가짜 QR은 어디에 붙나
큐싱은 QR코드와 피싱을 합친 말입니다. 정부는 2024년 10월 공유 킥보드의 정상 QR 위에 사기 스티커를 덧붙이거나, 온라인 광고·이메일에 악성 QR을 넣는 수법을 소개하며 주의를 당부했습니다. 2024년 8월 경기 파주에서는 차에 붙은 노란 "주차 위반 안내문"에 과태료 납부 QR이 인쇄돼 있었고, 찍으면 카드번호 입력 화면과 악성 앱 설치로 이어졌습니다.
정부 발표에 따르면 공공기관을 사칭한 문자사기 탐지 건수는 2022년 1만 7,726건에서 2024년 125만 8,228건으로 늘었습니다. 문자로 오던 미끼가 종이와 스티커로 옮겨 오고 있다는 뜻입니다.
찍기 전에 볼 것
| 신호 | 왜 의심하나 |
|---|---|
| QR 부분만 스티커로 덧붙여져 있음 | 정상 QR 위에 가짜를 붙이는 대표 수법 |
| "즉시 납부", "오늘까지" 같은 재촉 | 지자체·경찰은 현장 스티커로 즉시 결제를 요구하지 않는다고 안내 |
| 결제·인증·앱 설치를 QR로만 하라고 함 | 정상 기관은 공식 앱·누리집 경로를 따로 안내 |
| 인쇄가 조잡하거나 기관 이름이 애매함 | 사칭물은 공식 서식과 다른 경우가 많음 |
주소에서 진짜 도메인 읽기
주소는 맨 앞이 아니라 첫 번째 "/" 바로 앞의 끝부분이 주인입니다. 아래 예시는 구조를 보여 주기 위한 가상의 주소입니다.
| 주소 | 실제 주인 | 판단 |
|---|---|---|
| https://www.gov.kr/... | gov.kr | 공식 도메인 |
| https://gov.kr.pay-check.com/... | pay-check.com | gov.kr은 앞에 붙은 장식일 뿐 |
| https://bit.ly/... 같은 단축 주소 | 알 수 없음 | 목적지를 숨김, 공공 결제에 쓸 이유 없음 |
| 주소 끝이 .apk | 파일 다운로드 | 무조건 열지 않기 |
https(자물쇠)는 "통신이 암호화됐다"는 뜻이지 "믿을 만한 곳"이라는 뜻이 아닙니다. 가짜 사이트도 https를 씁니다.
열기 전에 주소부터 보기
카메라 앱에 따라 인식하자마자 배너를 눌러 바로 열게 되는 경우가 많습니다. 안드로이드 앱 "QR 바코드 스캐너"는 링크를 자동으로 열지 않고 결과 카드에 주소와 도메인을 먼저 보여 줍니다.
QR을 찍으면 결과 카드부터
스캔 탭에서 QR을 비추면 결과 카드에 종류(링크)와 함께 도메인과 주소가 따로 나옵니다. 이 도메인 줄을 위 표대로 읽습니다. 설정 › 스캔 동작의 링크 자동 열기는 처음부터 꺼져 있으니 그대로 두세요.
열지 말고 웹 검색이나 복사
모르는 도메인이면 링크 열기 대신 웹 검색으로 그 주소를 검색해 사기 신고 글이 있는지 먼저 보거나, 복사해서 보호나라 확인 서비스에 붙여 넣습니다. 스캔 기록은 이력 탭에 남으니 나중에 신고할 때 주소를 다시 찾을 수 있습니다.
공식 경로로 직접 들어가기
과태료·세금·택배처럼 진짜일 수도 있는 안내라면 QR 대신 공식 앱이나 누리집 주소를 직접 입력해 같은 내용을 조회합니다. 정부도 복잡한 주소는 직접 입력하라고 안내합니다.
부모님 폰에 해 둘 것
- 출처를 알 수 없는 앱 설치 허용을 꺼 두기 — 안드로이드 설정의 보안 메뉴에 있습니다. 악성 앱은 대부분 이 경로로 들어옵니다.
- QR은 스캐너 앱으로 찍고 주소가 나오면 사진을 찍어 가족에게 보내기 — 판단을 대신 해 줄 수 있습니다.
- 카카오톡 보호나라 채널 추가 — KISA는 2024년 12월부터 이 채널의 QR코드 메뉴로 의심 QR을 촬영해 보내면 악성 여부를 알려 주는 서비스를 운영하고 있고, 판독에는 평균 10분 정도 걸린다고 밝혔습니다.
이미 열었다면
| 한 일 | 바로 할 일 |
|---|---|
| 주소만 열어 봄 | 창을 닫고 입력한 것이 없는지 확인 |
| 카드번호·비밀번호 입력 | 카드사·은행에 정지 요청, 비밀번호 변경 |
| 앱을 설치함 | 비행기 모드로 전환, 112 또는 118 신고, 정부 안내대로 휴대폰 초기화 검토 |
자주 묻는 질문
스캐너 앱이 사기 QR을 막아 주나요?
아닙니다. 이 앱은 주소를 먼저 보여 주고 자동으로 열지 않을 뿐, 사이트의 안전 여부는 판단하지 않습니다. 판단은 도메인 확인과 공식 확인 서비스로 하세요.
QR을 찍기만 해도 악성코드가 깔리나요?
QR을 읽는 것만으로 설치되지는 않습니다. 피해는 주소를 열고, 정보를 입력하거나 앱 설치를 허용할 때 생깁니다. 그래서 열기 전 확인이 핵심입니다.
QR 바코드 스캐너 - 리더기·생성기
회원가입 없이, 스캔 기록은 내 폰 안에만. 안드로이드 무료 앱입니다.