QR코드, 그냥 찍어도 괜찮을까?｜요즘 늘어나는 ‘큐싱’ 사기와 안전하게 확인하는 법

“QR코드는 그냥 찍어도 안전할까요? 경찰청과 미국 FTC가 경고한 큐싱(Qshing) 사례를 바탕으로 가짜 QR코드를 구별하는 방법과 이미 스캔했을 때 대처법을 쉽게 설명합니다.”

식당에서 메뉴를 볼 때도 QR코드를 찍습니다.

주차비를 결제할 때도 사용하고, 제품 설명이나 이벤트에 참여할 때도 카메라를 QR코드에 가져다 댑니다.

저도 QR코드를 보면 별다른 의심 없이 스마트폰 카메라부터 켜는 편이었습니다.

그런데 디지털 보안 자료를 찾아보다가 생각이 달라졌습니다.

QR코드는 그 자체가 안전하거나 위험한 것이 아니라, QR코드 안에 어떤 주소가 들어 있는지 눈으로 바로 알기 어렵다는 점이 문제였습니다.

그리고 범죄자들은 바로 이 특징을 이용하고 있습니다.

QR코드를 찍는 순간 돈이 빠져나가는 걸까?

먼저 과도하게 겁먹을 필요는 없습니다.

QR코드를 카메라로 읽었다고 무조건 스마트폰이 해킹되는 것은 아닙니다.

QR코드는 기본적으로 정보를 담는 수단입니다.

웹사이트 주소를 넣을 수도 있고 연락처나 다른 정보를 넣을 수도 있습니다.

문제는 QR코드가 우리를 어디로 이동시키느냐입니다.

가짜 QR코드를 스캔해 피싱 사이트로 이동한 뒤 아이디·비밀번호·카드번호 등을 입력하거나, 수상한 앱을 설치한다면 피해로 이어질 수 있습니다.

미국 연방거래위원회(FTC)도 QR코드를 이용해 가짜 사이트로 유도하고 개인정보나 금융정보를 빼내는 사기를 경고하고 있습니다.

‘큐싱’이라는 말도 있습니다

QR코드를 악용한 피싱은 흔히 큐싱(Qshing)이라고 부릅니다.

QR과 피싱(Phishing)을 합친 말입니다.

한국 경찰청도 큐싱을 QR코드를 이용해 악성 앱 설치 등을 유도하고 개인·금융정보를 탈취하는 수법으로 소개했습니다.

여기에서 특히 눈에 들어왔던 수법이 하나 있었습니다.

진짜 QR코드 위에 가짜 QR코드를 붙이는 방법입니다.

예를 들어 주차장이나 공유자전거 등에 정상적인 QR코드가 붙어 있다고 해보겠습니다.

그 위에 범죄자가 자신이 만든 QR코드 스티커를 붙입니다.

사용자는 원래부터 붙어 있던 정상 QR코드라고 생각하고 스캔할 수 있습니다.

실제로 FTC도 2026년 9월 주차요금 결제용 QR코드 위에 사기 QR코드를 덧붙이는 사례가 신고되고 있다며 소비자 경고를 내놨습니다.

온라인에서만 조심하면 되는 문제가 아닌 것입니다.

왜 QR코드는 의심하기 어려울까?

문자메시지에 이런 주소가 왔다고 생각해보겠습니다.

bank-security-check-123...

주소가 이상하면 한 번쯤 의심할 수 있습니다.

그런데 QR코드는 검은색과 흰색의 네모난 무늬만 보입니다.

사람이 보고 그 안의 인터넷 주소를 읽을 수 없습니다.

그래서 저는 QR코드를 ‘링크가 가려진 인터넷 주소’라고 생각하는 것이 가장 이해하기 쉬웠습니다.

문자로 온 링크는 주소라도 볼 수 있지만 QR코드는 스캔하기 전까지 목적지를 알기 어렵습니다.

그렇다면 QR코드도 문자 링크만큼 확인하고 들어가는 습관이 필요합니다.

최근에는 정말 다양한 방식으로 QR코드를 이용합니다

FTC가 공개한 사례들을 보면 수법도 다양합니다.

배송에 문제가 생겼다며 QR코드를 보내기도 하고,

계정에 이상이 생겼으니 확인하라고 하거나,

교통법규 위반 벌금을 납부하라는 문자를 보내 QR코드를 스캔하게 만들기도 합니다.

2026년에는 주문하지 않은 택배 안에 QR코드를 넣어 발송자 확인이나 반품을 위해 스캔하라고 유도하는 사례도 다시 경고됐습니다.

공통점이 있습니다.

사람을 급하게 만든다는 것입니다.

“지금 확인하세요.”

“계정이 정지됩니다.”

“벌금을 납부하세요.”

“배송을 다시 신청하세요.”

QR코드의 기술보다 먼저 봐야 할 것이 바로 이런 문구입니다.

저는 이제 QR코드를 보면 세 가지부터 확인합니다

첫 번째는 출처입니다.

내가 요청한 정보인지, 어떤 회사나 기관이 보낸 것인지 확인합니다.

갑자기 문자나 이메일로 도착한 QR코드라면 바로 스캔하지 않습니다.

두 번째는 QR코드를 스캔한 뒤 표시되는 인터넷 주소입니다.

요즘 스마트폰 카메라는 QR코드를 인식하면 바로 사이트를 열기 전에 주소 일부를 보여주는 경우가 많습니다.

그때 익숙한 공식 도메인인지, 철자가 미묘하게 바뀌지는 않았는지 확인합니다.

세 번째는 접속한 뒤 무엇을 요구하는지입니다.

QR코드를 찍었더니 갑자기 주민등록번호, 카드정보, 계좌정보, 비밀번호를 입력하라고 한다면 멈추는 것이 좋습니다.

특히 앱 설치까지 요구한다면 더욱 신중해야 합니다.

‘공공장소에 있으니까 안전하다’도 위험한 생각입니다

제가 가장 쉽게 착각했던 부분입니다.

카페 테이블이나 주차장, 안내판처럼 사람들이 많이 이용하는 곳에 붙어 있으면 공식 QR코드라고 생각하기 쉽습니다.

하지만 경찰청과 FTC가 모두 경고하는 수법 가운데 하나가 기존 QR코드 위에 다른 QR코드를 덧붙이는 것입니다.

따라서 결제나 개인정보 입력이 필요한 QR코드라면 스캔하기 전에 스티커가 덧붙여진 흔적은 없는지 한번 보는 습관도 도움이 됩니다.

조금 번거롭지만 몇 초면 됩니다.

이미 수상한 QR코드를 찍었다면?

여기에서도 ‘찍었다’와 ‘정보를 입력했다’를 구분할 필요가 있습니다.

QR코드를 스캔했다는 사실만으로 모든 계정의 비밀번호를 바꿔야 하는 것은 아닙니다.

하지만 이동한 사이트에서 아이디와 비밀번호를 입력했다면 이야기가 달라집니다.

FTC는 이런 경우 해당 비밀번호를 즉시 변경하고, 같은 비밀번호를 다른 계정에서도 사용했다면 그곳 역시 변경하라고 안내합니다.

금융정보를 입력했다면 카드와 은행 거래내역도 확인해야 합니다.

수상한 앱을 설치했다면 앱 삭제만으로 끝내지 말고 기기와 계정의 보안 상태까지 확인할 필요가 있습니다.

중요한 것은 당황해서 또 다른 검색광고나 문자 속 ‘해결센터’를 누르는 것이 아니라 은행·카드사·서비스의 공식 앱이나 공식 홈페이지를 직접 찾아가는 것입니다.

QR코드를 사용하지 말라는 이야기는 아닙니다

QR코드는 정말 편리합니다.

메뉴판을 열고, 로그인하고, 결제하고, 정보를 전달하는 데 몇 초밖에 걸리지 않습니다.

그래서 QR코드를 무조건 피하는 것은 현실적인 해결책이 아닙니다.

필요한 것은 새로운 습관 하나입니다.

예전에는 QR코드를 보면,

카메라 → 스캔 → 바로 접속

순서였다면,

이제는

출처 확인 → 스캔 → 주소 확인 → 접속

순서로 바꾸는 것입니다.

몇 초 차이입니다.

하지만 그 몇 초가 가짜 사이트와 진짜 사이트를 구분할 시간을 만들어줄 수 있습니다.

디지털 사기는 결국 사람의 ‘자동 행동’을 노립니다

패스키와 문자 인증을 알아보고 이번에는 QR코드까지 살펴보면서 공통점을 하나 발견했습니다.

사기범은 꼭 어려운 해킹 기술만 사용하는 것이 아닙니다.

우리가 매일 반복해서 하는 익숙한 행동을 노립니다.

문자가 오면 링크를 누르고,

인증번호가 오면 입력하고,

QR코드가 보이면 카메라를 켭니다.

너무 익숙하기 때문에 생각하지 않고 행동하게 됩니다.

그래서 디지털 보안에서 필요한 능력은 모든 기술을 아는 것이 아닐지도 모릅니다.

익숙한 화면에서도 중요한 정보를 입력하기 전 한 번 멈추는 습관.

QR코드를 사용할 때도 마찬가지입니다.

QR코드의 검은 네모를 보고 안전한지 판단하려고 하지 마세요.

그 QR코드가 나를 어디로 데려가는지를 확인하는 것.

그것이 훨씬 중요한 디지털 보안 습관입니다.