QR 코드 보안 & 피싱 주의

QR 코드가 일상 곳곳에 퍼지면서 이를 악용한 사이버 범죄도 급증하고 있어요. 'QR'과 '피싱(Phishing)'을 합친 '큐싱(Quishing)'이라는 신종 범죄가 사회적 문제로 떠오르고 있어요. 주차장, 공유 자전거, 식당 테이블에 부착된 QR 코드를 교묘하게 교체해 악성 사이트로 유도하는 수법이 대표적이에요. 이 가이드에서는 큐싱의 실태와 대응 방법, 그리고 안전한 QR 코드 생성 원칙을 상세히 알려드릴게요.

큐싱(Quishing)의 개념과 실제 사례

큐싱은 정상적인 QR 코드 위에 악성 QR 코드 스티커를 덧붙이거나, 피싱 메일에 QR 코드를 삽입해 악성 URL로 유도하는 공격이에요. 2024년부터 국내에서 급증했으며, 가짜 주차위반 스티커에 QR 코드를 넣어 과태료 납부 페이지를 위장한 사례, 공유 킥보드의 QR 코드를 가짜로 교체해 결제 정보를 탈취한 사례가 보고되었어요. 해외에서도 주차 미터기의 QR 코드를 교체하거나, 식당 메뉴판 QR을 바꿔치기하는 사례가 빈번해요. 이러한 공격은 사용자가 QR 코드를 의심 없이 스캔하는 습관을 악용하는 것이기 때문에, 경각심을 갖는 것이 가장 중요해요.

개인의 QR 코드 보안 수칙

QR 코드를 스캔할 때는 반드시 URL 미리보기 기능을 활용해야 해요. 대부분의 스마트폰 카메라 앱은 QR 코드를 인식하면 연결될 URL을 먼저 보여줘요. 이때 도메인이 의심스럽거나 단축 URL(bit.ly 등)이면 접속하지 않는 것이 안전해요. 공공장소에 부착된 QR 코드는 스티커가 덧붙여진 흔적이 없는지 물리적으로 확인해보세요. 또한 QR 코드로 개인정보 입력이나 금융 거래를 요구하는 경우에는 해당 기관의 공식 앱이나 웹사이트를 직접 방문하는 것이 좋아요. 출처가 불명확한 이메일이나 문자의 QR 코드는 절대 스캔하지 마세요.

기업의 QR 코드 보안 전략

기업이 QR 코드를 마케팅이나 서비스에 활용할 때는 보안 전략이 필수예요. 먼저 QR 코드를 부착하는 물리적 위치의 보안을 강화해야 해요. 스티커 교체를 방지하기 위해 탬퍼 프루프(tamper-proof) 소재를 사용하거나, 정기적으로 QR 코드 상태를 점검하는 절차를 마련해야 해요. QR 코드가 연결되는 랜딩 페이지에는 SSL 인증서를 반드시 적용하고, 자사 도메인을 사용해 신뢰성을 높여야 해요. 고객에게 공식 QR 코드의 디자인과 위치를 사전에 안내하면 위변조 QR에 속을 위험을 줄일 수 있어요.

안전한 QR 코드 생성 원칙

QR 코드를 생성할 때도 보안을 고려해야 해요. 먼저 신뢰할 수 있는 QR 코드 생성 도구를 사용해야 해요. QRgen.kr처럼 입력한 URL을 그대로 QR 코드에 담는 정적 방식은 중간 서버를 거치지 않아 URL 변조 위험이 없어요. 반면 일부 무료 동적 QR 서비스는 중간 리다이렉트 서버가 해킹될 경우 사용자가 악성 사이트로 이동할 수 있어요. QR 코드에 담을 URL은 HTTPS를 사용하고, 가능하면 단축 URL 대신 원본 URL을 직접 입력하는 것이 안전해요. 또한 QR 코드 생성 후에는 반드시 스캔 테스트를 통해 올바른 페이지로 연결되는지 확인하세요.

QR 코드는 편리한 도구이지만, 보안 위협에 대한 인식 없이 무분별하게 사용하면 큐싱 피해를 입을 수 있어요. 개인은 스캔 전 URL을 확인하고, 기업은 물리적·디지털 양면의 보안 전략을 수립해야 해요. QRgen.kr과 같은 신뢰할 수 있는 도구로 정적 QR 코드를 생성하면 중간 서버 의존 없이 안전하게 사용할 수 있어요.