QR코드 피싱 공격은 주로 어떤 장소에서 발생하나요?

공유 킥보드, 주차장 정산기, 카페 테이블의 메뉴판, 공공장소의 안내 포스터 등 유동 인구가 많고 관리가 소홀한 장소에서 주로 발생합니다.

피해자가 가짜 QR코드를 스캔하면 어떤 일이 발생하나요?

원래 접속하려던 서비스와 완벽히 일치하는 가짜 웹사이트로 연결되며, 피해자가 의심 없이 입력한 신용카드 번호나 개인정보를 공격자가 가로채 금전적 피해를 입히게 됩니다.

QR코드 교체형 피싱 공격: 오프라인 매체를 이용한 웹사이트 위장 기법

2026년 10월 29일 읽는 시간 약 7분

오프라인 공간을 파고드는 새로운 위협

우리는 일상에서 스마트폰 카메라를 켜고 QR코드를 스캔하는 행동을 자연스럽게 합니다. 식당에서 메뉴를 고를 때, 카페에서 주문을 할 때, 혹은 길거리를 지나치다 포스터를 볼 때 QR코드는 빠질 수 없는 편의 도구가 되었습니다. 주차 정산을 하거나 공공장소에서 안내문을 확인할 때도 마찬가지입니다. 이렇게 너무나 익숙하고 편리해진 탓에 우리는 QR코드가 연결하는 웹사이트 주소를 의심 없이 누르곤 합니다.

하지만 바로 이 점을 파고드는 범죄 수법이 있습니다. 오프라인 매체에 부착된 기존의 QR코드를 가짜 코드로 덧붙이거나 교체하여 사람들을 피싱 사이트로 유도하는 공격입니다. 이를 전문 용어로 퀴싱이라고 부릅니다. 이 공격은 디지털 공간에만 머물던 해킹이 우리가 발을 딛고 서 있는 현실 세계로 확장되었다는 점에서 매우 위험하며, 누구나 무방비하게 당할 수 있는 현대적인 보안 위협입니다.

QR코드 교체형 피싱의 실체와 작동 방식

이 공격의 수법은 놀라울 정도로 단순하지만 효과적입니다. 공격자들은 주로 유동 인구가 많고 관리가 소홀한 장소를 노립니다. 공유 킥보드, 주차장 정산기, 카페 테이블의 메뉴판, 공공장소의 안내 포스터 등이 주요 표적입니다. 이들은 기존에 정상적으로 부착되어 있던 QR코드 위에 정교하게 제작된 가짜 스티커를 덧붙입니다.

피해자가 스마트폰으로 이 코드를 스캔하면, 겉보기에는 원래 접속하려던 서비스와 완벽히 일치하는 가짜 웹사이트로 연결됩니다. 예를 들어 주차 요금을 결제하는 화면이나 공유 킥보드를 대여하는 로그인 페이지가 그대로 재현되어 있습니다. 피해자는 아무런 의심 없이 신용카드 번호나 개인정보를 입력하고, 공격자는 이 정보를 가로채 금전적 피해를 입힙니다.

일상에서 마주치는 주요 유형과 특징

오프라인에서 발생하는 피싱 공격은 우리 주변의 다양한 장소에서 서로 다른 형태로 나타납니다. 각 유형별 특성을 이해하고 있으면 위협을 사전에 감지하는 데 큰 도움이 됩니다.

주차 및 교통 서비스 위장형은 무인 주차장 정산기나 공유 모빌리티 기기에 주로 발생하며 신속한 결제를 유도하여 사용자의 경계심을 낮추는 특징이 있습니다.

상업 시설 안내판 위장형은 식당이나 카페의 테이블, 계산대 주변에 배치된 결제 및 주문용 코드를 바꿔치기하여 결제 정보나 개인정보를 탈취합니다.
공공 서비스 사칭형은 정부 지원금 신청이나 공공시설 이용 안내를 가장하여 신분증 사본이나 금융 정보를 요구하는 웹사이트로 유도합니다.
마케팅 이벤트 사칭형은 길거리나 매장의 경품 행사, 설문조사 참여를 유도하는 포스터를 통해 악성 앱 다운로드나 개인정보 입력을 유도합니다.

흔히 가지는 오해와 진실

많은 사람들이 보안에 대해 가지고 있는 생각과 실제 피싱 공격의 현실 사이에는 몇 가지 중요한 차이가 있습니다. 이를 바로잡는 것이 안전한 디지털 생활의 첫걸음입니다.

스마트폰 카메라는 원래 안전하므로 스캔만으로는 해킹당하지 않는다는 생각은 절반만 맞습니다. 카메라 자체의 취약점을 이용하는 공격은 드물지만, 연결된 웹사이트가 악성 사이트라면 브라우저를 통해 피해를 볼 수 있습니다.

공공장소에 있는 코드는 당연히 안전할 것이라는 믿음은 금물입니다. 관리자가 수시로 확인하더라도 누군가 고의로 덧붙인 스티커는 단 몇 초 만에 설치될 수 있습니다.
아이폰은 안드로이드보다 안전해서 피싱에 걸리지 않는다는 오해도 있습니다. 운영체제와 상관없이 피싱 사이트에 직접 개인정보를 입력하거나 악성 프로파일을 설치하게 유도하는 방식은 모든 기기에서 동일하게 작동합니다.

실생활에서 실천하는 구체적인 예방 지침

오프라인 매체를 이용한 위장 기법은 우리의 주의를 교묘하게 피해 가지만, 몇 가지 간단한 습관만 들여도 피해를 효과적으로 예방할 수 있습니다. 일상에서 바로 적용할 수 있는 실용적인 방법들을 확인해보세요.

스캔 직후에 나타나는 웹사이트 주소를 반드시 확인하는 습관을 들입니다. 원래 브랜드나 서비스의 공식 도메인과 일치하는지 꼼꼼히 살펴봐야 합니다.
물리적으로 부착된 코드의 상태를 확인합니다. 기존 인쇄물 위에 투명 스티커가 덧대어져 있거나 종이 재질이 다른 스티커가 붙어 있다면 의심해봐야 합니다.
결제나 로그인을 요구하는 페이지에서는 특히 주의를 기울입니다. 평소와 다른 간이 결제창이 뜨거나 주소창에 알 수 없는 문자열이 포함되어 있다면 즉시 창을 닫아야 합니다.
가능한 한 공식 앱이나 포털 사이트의 검색 기능을 통해 직접 서비스를 찾아 접속하는 방식을 우선으로 활용합니다.

보안 전문가들이 권장하는 대응 전략

보안 전문가들은 오프라인 환경에서의 위협이 앞으로 더욱 정교해질 것이라고 경고합니다. 특히 인쇄 기술과 스티커 제작 기술이 발전하면서 육안으로는 진짜와 가짜를 구별하기 점점 더 어려워지고 있습니다.

전문가들은 스마트폰의 기본 카메라 앱 대신 보안 기능이 강화된 전용 리더 앱이나 주소 미리보기 기능을 제공하는 스캐너를 사용할 것을 권장합니다. 이러한 앱들은 악성 링크나 단축 URL의 최종 목적지를 미리 경고해 주어 위험한 접속을 사전에 차단해 줍니다. 또한 기업이나 매장 운영자 입장에서도 주기적으로 매장 내 인쇄물의 상태를 점검하고, 고객에게 안전한 공식 경로를 적극적으로 안내하는 책임 있는 운영이 필요하다고 강조합니다.

자주 묻는 질문과 명확한 해답

QR코드 보안과 관련하여 사람들이 자주 궁금해하는 내용들을 모았습니다.

스캔만 했는데 스마트폰이 느려지거나 이상한 앱이 깔렸다면 어떻게 해야 하나요

즉시 인터넷 연결을 차단하고 스마트폰을 비행기 모드로 전환해야 합니다. 그 후 브라우저의 방문 기록과 쿠키를 모두 삭제하고, 의도치 않게 다운로드된 파일이나 설치된 프로파일이 있다면 즉시 삭제해야 합니다. 문제가 지속될 경우 신뢰할 수 있는 백신 앱으로 전체 검사를 진행하는 것이 좋습니다.