QR코드 사기

개요

큐싱(Quishing)은 QR코드를 이용한 피싱입니다. QR코드(QR)와 피싱(Phishing)을 합친 말입니다.

KISA는 공격자가 QR코드에 악성앱 다운로드 주소나 피싱사이트 접속 주소를 포함시켜 개인정보와 금전을 탈취한다고 설명합니다.

문자 사기와 목적은 같지만, 결정적인 차이가 하나 있습니다.

주소를 눈으로 확인할 수 없습니다.

문자에 링크가 있으면 도메인이 이상한지 눈으로 볼 수 있습니다. QR코드는 검은 점 무늬일 뿐이라 찍기 전에는 어디로 가는지 알 수 없습니다. 이 점이 큐싱의 핵심입니다.

수법과 원리

스티커 한 장이면 끝난다

가장 흔한 방식은 원래 있던 QR코드 위에 가짜 스티커를 덧붙이는 것입니다. 별다른 기술이 필요 없고, 사람이 많이 지나는 곳일수록 효과가 큽니다.

표적이 되는 장소는 대체로 이렇습니다.

• 주차 정산기와 무인 결제기
• 식당 메뉴판, 테이블 주문 코드
• 공유 킥보드·자전거 거치대
• 공공기관 안내문, 게시판 포스터
• 전단지와 우편함에 꽂힌 홍보물

온라인으로도 온다

KISA가 공지한 사례에서는 정부기관과 싱크탱크 직원을 사칭해 메일이나 메시지로 QR코드를 보내는 방식이 쓰였습니다. 국내외 정세 변화에 대한 자문·설문을 요청한다는 명목으로 QR코드 촬영을 유도했습니다.

KISA는 이 권고에서 정부기관과 금융회사는 전화나 문자 등으로 원격제어앱 설치를 요구하지 않는다고 밝히면서, 정상 스토어에 등록된 앱인 경우도 포함한다고 덧붙였습니다. 그러니 정부기관이나 금융회사를 자처하는 쪽이 원격제어앱 설치를 요구한다면, 그 앱이 공식 스토어에 올라와 있다는 이유로 안심하지 마세요.

아는 사람이 공유한 QR코드도 안전하지 않다

KISA가 공지한 또 다른 사례의 악성앱에는 피해자가 주변인에게 악성앱 설치를 유도하는 QR코드를 생성해 다시 퍼뜨리게 하는 기능이 들어 있었습니다. "1COUPON", "무료쿠폰앱", "상품권 증정" 같은 문구의 문자로 시작해 악성앱이 설치되면, 그 앱이 홍보용 QR코드 생성·공유 기능을 제공합니다. KISA 권고는 포인트를 받으려면 지인에게 QR코드 이미지를 공유하라는 식으로 유인한다고 설명합니다. 감염된 사람은 자기가 퍼뜨리는 것이 악성앱 주소인 줄 모릅니다.

그래서 보낸 사람을 아는지 여부만으로는 QR코드를 판단할 수 없습니다. 아는 사람이 보냈더라도 열린 주소가 어디인지는 따로 확인해야 합니다.

찍은 다음에 벌어지는 일

1. 1

   QR코드가 주소를 열어 준다

   사용자가 주소를 타이핑하지 않았으므로 오타를 의심할 기회가 없습니다.

2. 2

   진짜처럼 생긴 페이지가 열린다

   결제 화면, 로그인 화면, 쿠폰 수령 화면 등입니다.

3. 3

   앱 설치나 정보 입력을 요구한다

   이 지점부터는 스미싱과 완전히 같습니다.

왜 알아차리기 어려운가

QR코드는 이미 신뢰한 상태에서 찍습니다. 주차장 정산기 앞에 서 있으면 그 QR코드가 정산용이라고 당연히 여깁니다. 문자로 온 링크는 의심하면서 눈앞의 QR코드는 의심하지 않는 이유입니다.

사례 유형과 예시

아래는 수법 이해를 위한 교육용 재구성입니다. 특정 피해자의 실제 사건이나 발언을 인용한 것이 아니며, 모든 사기가 같은 순서로 진행되지는 않습니다.

위험 신호

• 🚩QR코드가 스티커로 덧붙여져 있거나 주변과 인쇄 질감이 다르다
• 🚩미리보기에 뜬 주소가 그 장소·기관과 무관한 도메인이다
• 🚩주소가 짧은 링크로 감춰져 있다
• 🚩찍었더니 앱 파일(.apk)을 내려받으라고 한다
• 🚩로그인이나 결제 정보를 요구한다
• 🚩출처를 모르는 메일·메시지에 QR코드가 들어 있다
• 🚩아는 사람이 보냈지만 무료 쿠폰·상품권·홍보를 이유로 공유된 QR코드다
• 🚩무료 쿠폰이나 경품 수령을 내세운다
• 🚩결제 화면의 상호가 실제 가게 이름과 다르다

예방법

1. 찍기 전에 주소 미리보기를 본다

스마트폰 카메라로 QR코드를 비추면 대체로 주소가 먼저 표시됩니다. 누르기 전에 그 주소를 읽는 습관이 큐싱 방어의 핵심입니다.

• 그 장소·기관의 공식 도메인이 맞는가
• 짧은 링크로 감춰져 있지 않은가
• 철자가 미묘하게 다르지 않은가

주소가 안 보이는 기기도 있습니다. 기종·운영체제·카메라 앱에 따라 도메인 일부만 보이거나 곧바로 열리기도 합니다. 내 기기에서 주소가 먼저 보이는지 한 번 시험해 보고, 안 보인다면 QR코드는 찍지 않는 것을 기본으로 삼으세요. 현장 단말기나 공식 앱이라는 대안이 대부분 있습니다.

2. 스티커가 덧대어져 있으면 찍지 않는다

손톱으로 살짝 만져 보면 스티커인지 인쇄인지 알 수 있습니다. 덧대어져 있다면 그 자리에서 직원에게 알리고 다른 방법으로 처리하세요.

3. 결제는 QR코드 대신 다른 경로를 쓴다

주차 정산이나 주문은 대부분 현장 단말기나 공식 앱이라는 대안이 있습니다. 조금 번거로워도 그쪽이 안전합니다.

4. 메일·메시지 속 QR코드는 찍지 않는다

KISA는 출처가 불분명한 발신자로부터 온 메일·메시지에 담긴 QR코드는 촬영하지 말 것을 권고합니다. 화면 속 QR코드를 다른 기기로 찍는 것은 링크를 누르는 것과 같습니다.

아는 사람이 보낸 것도 예외가 아닙니다. 위의 재유포 사례처럼, 보낸 사람 본인이 감염 사실을 모르는 경우가 있습니다. 무료 쿠폰·상품권·홍보를 이유로 공유된 QR코드라면 보낸 사람에게 다른 연락 수단으로 먼저 확인하세요.

5. 알 수 없는 앱 설치를 막아 둔다

QR코드로 열린 페이지에서 악성앱이 설치되는 것을 막습니다. 갤럭시 보안 설정에서 보안 위험 자동 차단을 켜고, 알 수 없는 앱 설치는 앱별로 허용을 꺼 두세요.

6. 판단이 서지 않으면 찍지 않는다

QR코드는 대안이 있는 경우가 대부분입니다. 현장 단말기, 공식 앱, 직원 문의 중 하나를 쓰면 됩니다. 확신이 없는데 굳이 찍어서 확인할 이유가 없습니다.

이미 찍었고 앱을 설치했다면 국번없이 118로 상담할 수 있습니다.

발생 시 대처 방법

찍기만 했을 때

페이지만 열리고 아무것도 하지 않았다면 창을 닫으면 됩니다. 앱을 설치했거나 정보를 입력했는지만 확인하세요.

앱을 설치했을 때

1. 1

   비행기모드로 바꾼다

   통신을 끊어 악성앱이 데이터를 보내지 못하게 합니다.

2. 2

   다른 전화기로 금융회사에 연락한다

   감염된 기기로 걸면 사기범에게 연결될 수 있습니다. 가족이나 주변 사람의 전화기를 쓰세요.

   
   

   돈이 빠져나갔거나 금융정보 노출·거래가 의심되면 금융회사에 즉시 신고하고 필요한 거래 차단을 요청하세요. 앱을 찾아 지우느라 신고를 미루지 마세요. 내 명의로 계좌가 개설되거나 대출이 실행되는 것을 미리 막는 별도 제도는 명의도용 확인에 정리해 두었습니다.

3. 3

   설치된 앱을 지운다

   삭제가 안 되면 기기 관리자·접근성 권한을 먼저 해제해야 합니다. 자세한 순서는 악성앱 확인과 삭제에 있습니다.

4. 4

   휴대폰 소액결제 내역을 확인한다

   KISA 는 큐싱 악성앱 감염이나 피싱사이트 정보 입력으로 모바일 결제 피해가 생길 수 있다고 보고, 가입한 통신사 고객센터에서 결제 내역부터 확인하라고 안내합니다. 피해가 확인되면 통신사 이의신청과 소액결제확인서 발급, 경찰 신고, 서류 제출 순서로 진행합니다. 단계별 설명과 추가 결제 차단은 휴대폰 소액결제 피해에 정리했습니다. 보상 여부는 통신사·결제대행 업체의 확인 결과에 달려 있습니다.

5. 5

   내 번호가 도용되지 않게 막고 지인에게 알린다

   같은 권고는 정보 유출이 의심되면 번호도용문자차단서비스를 신청하라고 안내합니다. 이동통신사 부가서비스 항목에서 무료로 신청할 수 있다고 밝히고 있으며, 신청 경로는 가입한 통신사에서 확인하세요.

   
   

   악성앱이 주소록을 조회해 지인에게 같은 문자를 보낼 수 있으므로, 주변 지인에게 피해 사실을 알리라는 것도 같은 권고의 안내입니다. 이 문서의 재유포 사례처럼 QR코드로 번지는 경로도 있습니다.

6. 6

   감염 기기로 금융서비스를 썼다면 인증 수단을 정리한다

   KISA 는 악성앱에 감염됐던 스마트폰으로 금융서비스를 이용했다면 공동인증서·보안카드 등 금융거래에 필요한 정보를 폐기하고 재발급하라고 안내합니다. 이 문서가 확인한 것은 여기까지입니다. 폐기·재발급 절차는 발급한 금융회사와 발급기관의 안내를 따르세요.

결제하거나 정보를 입력했을 때

쓴 결제 수단부터 가려내세요. 카드 정보를 넣었다면 즉시 카드사에 부정사용 신고를 하고 카드를 정지하세요. 이후 절차는 카드 도용을 따르면 됩니다. 계좌에서 빠져나갔다면 그 은행에, 간편결제 앱을 거쳤다면 그 앱의 고객센터에도 함께 알리고 등록된 결제 수단을 정리하세요(간편결제 보안). 계정 정보를 넣었다면 그 계정의 비밀번호를 다른 기기에서 바꾸고 계정 해킹 대응을 확인하세요.

가짜 QR코드를 발견했다면

그 자리에 그대로 두면 다음 사람이 당합니다. 시설 관리자나 가게에 알리고, 국번없이 118로 신고할 수 있습니다. 스티커를 촬영해 두면 신고에 도움이 됩니다.

신고 기관

아래 기관은 무료입니다. 피해가 진행 중이라면 순서대로 연락하세요.

• 118 상담센터 (한국인터넷진흥원)

  📞 118

  이용 목적 해킹·악성코드에 감염된 것 같을 때, 불법 스팸을 받았을 때, 개인정보가 침해된 정황이 있을 때 상담하는 곳입니다.

  준비할 정보

  • 무슨 일이 언제 일어났는지 (설치·클릭·수신 시각)
  • 화면 사진 — 문자 원문, 앱 목록, 오류 화면
  • 쓰는 기기 종류와 운영체제

  국번없이 118. 공식 안내 기준으로 1번 해킹/바이러스, 2번 보이스피싱/스미싱, 3번 개인정보, 4번 불법 스팸, 5번 ICT 분쟁조정입니다. 2번을 고르면 경찰청(전기통신금융사기 통합신고대응센터)으로 연결됩니다.

  공식 누리집 열기 ↗

  2026-09-09 확인 · 상담 범위와 메뉴 번호를 공식 안내와 대조했습니다. 운영 시간은 공식 안내에 적혀 있지 않아 이 사이트에도 싣지 않습니다.
  제도와 연락처는 바뀔 수 있으니 최신 정보는 공식 사이트에서 확인하세요.

• 경찰청 (112)

  📞 112

  이용 목적 사기 피해가 실제로 발생했을 때 가장 먼저. 긴급 상황은 112, 보이스피싱 등 전기통신금융사기의 피해 신고·상담은 경찰청 전기통신금융사기 통합대응단 1394. 온라인은 경찰청 ECRM(사이버범죄 신고시스템).

  준비할 정보

  • 이체·결제 내역과 금액, 시각
  • 상대 계좌번호 또는 전화번호
  • 주고받은 문자·메신저 대화 화면
  • 신분증

  공식 누리집 열기 ↗

  2026-09-10 확인 · ECRM 의 접수 안내와 준비 서류, 1394 대표번호와 접수 범위를 공식 페이지에서 확인했습니다.
  제도와 연락처는 바뀔 수 있으니 최신 정보는 공식 사이트에서 확인하세요.

• 카드사 고객센터

  이용 목적 카드 부정사용, 본인이 하지 않은 결제 승인 문자를 받았을 때.

  준비할 정보

  • 결제 승인 문자 또는 앱 알림 화면
  • 결제 시각·금액·가맹점 이름
  • 카드번호(카드 실물 또는 앱에서 확인)

  전화번호는 카드 뒷면이나 카드사 공식 앱에서 직접 확인하세요. 카드사별 접수 경로는 카드 도용 문서에 정리해 두었습니다.

  확인일 없음
  최신 정보는 공식 사이트에서 확인하세요.

다른 신고·상담 창구도 보기 →

자주 묻는 질문

Q.QR코드만 찍어도 감염되나요?▾

찍는 것만으로 감염되지는 않습니다. QR코드는 주소를 대신 입력해 주는 역할일 뿐입니다. 문제는 그 주소로 열린 페이지에서 앱을 설치하거나 정보를 입력할 때 생깁니다. 다만 주소를 눈으로 확인할 수 없다는 점이 QR코드의 위험입니다.

Q.찍기 전에 어떻게 확인하나요?▾

스마트폰 카메라로 비추면 대체로 주소가 먼저 뜹니다. 그 주소가 그 장소·기관과 맞는지 보세요. 짧은 링크로 감춰져 있거나 전혀 다른 도메인이면 열지 마세요. 기종이나 카메라 앱에 따라 주소가 안 보이고 바로 열리기도 하는데, 그런 기기에서는 애초에 찍지 않는 편이 안전합니다.

Q.종이에 붙은 QR코드가 왜 위험한가요?▾

원래 있던 QR코드 위에 스티커를 덧붙이는 수법이 있기 때문입니다. 주차 정산기, 식당 메뉴판, 공공기관 안내문처럼 사람이 많이 지나는 곳이 표적입니다. 스티커가 덧대어져 있거나 인쇄 질감이 주변과 다르면 의심하세요.

Q.아는 사람이 보낸 QR코드는 괜찮나요?▾

보낸 사람을 안다는 것만으로는 판단할 수 없습니다. KISA가 공지한 사례의 악성앱에는 피해자가 주변인에게 악성앱 설치를 유도하는 QR코드를 만들어 다시 퍼뜨리게 하는 기능이 들어 있었습니다. 감염된 사람이 홍보용으로 알고 공유한 QR코드가 실제로는 악성앱 다운로드 주소였습니다. 아는 사람이 보냈더라도 열린 주소는 따로 확인하세요.

Q.QR코드로 결제했는데 이상합니다.▾

결제 화면의 주소와 상호가 실제 가게와 맞는지 확인하세요. 다르면 결제에 쓴 수단이 무엇이었는지에 따라 연락할 곳이 갈립니다. 카드로 승인됐다면 카드사, 계좌에서 바로 빠져나갔다면 그 은행, 간편결제 앱을 거쳤다면 그 앱의 고객센터에도 함께 알리세요. 결제 승인 문자가 왔다면 금액과 가맹점명을 함께 확인합니다.

Q.안전한 QR코드인지 미리 검사할 방법이 있나요?▾

찍기 전에 안전을 보장해 주는 검사는 없습니다. 확신이 서지 않는 QR코드는 찍지 않고 현장 단말기나 공식 앱 같은 다른 경로를 쓰세요. 다만 받아 둔 QR코드가 악성인지 물어볼 창구는 있습니다. KISA 큐싱 권고는 보호나라 카카오톡 채널의 큐싱 확인서비스로 신고하고 악성 여부를 판별하라고 안내합니다. 접수 화면과 판정 단계는 이 문서가 확인하지 못했으니 절차는 채널 안내를 따르세요. 이미 앱을 설치했다면 국번없이 118로도 상담할 수 있습니다.