 스티커 위에 붙인 흔적을 확인한다. 문자나 이메일로 받은 QR이라면 보낸 사람 이름만 믿지 말고 기존에 알고 있던 전화번호나 공식 앱으로 사실을 확인해야 한다.
확인 순서 │ 스티커 흔적 → 안내문 출처 → 주소 미리보기 → 공식 앱 재확인
로그인, 본인인증, 앱 설치, 송금을 재촉한다면 바로 멈추는 편이 안전하다. 개인적으로 자료를 비교하며 가장 실용적이라고 느낀 기준은 QR을 통해 중요한 작업을 이어 가지 않고 공식 앱을 직접 여는 것이다.
주소창 확인법
핵심 요약 │ 자물쇠 표시만 믿지 말고 실제 도메인의 철자와 최상위 주소를 읽어야 한다.
HTTPS와 자물쇠 표시는 통신 암호화를 뜻할 뿐, 해당 운영자가 믿을 만하다는 보증은 아니다. 공식 주소와 한 글자만 다르거나 숫자·특수문자가 섞인 주소, 지나치게 긴 단축 주소는 열지 않는 편이 좋다.
큐싱 확인 │ 카카오톡 → ‘보호나라’ 검색 → 큐싱 확인 메뉴 → 의심 QR 촬영
한국인터넷진흥원의 보호나라 카카오톡 채널에서는 의심 QR을 확인할 수 있다. 메뉴 명칭은 개편될 수 있으므로 채널 안의 큐싱·QR 확인 안내를 기준으로 이용하면 된다.
스캔 뒤 행동별 대응
핵심 요약 │ 무엇을 했는지에 따라 창 닫기, 계정 보호, 악성 앱 삭제 순서가 달라진다.
주소 미리보기만 봤다면 창을 닫고 보호나라에서 확인한다. 페이지를 열었지만 정보를 입력하지 않았다면 파일 다운로드와 알림 허용 여부를 점검한다.
아이디와 비밀번호를 입력했다면 해당 서비스의 공식 앱이나 직접 입력한 공식 주소에서 비밀번호를 바꾼다. 같은 비밀번호를 쓰는 다른 계정도 변경하고 모르는 로그인 기기를 종료한 뒤 2단계 인증이나 패스키를 설정한다.
계정 조치 │ 공식 앱 접속 → 비밀번호 변경 → 로그인 기기 확인 → 2단계 인증 설정
악성 앱 설치 대응
핵심 요약 │ 앱이나 프로파일을 설치했다면 금융 앱 사용을 멈추고 기기를 먼저 점검해야 한다.
출처를 알 수 없는 APK를 설치했다면 와이파이와 모바일 데이터를 끄고 다른 안전한 기기로 금융회사에 연락한다. Android에서는 Play 프로텍트 검사를 실행하고 의심 앱을 삭제한다.
Android 검사 │ Play 스토어 → 프로필 → Play 프로텍트 → 검사
iPhone에서 QR 안내에 따라 프로파일을 설치했다면 알 수 없는 항목이 있는지 확인한다. 메뉴 이름은 iOS 버전에 따라 달라질 수 있고, 업무·학교가 관리하는 기기는 담당자에게 먼저 문의해야 한다.
iPhone 확인 │ 설정 → 일반 → VPN 및 기기 관리 → 모르는 프로파일 확인
삭제가 막히거나 이상 동작이 계속되면 임의로 금융 업무를 재개하지 말고 제조사 서비스센터 또는 한국인터넷진흥원 118에 상담하는 편이 안전하다. 감염이 의심되는 기기에서 인증서나 비밀번호를 다시 입력해서는 안 된다.
금융 피해 대응
핵심 요약 │ 돈이 빠져나갔다면 앱 삭제보다 지급정지 요청과 112 신고를 우선해야 한다.
이체나 결제 피해가 확인되면 금융회사에 즉시 지급정지를 요청하고 112에 신고한다. 통신사 소액결제 내역, 인증서와 등록 결제수단도 점검한다.
피해 대응 │ 금융회사 지급정지 요청 → 112 신고 → 인증수단 점검 → 증거 보관
의심 QR 사진, 연결 주소, 문자, 입금 계좌, 발생 시각을 캡처해 둔다. 단, 증거를 남기려고 위험한 주소를 반복해서 열 필요는 없다.
금전 피해가 시작됐다면 기기 정리보다 지급정지와 신고가 먼저이다.
평소 차단 설정
핵심 요약 │ 운영체제와 브라우저 보호 기능을 켜고 앱은 공식 스토어에서만 설치해야 한다.
Android의 Play 프로텍트와 Chrome의 세이프 브라우징은 유해 앱과 피싱 사이트를 식별하는 데 도움이 된다. 기능을 꺼 두면 경고를 놓칠 수 있으므로 활성 상태를 유지하고 운영체제와 브라우저를 최신 상태로 관리한다.
Chrome 보호 │ 더보기 → 설정 → 개인정보 보호 및 보안 → 보안 → 세이프 브라우징
보안 기능도 모든 큐싱을 막지는 못한다. QR을 연 뒤 로그인·결제·앱 설치를 요구하면 중단하고, 즐겨찾기나 공식 앱으로 다시 접속하는 습관이 마지막 방어선이 된다.
마치는 글
핵심 요약 │ QR을 찍기 전 출처를 확인하고 민감한 작업은 공식 앱에서 다시 시작하면 된다.
큐싱을 피하는 행동 수칙은 간단하다. 덧붙인 스티커를 확인하고, 미리보기 주소를 읽고, 로그인과 결제는 공식 앱에서 진행한다.
이미 정보를 입력했다면 계정 보호부터 시작하고, 악성 앱을 설치했다면 네트워크를 끈 뒤 점검한다. 금전 피해가 있다면 곧바로 금융회사와 112에 연락해야 한다.
함께 읽을 글
직접 수상한 QR코드를 발견하거나 대응한 경험이 있다면 댓글로 나눠 주세요.
#QR코드피싱 #큐싱 #큐싱사기 #보이스피싱예방 #스미싱차단 #악성앱삭제 #개인정보보호 #금융사기예방 #QR코드보안 #보호나라 #PlayProtect #아이폰보안 #스마트폰보안 #피싱사이트 #생활정보IT
답글 남기기