주차장·식당에 붙은 QR코드, 찍으면 개인정보가 빠져나간다.
요즘은 주차 요금 결제 또는 식당에서 메뉴를 보려고
QR코드를 찍는 일이 이제 자연스럽습니다.
그 익숙함을 노린 사기가 바로 “큐싱”입니다.
문자에 붙은 링크는 이제 많은 사람이 잘 누르지 않습니다.
그래서 공격은 도착 주소가 눈에 보이지 않는 QR코드로 자리를 옮겼습니다.
큐싱이 뭘까?
큐싱은 QR코드와 피싱을 합친 말입니다.
QR코드를 스캔하게 만든 뒤 악성 앱을 깔게 하거나 가짜 사이트로 보내,
개인정보와 금융정보를 빼내는 수법입니다.
수법 자체는 문자 피싱과 크게 다르지 않습니다.
차이는 미끼가 링크가 아니라 QR코드라는 점입니다.
링크는 주소를 보고 이상하면 거를 수 있지만,
QR코드는 찍기 전까지 어디로 연결되는지 알 수 없습니다.
개인정보보호위원회도 2026년 4월 큐싱 피해가 늘고 있다며 주의를 당부했습니다.
가짜 QR은 어디에 있을까?
큐싱이 까다로운 이유는 QR코드가 온라인에만 있지 않기 때문입니다.
정상 QR코드 위에 가짜 스티커를 덧붙입니다.
주차 요금 정산기, 공유 자전거, 식당 테이블처럼 사람들이 의심 없이 찍는 곳이 표적입니다.주차 위반 딱지나 안내문을 가장해 QR코드를 붙여 두기도 합니다.
문자나 이메일, SNS로 가짜 QR을 뿌리기도 합니다.
임금 통지서나 무료 쿠폰을 가장한 사례가 실제로 있었습니다.
해외에서는 주차장 정산기와 공공 자전거에 붙은 가짜 QR로 로그인·결제 정보가 통째로 넘어간 사례가 보고됐습니다.
화면 속 링크만이 아니라, 길에서 마주치는 QR까지 의심해야 하는 상황이 된 것입니다.
찍으면 무슨 일이 벌어질까?
가짜 QR을 스캔하면 대개 두 갈래로 흘러갑니다.
앱을 설치하라고 안내합니다.
설치하면 연락처와 문자에 접근해 정보를 빼내고,
주소록으로 같은 QR 문자를 다시 퍼뜨립니다.진짜처럼 꾸민 결제나 로그인 화면으로 보냅니다.
여기에 카드번호나 계정을 입력하면 그대로 넘어갑니다.
노리는 것은 결국 같습니다.
개인정보와 결제정보, 나아가 가상자산 지갑까지 손을 뻗습니다.
안 당하려면 어떻게 할까?
QR코드 위에 다른 스티커가 덧붙어 있으면 찍지 않습니다.
떼어낸 흔적이 있으면 더 의심합니다.문자나 이메일에 담긴 QR코드는 신뢰하지 않습니다.
결제나 인증은 공식 앱에서 직접 합니다.스캔한 뒤 뜨는 주소를 확인합니다.
낯선 도메인이거나 짧은 주소면 접속하지 않습니다.QR을 찍었더니 앱을 설치하라고 하면 응하지 않습니다.
이미 앱을 설치했다면 바로 조치합니다.
인터넷 연결을 끊고,
설치된 앱을 삭제한 뒤, 결제 내역과 계정을 점검하고 비밀번호를 바꿉니다.
피해가 의심되면 경찰(112)이나 한국인터넷진흥원(118)에 신고합니다.
관련 기사