카페 QR코드, 아무거나 찍지 마세요… 가짜 결제창 구별하는 5가지
카페 메뉴판, 주차요금 안내판, 공유 자전거, 택배 상자까지 QR코드가 붙어 있다. 카메라로 비추면 바로 페이지가 열리니 주소를 직접 입력할 때보다 경계심도 낮아진다.
문제는 겉모양만 보고 목적지를 알 수 없다는 점이다. 정상 코드 위에 다른 스티커를 붙이거나, 문자에 악성 주소를 담아도 검은 사각형으로만 보인다.
KISA는 이를 QR코드와 피싱을 결합한 ‘큐싱(Quishing)’으로 설명한다. 2026년 1월에는 정부기관과 싱크탱크 직원을 사칭해 QR 촬영을 유도하고 악성 앱 설치나 인증정보 탈취를 시도한 정황도 알렸다.
QR을 한 번 비췄다고 무조건 개인정보가 빠져나가는 것은 아니다. 위험은 연결된 페이지를 열고 로그인·결제 정보를 입력하거나, 파일을 내려받아 설치하고 권한까지 허용할 때 커진다. 따라서 QR 무늬를 판별하려 하기보다 부착 상태, 연결 주소, 페이지가 요구하는 행동을 순서대로 보는 편이 현실적이다.
1. 코드보다 스티커의 가장자리를 먼저 본다
공공장소라고 코드까지 진짜라는 보장은 없다. 경찰청과 FTC는 정상 QR 위에 가짜 코드를 덧붙이는 수법을 주의하라고 안내한다.
아래 흔적이 보이면 스캔을 멈춘다.
- 기존 인쇄물 위에 네모난 스티커가 한 겹 더 붙어 있음
- 코드 모서리가 들뜨거나 접착제와 칼자국이 보임
- 같은 안내판의 다른 코드와 크기·재질·인쇄 품질이 다름
- 안내 문구와 동떨어진 위치에 코드만 따로 붙어 있음
매장이 주소를 바꾸며 새 스티커를 붙이기도 한다. 애매하면 직원에게 매장 코드가 맞는지 확인하거나 공식 앱에서 메뉴를 찾는다.
2. 열기 전에 주소 미리보기를 읽는다
스마트폰 카메라는 QR을 인식하면 연결될 주소를 먼저 보여 준다. 알림을 바로 누르지 말고 도메인을 확인한다. FTC는 익숙한 주소처럼 보이더라도 철자가 틀렸거나 문자가 바뀐 유사 주소인지 살펴보라고 권고한다.
브랜드 이름 뒤에 낯선 단어가 붙거나 정상 주소와 철자가 미묘하게 다른 도메인은 의심한다. 단축 주소는 목적지가 가려져 결제·로그인으로 이어질 때 특히 위험하다. https와 자물쇠도 통신 암호화를 뜻할 뿐 운영자의 신원을 보증하지 않는다.
공식 도메인을 모르면 기존에 설치한 공식 앱으로 직접 들어간다. 고객센터도 문자에 적힌 번호가 아니라 카드 뒷면이나 기관 홈페이지에서 다시 찾는다.
3. QR의 장소와 페이지 목적이 맞는지 비교한다
카페 메뉴 QR을 찍었는데 본인 인증, 카드 재등록, 계정 보안 점검부터 요구한다면 목적이 어긋난다. 주차요금 안내라면서 벌금 미납이나 법적 조치를 앞세우고 즉시 결제를 재촉하는 경우도 마찬가지다.
FTC는 배송 재예약·계정 문제·교통 위반을 내세워 즉시 확인이나 납부를 압박하는 QR 사기를 경고했다.
원래 하려던 일보다 더 많은 정보와 행동을 요구하는지 확인한다. 메뉴 열람에 주민등록번호나 카드 전체 정보가 필요할 이유는 없다.
4. 앱 설치와 과도한 권한 요구가 나오면 종료한다
QR을 통해 열린 페이지가 앱 설치 파일을 내려받으라고 하면 일단 닫는다. 특히 브라우저가 외부 출처 앱 설치 허용을 요구하거나, 설치 뒤 문자·사진·연락처·접근성 권한을 연달아 요청한다면 정상 절차로 보기 어렵다.
KISA는 큐싱으로 유도된 악성 앱이 기기명과 IMEI 같은 단말 정보, 문자 메시지와 사진을 탈취할 수 있다고 경고한다. 주소록을 이용해 지인에게 비슷한 스미싱을 보내는 2차 피해도 가능하다. 공식 서비스에 앱이 필요하다면 QR 페이지의 다운로드 버튼보다 운영체제의 공식 앱스토어에서 서비스 이름과 개발자를 다시 확인한다.
이미 설치했다면 네트워크를 끊고 최근 설치 앱과 권한을 확인한다. 판단이 어렵다면 KISA 118에 상담하고, 금융 앱이 영향을 받았을 가능성이 있으면 다른 기기로 관련 기관에 연락한다.
5. 결제 직전에는 가맹점명과 금액을 다시 확인한다
QR이 정상이어도 결제 단계에서 실수할 수 있다. 결제 앱이 최종 승인 화면에 표시하는 가맹점명·수취인·금액이 실제 매장과 맞는지 확인한다. 직원이 알려 준 금액과 다르거나 낯선 개인 이름, 가상자산 지갑 전송 화면이 나오면 승인하지 않는다.
정부기관을 사칭해 QR로 가상자산을 보내라고 요구하기도 한다. FTC는 정부·법 집행기관이 문제 해결을 위해 암호화폐 ATM 송금을 지시하지 않는다고 명시한다. 통화를 못 끊게 하며 결제를 지시한다면 거래부터 중단한다.
결제 후 알아챘다면 금융회사에 즉시 연락하고 거래 화면·QR 장소·문자·주소를 캡처한다. 금전 피해는 112, 악성 QR 확인은 KISA 118 또는 보호나라에 신고한다.
스캔한 뒤 어디까지 했는지에 따라 대응이 달라진다
- 주소 미리보기만 확인함: 페이지를 열지 않았다면 알림을 닫고 코드의 출처를 확인
- 페이지는 열었지만 입력하지 않음: 페이지를 종료하고 다운로드된 파일이 없는지 확인
- 아이디·비밀번호·인증번호 입력: 다른 안전한 기기에서 비밀번호를 바꾸고 로그인 기록과 2단계 인증 수단 점검
- 앱 설치 또는 권한 허용: 네트워크를 끊고 최근 설치 앱·권한 확인, 118 상담 후 필요한 조치 진행
- 결제 또는 송금 완료: 금융회사에 즉시 연락해 정지 가능 여부를 확인하고 112 신고
QR코드는 목적지로 가는 지름길일 뿐 안전 인증서가 아니다. 스캔 전에는 스티커 상태, 접속 전에는 도메인, 승인 전에는 상대가 요구하는 정보와 결제 대상을 확인하면 된다. 스마트폰 앱 권한이 걱정된다면 앱 설치 때 ‘모두 허용’… 지금 확인할 권한 5개도 함께 점검할 수 있다.