큐싱은 QR코드 위에 가짜를 덧붙여 다른 곳으로 보내는 수법입니다.
주차장을 나서려는데 정산기 옆에 안내문이 붙어 있습니다. "간편 결제는 QR로." 뒤차가 기다리고 있어 마음이 급합니다. 폰을 들어 찍고, 열린 화면에서 카드 정보를 넣습니다. 몇 초 걸리지 않았습니다.
여기까지는 아주 평범한 하루입니다. 문제는 그 QR을 주차장 업체가 붙인 게 아닐 수도 있다는 데 있습니다. 오늘은 이 장면을 처음부터 되감아 가며, 무엇이 어떻게 어긋나는지 따라가 보겠습니다.
그 스티커는 누가 붙였을까
큐싱(Qshing)은 QR코드와 피싱을 합친 말입니다. 정상 QR코드 위에 가짜 QR 스티커를 덧붙여 엉뚱한 곳으로 보내는 수법이죠. 문자로 낚는 스미싱의 QR 버전이라고 보면 이해가 빠릅니다.
수법이 단순한 만큼 준비물도 단순합니다. 스티커 한 장과, 붙일 자리 하나. 정산기·키오스크·공유 킥보드·자전거 거치대처럼 사람이 급하게 찍고 지나가는 자리가 표적이 됩니다. 해외에서는 가짜 주차위반 딱지에 QR을 넣어 뿌린 사례도 보고됐습니다.
되감아 보면 앞의 장면에서 어긋난 지점은 딱 하나였습니다. 화면에 뜬 주소를 확인하지 않고 넘어간 것. 그 3초가 전부입니다.
QR이 문자보다 위험한 이유
이상한 문자를 받으면 우리는 대개 링크 주소를 훑어봅니다. 낯선 주소면 손이 멈추죠. 그런데 QR에는 그 방어선이 없습니다.
QR코드는 사람이 읽을 수 없습니다. 검고 흰 네모 안에 무슨 주소가 들었는지 눈으로는 알 길이 없죠. 스미싱 문자에서는 최소한 의심할 재료가 화면에 보이지만, QR은 찍기 전까지 아무 정보도 주지 않습니다.
여기에 두 가지가 겹칩니다. 하나는 QR은 안전하다는 인상입니다. 식당 메뉴판, 백신 접종 증명, 간편 결제까지 공공기관과 대기업이 오래 써 온 방식이라 경계심이 낮습니다. 다른 하나는 찍는 순간의 조급함입니다. 주차장 출구, 계산대 앞, 킥보드 앞에서 우리는 대체로 서두르고 있습니다.
정리하면 큐싱은 기술적으로 정교해서 위험한 게 아닙니다. 확인할 수 없는 매체 + 안전하다는 인상 + 급한 상황이 겹치는 자리를 노리는 것뿐입니다.
찍고 나면 무엇을 요구하나
가짜 QR이 열어 주는 화면은 대체로 셋 중 하나입니다.
첫째, 앱을 깔라고 합니다. "전용 앱에서 결제하세요", "설치 후 조회 가능합니다" 같은 안내와 함께 설치 파일을 내려받게 합니다. 이렇게 깔린 악성 앱은 문자와 연락처를 읽거나 화면을 들여다볼 수 있어 피해가 가장 큽니다.
둘째, 로그인하라고 합니다. 진짜와 거의 똑같이 생긴 가짜 화면에서 아이디와 비밀번호를 입력받습니다. 계정을 그대로 넘겨주는 셈이죠. 이 대목에서 2단계 인증이 걸려 있으면 비밀번호가 넘어가도 한 겹이 더 남습니다.
셋째, 결제 정보를 넣으라고 합니다. 주차 요금, 배송비, 과태료처럼 금액이 작은 명목을 씁니다. 소액이면 덜 의심하고 넘어가기 때문입니다.
세 갈래가 달라 보이지만 요구하는 것은 같습니다. 지금 이 자리에서, 확인 없이, 무언가를 넘기라는 것입니다.
요즘 어디에 붙나
보고된 자리에는 공통점이 있습니다. 주인이 자리를 지키지 않는 곳입니다. 카페 카운터의 QR은 직원이 늘 보고 있어 스티커를 덧붙이기 어렵지만, 아래 같은 곳은 그렇지 않습니다.
- 공유 킥보드·자전거: 거치대에 세워 둔 채 아무도 지켜보지 않고, 이용자는 대개 급합니다.
- 무인 정산기·키오스크: 주차장 출구나 무인 매장처럼 사람이 없는 자리입니다.
- 길에 붙은 안내문·전단: 원본이 무엇이었는지 확인할 방법이 없습니다.
- 가짜 과태료·주차위반 딱지: 해외에서 실제로 뿌려진 사례가 있습니다. 놀란 마음에 급히 찍게 만드는 것이 노림수입니다.
반대로 종이 청구서, 공식 앱 안의 QR, 매장 직원이 직접 보여 주는 화면 속 QR은 상대적으로 안전합니다. 덧붙일 수 있는 물리적 표면이 없기 때문입니다. 이 기준 하나로도 위험한 QR과 덜 위험한 QR이 꽤 갈립니다.
스미싱과는 뭐가 다른가
스미싱을 알고 계시다면 큐싱은 그 사촌쯤으로 이해하면 됩니다. 다만 실무적으로 갈리는 지점이 있습니다.
| 항목 | 스미싱(문자) | 큐싱(QR) |
|---|---|---|
| 전달 경로 | 문자·메신저로 옴 | 내가 직접 찍으러 감 |
| 링크 확인 | 주소가 화면에 보임 | 찍기 전엔 안 보임 |
| 흔적 | 발신번호가 남음 | 스티커 외엔 단서 없음 |
| 차단 | 스팸 차단으로 일부 걸러짐 | 사전 차단이 어려움 |
가장 큰 차이는 내가 먼저 다가간다는 점입니다. 스미싱은 모르는 번호에서 오니 경계심이 켜지지만, 큐싱은 내가 필요해서 찍는 것이라 의심 자체가 잘 생기지 않습니다. 그래서 문자 차단 같은 자동 방어가 통하지 않고, 찍는 순간의 습관에 기댈 수밖에 없습니다.
찍기 전 3초, 이것만 보세요
방어법은 의외로 아날로그에 가깝습니다.
셋 중 하나라도 걸리면 찍지 않는 것이 가장 확실합니다.
하나, 손으로 만져 봅니다. 큐싱은 물리적으로 덧붙이는 수법이라 흔적이 남습니다. 모서리가 들뜨거나, 스티커가 겹쳐 있거나, 인쇄물 위에 유독 그 부분만 재질이 다르면 그 자리에서 중단합니다.
둘, 열리기 전 주소를 봅니다. 요즘 폰 카메라는 QR을 인식하면 주소를 먼저 띄웁니다. 그 주소가 그 기관의 도메인이 맞는지 봅니다. 낯선 단어가 섞였거나 주소가 짧게 줄여져 어디로 가는지 모르겠다면 열지 않습니다.
셋, 요구를 봅니다. 열린 화면이 앱 설치를 권하거나 로그인·결제 정보를 요구하면 거기서 끝냅니다. 정상적인 안내 페이지는 보통 정보를 보여줄 뿐 무언가를 받아 가려 하지 않습니다.
가장 확실한 방법은 따로 있습니다. QR을 건너뛰고 공식 앱이나 검색으로 직접 들어가는 것입니다. 주차 요금이든 과태료든, 해당 기관 앱에서 조회하면 스티커를 믿을 필요가 없어집니다. 저는 이 습관 하나가 위의 세 가지 점검보다 실효가 크다고 봅니다. 급한 순간에 판단하는 대신, 판단할 일 자체를 없애기 때문입니다.
이미 찍었다면 순서대로
찍었다고 다 피해가 나는 것은 아닙니다. 화면만 열고 아무것도 입력하지 않았다면 대개는 그것으로 끝납니다. 다만 무언가를 넘겼다면 순서가 중요합니다.
- 인터넷을 끊습니다. 앱을 설치했다면 비행기 모드로 바꿔 통신을 차단하고, 설치된 앱을 지웁니다.
- 비밀번호를 바꿉니다. 입력한 계정은 물론, 같은 비밀번호를 쓰던 다른 서비스까지 함께 바꿉니다. 이 상황이 비밀번호 관리자가 필요한 대표적인 이유입니다.
- 결제를 막습니다. 카드 정보를 넣었다면 카드사에 연락해 정지·재발급을 요청합니다.
- 신고합니다. 한국인터넷진흥원 상담센터(국번 없이 118)에 문의하고, 금전 피해가 있으면 경찰(112)과 해당 금융회사에 지급정지를 요청합니다.
순서를 이렇게 잡는 이유는 번지는 것을 먼저 막고, 그다음 되돌리기 위해서입니다. 신고부터 하려다 그사이 악성 앱이 계속 도는 경우가 적지 않습니다.
한 장 정리
| 질문 | 답 |
|---|---|
| 큐싱이란 | QR코드 위에 가짜를 덧붙여 다른 곳으로 보내는 수법 |
| 왜 위험한가 | 주소를 눈으로 확인할 수 없고, 급한 자리에 붙음 |
| 무엇을 노리나 | 악성 앱 설치, 가짜 로그인, 결제 정보 |
| 찍기 전 점검 | 스티커 상태 · 열기 전 주소 · 설치·로그인 요구 |
| 가장 확실한 법 | QR 대신 공식 앱·검색으로 직접 접속 |
| 당했다면 | 통신 차단 → 비밀번호 변경 → 카드 정지 → 118 신고 |
이것만 기억하면 됩니다. 큐싱은 정교한 해킹이 아니라 스티커 한 장으로 이뤄집니다. 그래서 방어도 거창하지 않습니다. 붙어 있는 QR을 한 번 만져 보고, 열리기 전 주소를 보고, 급하면 아예 공식 앱으로 돌아가는 것. 이 세 가지면 대부분 피해 갑니다.
기준 시점: 2026년 8월. 사기 수법과 신고 절차는 계속 바뀌므로, 실제 피해가 의심되면 아래 공식 창구의 최신 안내를 확인하시기 바랍니다.
참고 자료
큐싱의 수법과 대응 절차는 아래 공개 자료를 참고했습니다.
이 글은 위 자료를 바탕으로 직접 작성한 해설이며, 특정 기사·이미지를 복제하지 않았습니다.