퀴싱: QR 코드 사기의 작동 방식과 확인하는 방법

퀴싱은 QR 코드를 이용한 피싱입니다. 사기꾼은 스티커, 택배 또는 메시지에 링크를 넣은 코드를 붙여 두고, 사용자가 스캔해서 가짜 페이지에서 로그인하거나 결제하기를 기다립니다. 스캔은 코드를 읽기만 합니다. 피해는 그다음에 열고, 입력하고, 설치하는 것에서 생깁니다. 그래서 저는 항상 먼저 주소를 확인하겠습니다.

퀴싱이란 무엇인가요?

FBI는 이 수법을 이렇게 설명합니다. “사이버 범죄자들이 디지털과 실물 QR 코드를 모두 조작해 정상 코드를 악성 코드로 바꿔 놓습니다.” 피해자는 “정상 코드라고 생각하고 스캔하지만, 조작된 코드는 피해자를 악성 사이트로 보내고, 그곳에서 로그인 정보와 금융 정보를 입력하라고 요구합니다”(FBI IC3). FBI는 “QR 코드 자체는 본래 악성이 아니다”라고도 덧붙입니다. 중요한 것은 코드가 가리키는 곳입니다.

FTC도 같은 경고를 합니다. 스캔한 코드는 정보를 훔치기 위해 만들어진 가짜 사이트로 보내거나, 악성 소프트웨어를 설치할 수 있습니다(FTC). 같은 방식을 문자 메시지로 쓰는 스미싱은 스미싱이란?에서 다룹니다. 지금 코드를 확인하고 싶다면, 이 사이트의 무료 QR 코드 스캐너가 열기 전에 코드가 어디로 가는지 보여 줍니다.

가짜 QR 코드가 나타나는 곳

• 주차 요금기와 결제기의 스티커. FTC는 사기꾼이 주차 요금기의 실제 QR 코드를 자기 코드로 덮어씌우고, 가짜 코드가 돈이나 개인정보, 또는 둘 다를 노리는 사이트로 이어질 수 있다고 경고합니다(FTC). FBI도 조작의 신호로 “원래 코드 위에 붙인 스티커”를 꼽습니다(FBI IC3).
• 주문하지 않은 택배. FTC는 보낸 사람이 누구인지 또는 반품 방법을 알아보려면 코드를 스캔하라는 메모가 붙은 예상치 못한 택배를 설명합니다. 그 코드는 피싱 사이트나 악성 소프트웨어 다운로드로 이어질 수 있습니다(FTC). FBI는 이것을 “브러싱 사기”의 변형이라 부르며 “출처를 알 수 없는 QR 코드는 스캔하지 마세요”라고 말합니다(FBI IC3).
• 링크 대신 코드가 있는 문자와 이메일. FTC는 사기꾼이 배송 실패, 계정 문제 또는 의심스러운 활동 같은 그럴듯한 이유를 대며 코드를 문자나 이메일로 보낸다고 말합니다(FTC). USPS 가짜 문자에 QR 코드가 쓰인 공식 안내는 찾지 못했으므로, 일반적인 택배 문자는 USPS 사기 문자: 가짜를 알아보는 방법을 참고하세요.
• 결제 실패 이메일. FBI의 예시는 결제가 실패했고 QR 코드를 통해서만 완료할 수 있다는 이메일입니다. FBI의 조언은 이메일 속 번호가 아니라 믿을 수 있는 사이트의 번호로 회사에 전화하라는 것입니다(FBI IC3).

iPhone에서 스캔하면 무엇이 되고 무엇이 되지 않나요

Apple의 안내는 카메라를 열고 사진 모드에서 코드를 향한 다음 “화면 아래쪽에 나타나는 링크를 누르라”는 것입니다(Apple 지원). 즉 카메라는 코드를 읽고 링크를 제안할 뿐이며, 사용자가 누르기 전에는 아무것도 열리지 않습니다. 그 잠깐의 멈춤이 주소를 읽을 기회입니다.

그다음에 무슨 일이 일어나는지는 페이지에 달려 있습니다. FBI는 악성 코드가 로그인 정보와 금융 정보를 요구하는 사이트로 이어지거나 악성 소프트웨어를 심을 수 있다고 말합니다(FBI IC3). 저는 스캔 후에 비밀번호, 카드 번호 또는 앱 설치를 요구하는 페이지는 입증되기 전까지 의심하겠습니다.

열기 전에 QR 코드를 확인하는 방법

1. 먼저 링크를 보세요. FTC는 열기 전에 “URL을 확인하라”고 말하며 철자가 틀렸거나 글자가 뒤바뀌지 않았는지 보라고 합니다(FTC). 가짜 주소는 실제 주소와 거의 같고, 오타나 잘못 놓인 글자만 다를 수 있습니다(FBI IC3).
2. 실제 주소를 보여 주는 스캐너로 확인하세요. QR 코드 스캐너에서는 코드의 사진이나 스크린샷을 올립니다. 이 도구는 브라우저 안에서 이미지를 읽고 업로드하지 않으며, 링크가 실제로 연결되는 사이트를 큰 글씨로 보여 주고, 경고 신호를 표시합니다. 예를 들면 언급한 회사와 다른 사이트, 링크 단축 서비스, 암호화되지 않은 링크, IP 주소만 있는 링크, 통행료, 벌금, 배송에 관한 단어, 파일이나 앱 다운로드, 암호화폐 결제 같은 것입니다. 링크가 안전하다고 말하지 않으며, 코드가 가리키는 것을 열지 않기 때문에 짧은 링크를 따라갈 수도 없습니다. 깨끗한 결과는 코드에서 이상한 점이 보이지 않는다는 뜻일 뿐입니다. Safari가 페이지에 경고를 표시한다면 Safari의 허위 웹사이트 경고 대처 방법도 참고하세요.
3. 실물 코드를 확인하세요. 손가락으로 코드를 쓸어 보세요. 다른 코드 위에 붙인 스티커라면 사용하지 마세요(FBI IC3).
4. 예상하지 못했거나 급한 코드는 건너뛰세요. FTC는 예상하지 못한 메시지의 코드를 피하고, 이미 실제라고 알고 있는 전화번호나 웹사이트로 회사에 연락하라고 말합니다(FTC). 결제라면 FBI는 믿을 수 있는 주소를 직접 입력하라고 제안합니다(FBI IC3).
5. 코드로 앱을 설치하지 마세요. FBI는 “QR 코드에서 앱을 내려받지 마세요. 더 안전하게 내려받으려면 휴대폰의 앱 스토어를 이용하세요”라고 말합니다. 대부분의 휴대폰은 카메라에 스캐너가 들어 있으므로 별도의 QR 스캐너 앱도 내려받지 말라고 조언합니다(FBI IC3).

이미 스캔했다면?

스캔은 코드를 읽기만 하며, 링크를 누르기 전에는 아무것도 열리지 않습니다. 페이지를 열었다면 저는 FTC의 안내에 따라 다음과 같이 하겠습니다.

• 사기꾼에게 연락하지 마세요. 가짜 사이트를 통해서 연락하면 더 많은 돈이나 정보를 요구할 수 있습니다(FTC).
• 비밀번호를 입력했다면, 실제 사이트에서, 그리고 같은 비밀번호를 쓰는 모든 계정에서 바꾸고 이중 인증을 켜세요(FTC).
• 카드 정보나 은행 정보를 입력했거나 결제했다면, 카드와 은행 명세서에서 내가 하지 않은 거래가 있는지 확인하고(FTC), 은행에 알리세요. FBI는 법 집행 기관이 “송금 후 잃어버린 자금의 회수를 보장할 수 없다”고 경고하므로 기다리지 마세요(FBI IC3).
• 무엇인가 설치되었다면, iPhone이 해킹되었는지 확인하는 방법을 보세요.
• 신용을 확인하세요. FTC는 AnnualCreditReport.com에서 무료 신용 보고서를 받고, 신원이 도용되었다면 IdentityTheft.gov에서 복구 계획을 세우라고 제안합니다(FTC).

QR 코드 사기 신고 방법

• ReportFraud.ftc.gov에서 FTC에 신고하세요(FTC).
• ic3.gov에서 FBI 인터넷범죄신고센터에 신고하거나, 가까운 FBI 지부에 알리세요(FBI IC3). 택배라면 보낸 사람의 이름이나 회사, 연락 방법, 관련된 앱이나 권한을 함께 적으세요(FBI IC3).
• 주차 요금기나 결제기의 코드라면, 코드를 제거할 수 있도록 그 기기를 관리하는 곳에도 알리겠습니다. 이 단계에 대한 공식 출처는 찾지 못했으므로 이것은 제 제안입니다.

Mistero가 들어갈 자리

Mistero는 주차 요금기에 가짜 스티커가 붙는 것을 막을 수 없고, 사기 메시지가 사용자에게 도착하는 것도 막을 수 없으며, 돈을 되찾아 줄 수도 없습니다. 링크가 안전하다고 말해 줄 수도 없습니다.

앱 소개 글에 따르면 앱이 하는 일은 “QR 코드를 스캔하고 열기 전에 링크를 검토합니다”, “알려진 피싱 페이지와 악성 도메인 차단을 돕습니다”, “iPhone에서 발신자 확인, 스팸 전화 차단, SMS 필터링을 켤 수 있습니다”입니다(App Store 정보, 2026년 11월 4일 확인). 이것들은 가장 중요한 확인, 즉 누르기 전에 주소를 읽는 일을 둘러싼 추가 점검입니다. 더 알아보려면 Mistero 보안을 보세요.

출처

• FBI IC3, Cybercriminals Tampering with QR Codes to Steal Victim Funds (I-011822-PSA, Jan 18, 2022): https://www.ic3.gov/PSA/2022/PSA220118 (2026년 11월 4일 확인)
• FBI IC3, Unsolicited Packages Containing QR Codes Used to Initiate Fraud Schemes (I-073125-PSA): https://www.ic3.gov/PSA/2025/PSA250731 (2026년 11월 4일 확인)
• FTC, Scammers hide harmful links in QR codes to steal your information (Dec 2023): https://consumer.ftc.gov/consumer-alerts/2023/12/scammers-hide-harmful-links-qr-codes-steal-your-information (2026년 11월 4일 확인)
• FTC, Scam alert: QR code on an unexpected package (Jan 2025): https://consumer.ftc.gov/consumer-alerts/2025/01/scam-alert-qr-code-unexpected-package (2026년 11월 4일 확인)
• FTC, See a QR code parked somewhere? Don’t scan it…yet! (Sep 2026): https://consumer.ftc.gov/consumer-alerts/2026/09/see-qr-code-parked-somewhere-dont-scan-ityet (2026년 11월 4일 확인)
• Apple Support, Scan a QR code with your iPhone camera (iPhone User Guide): https://support.apple.com/guide/iphone/scan-a-qr-code-iphe8bda8762/ios (2026년 11월 4일 확인)
• Mistero VPN, QR code scanner: https://misterovpn.com/qr-code-scanner (2026년 11월 4일 확인)
• App Store, Mistero VPN: Privacy & Proxy: https://apps.apple.com/app/id1583175414 (2026년 11월 4일 확인)