QR코드를 스캔하기 전에 QR 피싱 여부 확인하는 방법

2026년 11월 9일 읽는 시간 약 10분

음식점 메뉴, 주차요금 결제, 택배 안내, 거래소 로그인까지 QR코드를 사용하는 일이 많아졌습니다. 카메라로 비추기만 하면 필요한 화면으로 이동할 수 있어 편리하지만, 가짜 사이트나 악성앱 설치 페이지로 연결되는 QR코드도 있습니다.

이처럼 QR코드를 악용하는 피싱을 **‘큐싱’**이라고 합니다. 중요한 점은 QR코드의 무늬만 보고 정상인지 악성인지 구별할 수 없다는 것입니다. 스캔 전에는 출처와 부착 상태를 확인하고, 스캔 후에는 링크를 열거나 인증을 승인하기 전에 목적지와 요청 내용을 확인해야 합니다.

1. QR코드가 어디에서 왔는지 먼저 확인하기

QR코드를 발견했다면 바로 카메라를 켜기보다 누가 제공했는지부터 확인하세요.

QR코드를 받은 상황	먼저 확인할 내용
음식점 메뉴판	해당 매장에서 제공한 코드인지
주차장 요금 안내판	실제 주차장 운영사의 결제 방식인지
문자·이메일 첨부 이미지	내가 요청한 업무와 관련된 것인지
택배 안에 들어 있는 안내문	판매자나 발송인이 확인되는지
이벤트·무료 상품 안내	공식 홈페이지에도 같은 행사가 있는지
금융·거래소 로그인 화면	공식 사이트에서 내가 직접 시작한 로그인인지

기관 로고나 회사 이름이 인쇄돼 있다고 안전이 보장되지는 않습니다. 로고와 안내 문구도 복제할 수 있기 때문입니다.

KISA는 정부기관이나 전문가를 사칭해 QR코드 촬영을 유도하고, 가짜 로그인 페이지나 악성앱으로 연결하는 사례를 안내합니다. 출처가 불분명한 이메일과 메시지의 QR코드는 촬영하지 않도록 권고합니다.

공식 출처: KISA 큐싱 공격 주의 안내
https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000133&menuNo=205021&nttId=71936

2. 공공장소에서는 덧붙인 스티커가 없는지 살펴보기

주차장, 공유자전거, 무인매장처럼 누구나 접근할 수 있는 곳에서는 정상 QR코드 위에 다른 스티커를 붙이는 방식에 주의해야 합니다.

스캔 전에는 다음을 살펴보세요.

QR코드 부분만 다른 종이나 스티커로 덮여 있는지
스티커 가장자리가 들떠 있거나 원래 인쇄가 비치는지
주변 안내판과 로고·글꼴·색상이 다르게 보이는지
여러 안내판에 표시된 운영사나 결제 안내가 서로 다른지

스티커가 있다고 모두 가짜인 것은 아닙니다. 운영사가 정상적으로 안내를 교체했을 수도 있습니다. 다만 덧붙인 흔적이 의심스럽다면 직원이나 관리사무소에 확인하고, 키오스크나 공식 앱 등 다른 방법을 이용하세요.

정부의 큐싱 예방 안내에서도 공식 QR코드 위에 가짜 코드를 덧붙이는 수법을 설명하며, 공공장소의 QR코드를 신중하게 확인하도록 권고합니다.

공식 출처: 대한민국 정책브리핑 큐싱 예방 안내
https://www.korea.kr/news/policyNewsView.do?newsId=148926659

3. ‘스캔’과 ‘링크 열기’를 구분하기

일반적인 카메라 QR 인식은 코드를 읽고 연결 주소나 실행할 동작을 표시하는 단계입니다. 화면에 나타난 링크를 누르거나 결제·로그인을 승인하는 것은 그다음 단계입니다.

다만 스캐너 앱에 따라 자동으로 사이트를 열거나 동작을 실행할 수 있으므로, 모든 앱이 같은 방식으로 작동한다고 생각해서는 안 됩니다.

다음 순서로 확인하세요.

출처가 확인된 QR코드만 기본 카메라 등으로 인식합니다.
화면에 나타나는 주소나 동작을 읽습니다.
예상한 사이트나 기능인지 확인합니다.
불분명하다면 링크를 누르지 않고 종료합니다.

주소 확인을 위해 출처를 모르는 QR 스캐너 앱을 새로 설치할 필요는 없습니다. FBI도 대부분의 스마트폰에 기본 스캔 기능이 있으므로 별도 스캐너 앱 설치에 주의하도록 안내합니다.

공식 출처: FBI QR코드 변조 피해 예방 안내
https://www.ic3.gov/PSA/2022/PSA220118

4. 연결 주소는 기관 이름보다 실제 도메인 확인하기

스캔 결과에 익숙한 회사 이름이 보여도 실제 접속 주소가 다른 경우가 있습니다.

아래는 주소 구조를 설명하기 위한 가상 예시입니다. .example은 설명용 도메인입니다.

표시 주소 예시	확인할 점
`parking.example`	해당 주차장의 공식 결제 주소인지 별도 확인 필요
`parking.example.pay-check.example`	실제로는 `pay-check.example` 아래의 주소
`pay-check.example/parking`	‘parking’은 도메인이 아닌 경로에 포함됨

짧은 주소나 중간 연결 주소는 정상 서비스에서도 사용됩니다. 따라서 주소가 짧거나 낯설다는 이유만으로 사기라고 단정할 수는 없습니다. 하지만 최종 목적지가 확인되지 않는다면 결제정보를 입력하기 전에 운영사에 확인해야 합니다.

HTTPS나 자물쇠 표시도 공식 운영사를 보증하지 않습니다. 해당 사이트와의 연결이 암호화된다는 의미이므로, 주소의 일치 여부를 함께 확인하세요.

5. QR코드의 목적과 요구하는 정보가 맞는지 확인하기

QR코드를 정상적으로 인식했더라도 이후 화면에서 요구하는 행동이 부적절하면 멈춰야 합니다.

원래 이용 목적	중단하고 확인해야 할 요구
음식점 메뉴 보기	카드 비밀번호·신분증 사진 제출
주차요금 결제	원격제어 앱 설치
택배 배송 조회	은행 비밀번호·OTP 전달
이벤트 내용 확인	개인지갑 복구 문구 입력
계정 로그인	예상하지 못한 출금·송금 승인
제품 정보 조회	보안 기능 해제 후 설치파일 실행

정상적인 결제나 로그인 과정에서도 필요한 정보 입력과 인증이 있을 수 있습니다. 판단 기준은 내가 시작한 업무에 필요한 요청인지, 확인된 공식 서비스에서 진행되는지입니다.

예를 들어 주차요금을 결제한다면 최종 승인 화면에서 가맹점명과 금액을 확인하세요. 모르는 개인에게 송금하도록 바뀌거나 예상과 다른 금액이 표시되면 결제하지 말고 운영사에 문의합니다.

6. 로그인 QR코드는 내가 직접 요청한 것만 승인하기

QR코드가 항상 웹사이트 주소만 담고 있는 것은 아닙니다. 계정 로그인이나 기기 연결을 승인하는 데 사용되기도 합니다.

따라서 “비밀번호를 입력하지 않았으니 안전하다”는 생각은 위험합니다. QR 인증만으로 다른 기기의 로그인이 승인될 수 있기 때문입니다.

로그인 QR코드는 다음 조건을 확인하세요.

공식 홈페이지나 앱에서 직접 로그인을 시작했는가?
내가 사용하는 기기에 표시된 QR코드인가?
인증 앱에 표시되는 서비스와 요청 내용이 맞는가?
로그인과 관계없는 출금·보안 설정 변경 승인이 아닌가?

업비트는 본인이 직접 요청해 생성한 QR코드가 아니면 스캔하지 말고, 요청하지 않은 2채널 인증도 승인하지 않도록 안내합니다. 의도하지 않은 QR 인증을 했다면 모든 기기 로그아웃과 계정 잠금 등의 조치가 필요합니다.

공식 출처: 업비트 QR 피싱 관련 보안 안내
https://support.upbit.com/hc/ko/articles/30139364405017

7. 의심되는 QR코드는 보호나라 확인서비스 이용하기

직접 판단하기 어렵다면 KISA 보호나라의 큐싱 확인서비스를 이용할 수 있습니다.

카카오톡에서 KISA ‘보호나라’ 공식 채널을 찾습니다.
채널의 큐싱 확인 메뉴를 선택합니다.
서비스 안내에 따라 의심 QR코드를 스캔하거나 제출합니다.
분석 결과와 안내 내용을 확인합니다.

여기서 스캔은 공식 확인서비스에 분석을 요청하기 위한 절차입니다. 일반 브라우저로 QR코드의 목적지에 직접 접속해 확인하는 것과 구분해야 합니다.

KISA는 보호나라 채널의 스미싱·큐싱 메뉴와 국번 없이 118을 상담·신고 경로로 안내합니다. 0404.go.kr

검사 결과가 안전하게 표시되더라도 모든 신종 사기를 완벽하게 걸러내는 것은 아닙니다. 결제나 계정 인증은 요청 내용까지 다시 확인하세요.

공식 출처: KISA 스미싱·큐싱 대응 및 상담 안내
https://www.kisa.kr/1020601

8. 이미 QR코드를 스캔했다면 행동에 따라 대응하기

QR코드를 인식했다는 사실만으로 감염이나 피해가 확정되지는 않습니다. 이후 링크를 열었는지, 정보를 입력했는지, 인증을 승인했는지가 중요합니다.

진행한 행동	우선 대응
코드만 인식하고 링크를 열지 않음	추가 동작을 하지 않고 종료
웹페이지를 열었음	페이지를 닫고 다운로드·권한 허용 여부 확인
비밀번호를 입력함	신뢰할 수 있는 기기에서 비밀번호 변경 및 로그인 세션 확인
카드정보를 입력하거나 결제함	카드사에 즉시 연락해 노출·피해 사실 알리기
로그인 QR 인증을 승인함	해당 서비스의 기기 로그아웃·계정 잠금 기능 이용
앱을 설치하거나 원격제어를 허용함	해당 기기에서 금융거래를 중단하고 다른 전화기로 상담