큐싱(QR코드 피싱): 주차장·전단지 QR을 찍기 전에 확인할 것
주차 요금 정산, 과태료 납부, 이벤트 참여를 내세운 가짜 QR코드로 피싱 사이트나 악성 앱 설치로 유도하는 큐싱. 찍기 전 확인법과 이미 찍었을 때의 대처를 정리했습니다.
큐싱(Qshing)은 QR코드와 피싱(Phishing)을 합친 말입니다. 문자 속 링크는 많이들 의심하게 됐지만, QR코드는 아직 “그냥 찍어도 되는 것”으로 여기는 경우가 많습니다. 그런데 QR코드는 결국 눈에 보이지 않는 링크입니다. 찍는 순간 어떤 주소로 이동하는지 미리 알 수 없다는 점이 문자 링크보다 더 위험합니다.
큐싱이 자주 나오는 곳
| 장소·형태 | 흔한 문구 | 노리는 것 |
|---|---|---|
| 주차장 정산기, 전기차 충전기 | “QR로 간편 결제하세요” | 카드 번호, 결제 정보 |
| 차량 와이퍼에 끼운 전단지 | “주차 위반 과태료 조회·납부” | 개인정보, 결제 정보 |
| 우편물·택배 스티커 | “배송 조회”, “반송 신청” | 악성 앱 설치 |
| 문자·이메일 속 QR 이미지 | “보안 인증을 위해 QR을 스캔하세요” | 계정 로그인 정보 |
| 가게·행사장 포스터 | “경품 이벤트 참여” | 개인정보, 유료 구독 |
특히 기존 QR코드 위에 가짜 QR 스티커를 덧붙이는 수법은 진짜 안내문 위에 있어서 의심하기 어렵습니다.
찍기 전에 확인할 4가지
- 덧붙인 흔적: QR코드가 스티커로 덧붙어 있거나 가장자리가 들떠 있다면 찍지 마세요.
- 미리보기 주소: 대부분의 휴대폰 카메라는 QR을 비추면 이동할 주소를 먼저 보여줍니다. 바로 누르지 말고 주소를 읽어 보세요. 기관 이름과 상관없는 주소, 단축 주소, 무작위 문자열 주소는 위험 신호입니다.
- 앱 설치 요구: 결제나 조회를 하려는데 앱(APK) 설치부터 요구하면 멈추세요. 정상적인 결제는 공식 앱스토어 앱이나 웹 결제로 이루어집니다.
- 공식 경로로 다시 확인: 과태료는 정부 공식 사이트, 주차 정산은 주차장 운영사 공식 앱에서 직접 확인하면 QR을 찍을 이유가 없습니다.
공공기관 과태료 QR, 진짜일 수도 있지 않나요?
공공기관도 고지서에 QR코드를 넣는 경우가 있습니다. 그래서 “QR이 있다 = 가짜”는 아닙니다. 구별 기준은 어디에 붙어 있었느냐와 어디로 연결되느냐입니다.
- 우편으로 정식 발송된 고지서가 아니라 차량 와이퍼나 문틈에 끼워진 종이라면 의심하세요.
- 연결된 주소가 정부·지자체 공식 도메인(대부분 go.kr로 끝남)이 아니라면 입력하지 마세요.
- 확실하지 않으면 QR 대신 고지서에 적힌 기관 대표번호나 공식 사이트에서 고지 내역을 직접 조회하세요.
이미 찍었다면
사이트만 열어보고 아무것도 입력하지 않았다면
대부분 큰 문제는 없습니다. 창을 닫고, 브라우저가 알림 허용을 요청했다면 허용하지 마세요. 실수로 허용했다면 알림 허용 해제 방법을 따라 지워 주세요.
카드 정보나 개인정보를 입력했다면
- 카드사에 바로 연락해 카드 정지와 재발급을 요청합니다.
- 결제 내역을 확인하고, 모르는 결제가 있으면 이의 신청을 합니다.
- 금융감독원 ‘개인정보노출자 사고예방 시스템’에 등록합니다.
앱을 설치했다면
- 비행기 모드로 전환해 통신을 끊습니다.
- 설치한 앱을 지우고 휴대폰 보안 점검을 받습니다.
- 은행 확인 전화는 다른 휴대폰으로 겁니다. 악성 앱이 발신 전화를 가로챌 수 있습니다.
의심 QR이나 사이트는 한국인터넷진흥원(118)에 신고할 수 있습니다. 다른 신고처는 신고처 총정리에 있습니다.
자주 묻는 질문
QR 스캐너 앱을 따로 쓰면 더 안전한가요?
기본 카메라도 이동 전에 주소를 보여주기 때문에 별도 앱이 꼭 필요하지는 않습니다. 오히려 출처가 불분명한 QR 스캐너 앱이 광고나 권한을 과도하게 요구하는 경우가 있으니 주의하세요.
가게에서 받은 QR 메뉴판도 위험한가요?
가게가 직접 관리하는 QR은 대부분 안전하지만, 누군가 위에 스티커를 덧붙였을 가능성은 있습니다. 메뉴판 QR이 결제나 개인정보 입력을 요구한다면 직원에게 확인하세요.