큐싱(QR코드 피싱), 눈에 보이지 않는 디지털 함정
일상에서 흔히 접하는 QR코드가 공격자의 도구로 변질되는 큐싱(Quishing)이 확산하고 있습니다. 큐싱은 QR코드와 피싱(Phishing)의 합성어로, 악의적인 QR코드를 스캔하게 만들어 개인정보 탈취나 금전적 피해를 유발하는 수법입니다. 과거의 이메일 피싱이 텍스트 중심이었다면, 최근의 큐싱은 시각적 익숙함을 악용해 방어 기제를 무력화하는 특징을 보입니다.
큐싱은 QR코드를 악용해 악성 앱을 설치하거나 피싱 사이트로 유도하는 신종 범죄입니다. 공공장소에 부착된 QR코드를 무분별하게 스캔하지 말고, 스캔 후 연결되는 URL이 신뢰할 수 있는 도메인인지 반드시 확인하는 습관이 필요합니다.
교묘해지는 큐싱의 주요 수법
범죄자들은 주로 유동 인구가 많은 공유 자전거, 공공 와이파이 안내문, 주차 정산기 등에 기존 QR코드 위에 가짜 스티커를 덧붙이는 방식을 사용합니다. 사용자가 결제를 위해 이를 스캔하면 실제 서비스 페이지가 아닌 정교하게 복제된 가짜 피싱 사이트로 연결됩니다.
이때 결제 정보 입력을 유도하거나, 악성 APK 파일을 설치하도록 유도하여 스마트폰 내 연락처, 사진, 금융 정보에 접근합니다. 특히 안드로이드 환경에서는 출처를 알 수 없는 앱 설치가 가능하여 피해 규모가 훨씬 큽니다.
스캔 전 반드시 확인해야 할 3가지 체크리스트
첫째, QR코드 부착물의 상태를 살피는 게 좋습니다. 덧붙여진 스티커 흔적이 있거나 인쇄 상태가 조잡한 경우 즉시 의심해야 합니다.
둘째, 스캔 직후 나타나는 URL 주소를 반드시 확인합니다. 예를 들어 공식 기관의 도메인이 아닌 이상한 문자가 섞인 주소라면 절대 클릭하지 마십시오. 셋째, 결제 앱이나 은행 앱 자체의 스캔 기능을 사용하는 게 안전합니다.
카메라 기본 앱으로 스캔할 경우 주소 확인 과정 없이 곧바로 연결되는 경우가 많기 때문입니다.
보안 강화를 위한 예방 조치
보안 사고를 막기 위해서는 스마트폰의 보안 설정을 업데이트하는 것만으로도 상당 부분 예방이 가능합니다. 안드로이드 설정에서 '출처를 알 수 없는 앱 설치 허용' 항목을 차단 상태로 유지하십시오. 또한, QR코드 전용 보안 검사 기능이 포함된 모바일 백신을 설치하여 악성 URL 접속을 차단하는 것도 효과적인 방법입니다. 공공장소에서 제공하는 QR코드는 항상 검증된 경로인지 의심하고, 낯선 곳에서 제공하는 QR코드는 가급적 이용하지 않는 게 좋습니다.
피해 발생 시 즉각 대응 절차
만약 의심스러운 QR코드를 스캔하여 개인정보를 입력했거나 악성 파일을 다운로드했다면 지체 없이 조치를 취해야 합니다. 가장 먼저 스마트폰의 비행기 모드를 활성화하여 추가적인 데이터 유출을 막고, 악성 앱을 즉시 삭제해야 합니다.
이후 공인인증서 폐기 및 재발급, 금융 계좌 지급 정지 조치를 통해 2차 피해를 방지하는 과정이 뒤따라야 합니다. 계정 정보가 유출되었다면 즉시 비밀번호를 변경하고 2단계 인증을 설정하여 공격자의 접근을 차단하십시오.