핵심 POINT
큐싱은 QR코드와 피싱의 합성어로, 악성 앱 설치 주소가 담긴 가짜 QR 코드를 촬영하면 개인정보 유출과 금융정보 탈취, 스마트폰 원격 조종, 소액결제로 이어질 수 있습니다.
국내에서는 주차 위반 딱지, 공유 킥보드 결제 QR 위에 덧붙인 스티커, 메일에 첨부된 QR 코드가 확인됐습니다. 경찰청이 밝힌 고지 절차에 따르면 지자체와 경찰은 현장 단속 스티커로 즉시 결제를 요구하지 않습니다.
스캔하기 전에는 겹쳐 붙은 스티커와 고지 경로부터 확인하고, 이미 스캔했다면 비행기 모드 전환 후 모바일 백신 검사, 지급정지 요청, 118 상담(해킹·바이러스 긴급상담 365일 24시간) 순으로 대응합니다.
큐싱·피싱 사기 주의! 가짜 QR 코드 판별법 주차 위반 딱지·킥보드 QR부터 악성 앱 해킹 피해 대응까지
차량 앞유리의 주차 위반 딱지, 공유 킥보드와 공공자전거의 결제 안내, 메일로 받은 대출 안내문까지 QR 코드는 일상 곳곳에서 쓰입니다. 이 편리함을 노린 큐싱 피싱 사기도 증가하고 있습니다. 큐싱(QR코드+피싱)은 악성 앱 설치 주소가 담긴 QR 코드를 촬영하게 해 개인정보와 금융정보를 탈취하거나 스마트폰을 원격으로 조종하고 소액결제를 유도하는 사기 수법입니다.
KISA가 발표한 2023~2025년 스미싱 대응 현황을 보면 과태료·범칙금 등 공공기관을 사칭하는 유형이 214만여 건으로 전체 스미싱의 53.4%를 차지했습니다. SNS 기업을 사칭한 계정 탈취가 117만여 건(29.2%), 청첩장·부고장 같은 지인 사칭형이 52만여 건(13.1%)으로 뒤를 이었습니다. 이 수법이 차량 앞유리의 종이 딱지에 QR 코드를 인쇄하는 주차 위반 큐싱으로 옮겨왔다는 지적도 나옵니다.
이번 글에서는 가짜 QR 코드가 피해로 이어지는 과정과 현장에서 확인된 유형, 스캔 전 점검 방법, 피해 후 대응 순서를 차례로 정리했습니다.
■ 가짜 QR 코드 큐싱 피해 발생 과정
출처: AI(ChatGPT) 생성 이미지
큐싱이란 QR 코드에 악성 앱 설치 주소(URL)를 삽입해 두고, 이를 촬영하면 악성 앱이 설치되도록 유도하는 사기 수법입니다. 악성 앱이 설치되면 개인정보와 금융정보 탈취, 스마트폰 원격 조종, 소액결제 유도 같은 피해가 발생합니다. 스마트폰에 저장된 모든 개인정보가 탈취될 수 있고, 원격 조종을 통한 보이스피싱 등 2차 피해로 이어질 수도 있습니다.
QR 코드 사기가 위험한 이유는 피해까지 가는 단계가 짧다는 데 있습니다. 가짜 QR 코드를 카메라로 한 번 비추면 연결되고, 이어서 앱 설치나 카드번호 입력 같은 한두 단계만 거치면 피해가 시작됩니다. 한 지자체에서 확인된 허위 주차 위반 안내문도 스캔 후 카드번호 입력창과 악성 앱 설치로 이어졌고, 금융감독원에 접수된 사례 역시 추가 인증을 따라 하던 중 악성 앱이 설치됐습니다.
1) 육안으로는 가짜를 가려낼 수 없습니다
KISA는 문자메시지는 의심이라도 해 볼 수 있지만 QR 코드는 일반인이 눈으로 구분하기 어렵다고 지적했습니다. 또한 QR 코드가 연결 주소나 조작 여부를 사전에 분간할 수 없는 구조라서 이용자 주의 환기만으로는 원천 차단이 어렵다고 밝혔습니다.
2) 스미싱 증가와 QR 코드로의 확산
KISA 집계에서 2024년 스미싱 탐지는 약 220만 건(2,196,469건)으로 2023년(503,300건)의 4배를 넘었고, 2023~2025년 누적으로는 공공기관 사칭이 214만여 건(53.4%), SNS 기업 사칭 계정 탈취가 117만여 건(29.2%), 지인 사칭형이 52만여 건(13.1%)이었습니다. 공공기관 사칭과 지인 사칭, 계정 탈취 같은 검증된 미끼가 문자뿐 아니라 공유형 킥보드 이용, 행사 정보 제공 등에 쓰이는 QR 코드로 옮겨오면서 큐싱 피해 우려도 커지고 있습니다.
■ 현장에서 확인된 가짜 QR 코드 4가지 유형
1) 주차 위반 딱지에 인쇄된 QR 코드
2024년 8월 한 지자체의 관내 도로변에서 지자체 양식을 흉내 낸 노란색 허위 주차 위반 안내문이 주차된 차량에 대거 붙은 사실이 확인돼 해당 지자체가 주의를 당부했습니다. 안내문에는 ‘과태료 납부’를 내건 QR 코드가 인쇄되어 있었고, 스캔하면 카드번호 입력과 악성 앱 설치로 이어졌습니다.
2) 공유 킥보드·공공자전거의 결제 QR 위 스티커
공유 킥보드에 붙은 정상 QR 코드 위에 큐싱 스티커를 덧붙인 사례가 국내에서 확인됐습니다. 과기정통부와 경찰청은 2024년 10월 6개 부처 합동 주의보를 통해 킥보드와 자전거의 결제용 QR 코드 위에 가짜 스티커를 붙여 소액결제를 유도한 사례를 알렸고, 서울시설공단은 공공자전거 단말기의 QR 코드 훼손과 스티커 덧붙임을 점검하기 위해 전수 순찰에 나섰습니다.
3) 메일에 첨부된 QR 코드
경기남부경찰청에는 저금리 대출 안내 메일에 첨부된 ‘전자금융사기 예방’ QR 코드를 스캔했다가 해킹 앱이 설치되어 통장에서 1,000만 원이 빠져나간 사건이 접수됐습니다. 금융감독원에도 QR 코드로 추가 인증을 하라는 유도에 따랐다가 악성 앱이 설치되어 35만 원이 소액결제된 사례가 접수됐습니다. 정부가 출처가 불분명한 웹사이트나 익명 이메일에 포함된 QR 코드를 스캔하지 말라고 당부하는 이유입니다.
4) 온라인 광고와 안전거래 앱으로 위장한 QR 코드
온라인 광고나 메일 본문에 큐싱 QR 코드를 넣고, 안전거래 등을 위해 필요한 앱이라고 속여 설치를 유도하는 경우도 확인됐습니다.
| 유형 | 사칭 방식 | 확인 포인트 |
|---|---|---|
| 주차 위반 딱지 | 허위 안내문에 ‘과태료 납부’ QR 코드 인쇄 | 현장 스티커로 즉시 결제를 요구하는지, 정식 우편·전자고지인지 |
| 킥보드·공공자전거 | 정상 결제 QR 코드 위에 스티커 덧붙임 | QR 코드가 이중으로 겹쳐 붙어 있지 않은지 |
| 메일·문자 속 QR 코드 | 대출 안내, 추가 인증 유도 등에 QR 코드 첨부 | 출처 불분명한 메일의 QR 코드는 스캔하지 않기 |
| 온라인 광고·안전거래 | 필요한 앱이라고 속여 설치 유도 | 앱 설치를 요구하면 중단하기 |
[표] 현장 QR 코드 사칭 유형별 특징과 확인 포인트
■ 스캔 전 확인 사항 5가지
출처: AI(ChatGPT) 생성 이미지
경찰청이 밝힌 고지 절차와 정부의 예방 수칙을 바탕으로 QR 코드 스캔 전에 확인할 항목을 정리했습니다.
겹쳐 붙은 스티커 확인: 정식 QR 코드 위에 스티커가 덧대어져 있는지 손으로 확인합니다. 킥보드와 공공자전거처럼 결제용 QR 코드에 스티커를 덧붙인 사례가 확인된 곳은 특히 주의해야 합니다.
고지 경로 확인: 경찰청이 밝힌 고지 절차에 따르면 전국 지자체와 경찰은 현장 단속 스티커로 즉시 결제를 요구하지 않고, 과태료와 범칙금은 정식 우편이나 전자고지로만 통지합니다. 딱지에 결제 QR 코드가 있다면 그 자체가 주차 위반 큐싱입니다.
출처 확인: 출처가 불분명한 웹사이트나 익명 이메일에 포함된 QR 코드 스캔은 하지 않습니다. 가짜 QR 코드일 가능성이 있기 때문입니다.
앱 설치·정보 입력 요구 거부: 출처를 알 수 없는 앱은 설치하지 말고, 앱은 문자나 QR 코드로 연결된 주소가 아니라 공인된 오픈마켓을 통해서만 내려받습니다. 신분증 등 개인정보와 금융정보를 요구하면 입력하지 않습니다.
의심되면 큐싱 확인 서비스 이용: 카카오톡에서 보호나라 채널을 친구로 추가하고 ‘큐싱’ 메뉴로 QR 코드를 촬영하면 분석 후 10분 이내에 ‘정상’, ‘주의’, ‘악성’ 중 하나로 답변해 줍니다.
앞으로는 판단이 더 어려워질 수 있습니다. 큐싱 수법이 고도화되고 행정·결제 서비스에서 QR 코드 활용이 확대됨에 따라 정상 QR 코드와 가짜를 구분하기가 점점 어려워지기 때문입니다. 경찰청은 올해 하반기부터 교통 과태료 고지서를 종이 우편 대신 모바일로 발송하고, 고지서의 QR 코드로 위반 영상을 확인할 수 있게 한다고 밝혔습니다. 정식 서비스에도 QR 코드가 쓰이는 만큼, QR 코드가 있는지만 볼 것이 아니라 어떤 경로로 고지를 받았는지와 현장에서 즉시 결제를 요구하는지를 함께 따져야 합니다. 보안업계에서는 행정 통지가 스마트폰으로 들어오고 QR 코드 확인이 일상이 될수록 진짜 고지서와 주차 위반 큐싱 스티커를 직관적으로 가려내기가 더 어려워질 것이라는 우려가 나옵니다.
■ 스캔 후 피해 대응 순서
QR 코드 사기에 속아 악성 앱 설치가 의심되면 정부가 안내하는 아래 순서대로 대응합니다. 빠를수록 피해를 줄일 수 있습니다.
| 상황 | 대응 순서 |
|---|---|
| 악성 앱 설치가 의심될 때 | 즉시 비행기 모드로 통신 차단 → 모바일 백신으로 악성 앱 삭제 |
| 금융정보 유출이 의심될 때 | 거래 금융회사 영업점 방문 또는 콜센터 전화로 본인 계좌 일괄 지급정지 요청 |
| 피해금을 송금했을 때 | 경찰청(112)에 피해 사실 신고, 지급정지 신청 |
| 신고와 상담이 필요할 때 | 국번 없이 118(해킹·바이러스 긴급상담 365일 24시간), 카카오톡 보호나라 채널의 스미싱/큐싱 메뉴, 전자통신금융사기 통합신고대응센터(counterscam112.go.kr) |
[표] 큐싱 피해 상황별 대응 순서
악성 앱은 원격에서 휴대폰을 조종할 수 있기 때문에, 설치가 의심되면 가장 먼저 비행기 모드로 통신부터 차단해야 합니다. 악성 앱을 삭제한 뒤에도 금융정보 유출이 의심된다면 지급정지 요청과 신고를 병행해야 합니다. KISA 118 상담센터는 해킹·바이러스 긴급상담을 365일 24시간 운영하며, 2026년 1월 실시간 채팅과 챗봇 상담을 도입해 상담 채널을 개편했습니다.
■ 큐싱·스미싱 예방 관련 콘텐츠
출처: AI(ChatGPT) 생성 이미지
큐싱은 문자로 오는 스미싱과 함께 개인정보 유출과 금융 피해로 이어지는 대표적인 모바일 사기입니다. 출처를 알 수 없는 QR 코드와 문자 속 링크는 누르기 전에 한 번 더 확인하고, 앱 설치나 개인정보 입력을 요구하면 중단해야 합니다. 이미 스캔했거나 링크를 눌렀다면 악성 앱 설치 여부부터 점검해야 합니다. 스캔 전후에 확인할 항목은 아래 체크리스트로 한 번 더 점검할 수 있습니다.
■ 자주 묻는 질문(FAQ)
Q1. 큐싱이란 무엇인가요?
A. QR코드와 피싱의 합성어로, 악성 앱 설치 주소가 담긴 QR 코드를 촬영하게 해 악성 앱 설치, 개인정보 유출과 금융정보 탈취, 스마트폰 원격 조종, 소액결제를 유도하는 사기 수법입니다.
Q2. 주차 위반 딱지에 QR 코드가 있으면 모두 가짜인가요?
A. 경찰청이 밝힌 고지 절차에 따르면 전국 지자체와 경찰은 현장 단속 스티커로 즉시 결제를 요구하지 않고, 과태료와 범칙금은 정식 우편이나 전자고지로만 통지합니다. 현장 딱지의 QR 코드로 결제를 요구한다면 의심해야 합니다. 다만 경찰청은 올해 하반기부터 모바일 과태료 고지서의 QR 코드로 위반 영상을 확인할 수 있게 한다고 밝혔으므로 받은 경로를 함께 확인해야 합니다.
Q3. 킥보드 QR 코드가 가짜인지 어떻게 알 수 있나요?
A. 정식 QR 코드 위에 스티커가 덧대어져 있는지 손으로 확인합니다. 공유 킥보드와 공공자전거의 결제용 QR 코드 위에 가짜 스티커를 붙여 소액결제를 유도한 사례가 확인된 만큼, 이중으로 겹쳐 붙어 있다면 스캔하지 말아야 합니다.
Q4. QR 코드를 스캔했더니 앱을 설치하라고 합니다. 어떻게 해야 하나요?
A. 설치하지 말고 즉시 중단해야 합니다. 안전거래 등에 필요한 앱이라고 속여 악성 앱 설치를 유도하는 경우가 확인됐고, 정부는 앱을 문자나 QR 코드로 연결된 주소가 아니라 공인된 오픈마켓을 통해서만 설치하라고 당부했습니다.
Q5. 의심되는 QR 코드를 미리 확인할 수 있나요?
A. 카카오톡 보호나라 채널의 ‘큐싱’ 메뉴로 QR 코드를 촬영하면 분석 후 10분 이내에 ‘정상’, ‘주의’, ‘악성’ 중 하나로 답변해 줍니다.
Q6. 이미 악성 앱을 설치했다면 어떻게 하나요?
A. 휴대폰을 즉시 비행기 모드로 바꿔 통신을 차단하고, 모바일 백신으로 악성 앱을 삭제합니다. 금융정보 유출이 의심되면 금융회사에 본인 계좌의 일괄 지급정지를 요청하고, 피해금을 송금했다면 112에 신고합니다. 상담과 신고는 국번 없이 118(해킹·바이러스 긴급상담 365일 24시간), 카카오톡 보호나라 채널의 스미싱/큐싱 메뉴, 전자통신금융사기 통합신고대응센터에서 할 수 있습니다.
[참고자료]
설 명절을 겨냥한 문자사기(스미싱) 등 사이버사기 주의! | 과학기술정보통신부 관계부처 합동 보도자료
QR코드, ‘피싱’ 사이버 사기에 악용…‘큐싱’ 피해 조심하세요 | 정책브리핑(과학기술정보통신부)
설명절 노린 스미싱·피싱, 왜 위험할까? “들뜬 순간 파고든다” | 디지털데일리
주차위반 큐싱 QR 찍자 1000만원 인출…공공 사칭 2년새 71배 | 매일신문
