2026 QR코드 피싱 큐싱, 가짜 스티커 구별부터 스캔 후 신고까지
QR코드를 스캔했다고 해서 곧바로 휴대전화가 해킹되거나 개인정보가 유출된 것은 아닙니다. 중요한 것은 QR코드가 연결한 주소와 이후 어떤 행동을 했는지입니다. 2026년 10월 13일 기준, 의심스러운 QR코드는 한국인터넷진흥원(KISA) 보호나라를 통해 확인하거나 국번 없이 118로 상담할 수 있습니다. 개인정보를 입력
이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.
관련 상품을 불러오고 있습니다…
QR코드를 스캔했다고 해서 곧바로 휴대전화가 해킹되거나 개인정보가 유출된 것은 아닙니다. 중요한 것은 QR코드가 연결한 주소와 이후 어떤 행동을 했는지입니다. 의심스러운 QR코드는 한국인터넷진흥원(KISA) 보호나라를 통해 확인하거나 국번 없이 118로 상담할 수 있습니다. 개인정보를 입력했거나 앱을 설치했다면 추가 조치가 필요합니다.
식품 포장지, 음식점 메뉴판, 주차장 안내문처럼 일상에서 사용하는 QR코드에도 가짜 주소가 숨겨질 수 있습니다. 특히 정상 QR코드 위에 다른 스티커를 붙이는 수법은 겉모습만으로 구별하기 어려워 주의해야 합니다.
큐싱(Qshing)은 QR코드와 피싱(Phishing)을 합친 말로, 위조하거나 조작한 QR코드를 이용해 이용자를 사기 사이트로 유도하는 수법입니다. 악성 앱 설치나 개인정보 입력을 유도하고 금융정보를 탈취하는 데 악용될 수 있습니다.
정상적인 QR코드는 상품 정보, 메뉴, 결제 화면, 안내 페이지 등으로 연결됩니다. 반면 큐싱에 사용된 QR코드는 이용자가 정상 서비스에 접속한다고 믿도록 만든 뒤 다른 사이트로 이동시키는 방식입니다.
가짜 QR코드는 다음과 같은 형태로 나타날 수 있습니다.
원래 인쇄된 QR코드 위에 별도의 스티커를 덧붙인 형태
정품 포장을 모방한 가짜 제품에 허위 QR코드를 인쇄한 형태
정상적인 안내문처럼 보이지만 실제로는 다른 사이트로 연결되는 형태
QR코드가 선명하게 인쇄돼 있거나 주변 안내문이 그럴듯하다고 해서 안전한 것은 아닙니다.
가짜 QR코드를 구별할 때는 스티커가 덧붙어 있는지 먼저 살펴보고, 스캔 후에는 실제 연결 주소를 확인해야 합니다. QR코드의 외형만으로 진위를 확정할 수는 없습니다.
인쇄된 QR코드 위에 다른 종이나 스티커가 겹쳐 있다면 주의할 필요가 있습니다.
특히 기존 안내문과 QR코드의 재질이 다르거나 가장자리가 들떠 있다면 현장 관리자에게 정상 코드인지 확인하는 편이 안전합니다.
다만 스티커 형태라는 이유만으로 모두 가짜라고 단정해서는 안 됩니다. 정식으로 교체한 안내 스티커일 수도 있기 때문입니다.
QR코드를 스캔하면 바로 다음 화면으로 진행하기보다 연결되는 인터넷 주소를 확인하세요.
식품의약품안전처는 푸드QR을 이용할 때 공식 사이트 주소를 확인하도록 안내하고 있습니다.
예를 들어 푸드QR의 공식 주소는 `foodqr.kr`입니다. 비슷하게 생긴 다른 도메인으로 연결된다면 정상 주소인지 별도로 확인해야 합니다.
여기서 주의할 점이 있습니다.
주소에 `https`가 표시되거나 자물쇠 아이콘이 있다고 해서 사이트 운영자까지 신뢰할 수 있다는 뜻은 아닙니다. 피싱 사이트도 암호화 연결을 사용할 수 있습니다.
기관명이나 브랜드명이 주소에 포함돼 있다는 이유만으로 안전하다고 판단해서도 안 됩니다.
정상적인 정보 확인을 위해 스캔했는데 예상하지 못한 앱 설치, 비밀번호 입력, 금융정보 입력을 요구한다면 진행하지 않는 것이 안전합니다.
특히 식품 정보를 확인하려고 스캔했는데 금융계좌나 인증정보를 요구한다면 원래 이용 목적과 맞지 않습니다.
다음과 같은 화면이 나타났다면 먼저 접속을 중단하세요.
출처를 알 수 없는 앱 설치 화면
계정 비밀번호나 인증번호를 입력하라는 화면
카드번호 또는 금융정보 입력 화면
공식 서비스인지 확인되지 않는 로그인 페이지
필요한 정보는 QR코드를 다시 이용하기보다 해당 기관이나 업체의 공식 홈페이지에 직접 접속해 확인하는 것이 좋습니다.
스캔 이후의 대응은 실제로 어떤 행동을 했는지에 따라 달라집니다. 단순히 주소를 열어 본 경우와 개인정보를 제출하거나 앱을 설치한 경우는 같은 상황이 아닙니다.
| 스캔 후 행동 | 먼저 할 일 |
|---|---|
| QR코드만 스캔하고 주소를 확인함 | 연결 주소를 확인하고 의심되면 접속하지 않기 |
| 사이트를 열었지만 정보를 입력하지 않음 | 사이트 이용 중단, 다운로드·앱 설치 여부 확인 |
| 아이디와 비밀번호를 입력함 | 공식 사이트에서 비밀번호 변경, 다른 서비스의 동일 비밀번호도 변경 |
| 카드·계좌·인증정보를 입력함 | 해당 금융회사에 즉시 연락해 피해 예방 조치 문의 |
| 의심스러운 앱을 설치함 | 앱 사용 중단, 추가 권한 부여 중지, 보안 점검 및 118 상담 |
이 구분은 위험을 판단하기 위한 실용적인 기준입니다. 정보를 입력하지 않았더라도 악성 파일이 실행됐거나 취약점이 악용된 경우까지 배제할 수는 없습니다.
의심 사이트를 닫고 추가로 다운로드한 파일이나 설치된 앱이 있는지 확인하세요.
단순 접속만으로 모든 개인정보가 유출됐다고 단정할 수는 없습니다. 다만 알 수 없는 앱이 설치됐거나 휴대전화에 이상 증상이 나타난다면 추가 점검이 필요합니다.
의심 사이트가 아닌 공식 홈페이지나 공식 앱에서 비밀번호를 변경하세요.
다른 서비스에도 같은 비밀번호를 사용하고 있다면 해당 계정들도 변경해야 합니다.
가능하다면 로그인 기록을 확인하고 이중 인증도 설정하는 것이 좋습니다.
카드번호, 계좌정보, 인증정보 등을 제출했다면 해당 은행이나 카드사에 즉시 연락하세요.
이미 금전 피해가 발생했거나 금융사기가 의심된다면 경찰 신고도 함께 진행해야 합니다.
앱을 실행하거나 추가 권한을 허용하지 말고 보안 점검을 진행해야 합니다.
악성 앱이 의심되는 경우에는 118 상담을 통해 상황에 맞는 점검 및 조치 방법을 안내받을 수 있습니다.
비밀번호 변경이나 금융회사 연락이 필요하다면 의심되는 휴대전화 대신 안전한 다른 기기를 이용하는 편이 좋습니다.
의심스러운 QR코드는 카카오톡 보호나라 채널의 큐싱 확인서비스를 이용하거나 국번 없이 118로 상담할 수 있습니다. 실제 금전 피해가 발생했다면 경찰청 112로 신고해야 합니다.
한국인터넷진흥원은 2026년 1월 보안공지에서 보호나라의 큐싱 확인서비스를 공식 확인 경로로 안내했습니다.
이용 방법은 다음과 같습니다.
1. 카카오톡에서 '보호나라' 공식 채널을 검색합니다.
2. 채널 내 '큐싱 확인서비스' 메뉴를 선택합니다.
3. 안내에 따라 의심스러운 QR코드를 제출합니다.
4. 검사 결과를 확인하고 필요한 후속 조치를 진행합니다.
검사 결과가 정상으로 표시되더라도 이미 입력한 개인정보나 설치한 앱의 위험까지 모두 해결됐다는 의미는 아닙니다. 피해가 의심되면 별도로 상담해야 합니다.
118은 사이버보안 상담, 112는 범죄 및 금전 피해 신고에 이용합니다.
118에서는 해킹, 악성코드, 개인정보 침해 등 사이버보안 문제를 상담할 수 있습니다. 해킹·바이러스 긴급상담은 24시간 운영되며, 일반 개인정보 상담 등은 운영시간이 다를 수 있습니다.
112는 큐싱으로 금전 피해가 발생했거나 범죄 신고가 필요한 경우 이용합니다.
신고할 때는 QR코드를 발견한 장소, 스캔한 시각, 연결 주소, 개인정보 입력 여부, 설치한 앱, 피해 내역을 가능한 범위에서 정리해 두면 좋습니다.
증거를 확보하려고 의심스러운 QR코드를 다시 스캔하거나 악성 사이트에 재접속할 필요는 없습니다.
악성 앱 설치가 의심된다면 모바일 보안 점검뿐 아니라 문자메시지, 금융거래, 휴대전화 결제 내역도 확인해야 합니다.
한국인터넷진흥원은 악성 앱을 통한 휴대전화 정보 및 문자메시지 탈취 위험을 안내하고 있습니다.
특히 다음 상황을 구분해야 합니다.
휴대전화 소액결제 피해가 의심되는 경우
통신사 고객센터에서 모바일 결제 내역을 확인하세요. 피해가 발견되면 통신사에 신고하고 필요한 증빙서류와 경찰 신고 절차를 안내받아야 합니다.
금융 인증정보가 노출됐을 가능성이 있는 경우
악성 앱에 감염된 휴대전화로 금융서비스를 이용했다면 공동인증서나 금융거래에 필요한 정보의 폐기·재발급 여부를 금융회사에 확인해야 합니다.
악성 앱이 실제로 설치된 경우
신뢰할 수 있는 모바일 백신으로 점검하고, 악성 앱 삭제가 어렵다면 휴대전화 제조사 서비스센터에서 점검받을 수 있습니다.
앱을 삭제했다고 해서 이미 외부로 전송된 정보까지 회수되는 것은 아닙니다. 따라서 계정과 금융정보 점검을 별도로 진행하는 것이 중요합니다.
식품 포장에 인쇄된 QR코드도 큐싱에 악용될 수 있습니다. 식품의약품안전처는 2026년 7월 13일 푸드QR 이용자를 대상으로 위조 QR코드 주의 안내를 발표했습니다.
푸드QR은 원재료, 영양성분, 회수 정보 등을 확인할 수 있는 서비스입니다.
공식 푸드QR에는 로고 사용이 권장되지만, 포장 면적이나 업체 사정에 따라 로고가 없는 정상 QR코드도 존재합니다.
따라서 로고 유무만으로 진짜와 가짜를 구분하면 안 됩니다.
식품 정보를 확인하는 과정에서 예상하지 못한 로그인, 계좌번호 입력, 별도 보안 앱 설치 화면이 나타나면 진행을 중단하세요.
QR코드가 제공하는 편리함을 포기할 필요는 없습니다. 다만 연결 주소와 요구하는 정보를 확인하는 습관이 필요합니다.
QR코드를 이용할 때는 스캔 전 외관, 스캔 후 주소, 이동한 사이트에서 요구하는 행동을 순서대로 확인하는 것이 좋습니다.
가장 실용적인 예방 방법은 QR코드를 무조건 피하는 것이 아니라, 정상적인 서비스 이용 범위를 벗어나는 요청을 알아차리는 것입니다.
식당 메뉴를 확인하려는데 금융정보를 요구하거나, 제품 정보를 조회하려는데 알 수 없는 앱 설치를 요구한다면 그대로 진행하지 마세요.
또한 기관이나 업체를 사칭한 메시지에 포함된 QR코드는 실제 발신자가 누구인지 확인한 뒤 이용하는 편이 안전합니다.
현관문에 붙은 법원 등기 안내서처럼 공식 기관을 사칭하는 사례가 의심된다면 법원 등기 안내서의 전화번호와 QR코드 진위 확인 방법도 함께 확인할 수 있습니다.
이미 QR코드를 스캔했다면 먼저 자신이 어디까지 진행했는지 확인하세요. 주소만 확인했는지, 로그인 정보를 입력했는지, 앱을 설치했는지에 따라 필요한 조치가 달라집니다.
의심스러운 QR코드를 발견했다면 카카오톡 보호나라의 큐싱 확인서비스를 이용하거나 118에 상담하고, 금전 피해가 발생했다면 즉시 112로 신고하는 것이 중요합니다.
이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.
관련 상품을 불러오고 있습니다…