Quishing — QR 코드를 이용한 피싱 공격
QR 코드 스캔은 이제 너무 익숙해진 행동입니다. 음식점 메뉴, 주차 요금 결제, 이벤트 입장권, 업무 자료까지 — 반사적으로 카메라를 들이댑니다. 공격자들은 바로 이 무의식적 행동을 노립니다. QR 코드를 이용한 피싱, 이른바 "Quishing(퀴싱)"은 이메일 보안 필터를 우회하고 사용자가 링크를 클릭하기 전에 확인하는 습관조차 없는 QR 코드를 악용합니다.
Quishing이란 무엇인가
Quishing은 "QR"과 "Phishing(피싱)"의 합성어입니다. 공격자가 악성 URL을 담은 QR 코드를 만들어 피해자를 가짜 웹사이트로 유도하고 로그인 정보, 금융 정보, 개인 정보를 탈취하는 공격입니다.
기존 피싱과 무엇이 다른가
이메일 피싱에서는 "악성 링크를 클릭하지 마세요"라는 교육이 어느 정도 효과가 있습니다. 하지만 QR 코드는 스캔 전에 목적지 URL을 눈으로 확인할 수 없습니다. 또한 보안 소프트웨어가 이메일 내 URL은 검사하지만 이미지 속 QR 코드는 분석하지 못하는 경우가 많습니다.
실제 Quishing 공격 유형
1. 이메일 속 악성 QR 코드
공격자가 공식 기관(국세청, 은행, 배달 서비스, 공공기관)으로 위장한 이메일을 보냅니다. "개인정보 확인이 필요합니다", "미수령 택배가 있습니다", "보안 인증을 완료하세요" 같은 문구와 함께 QR 코드 이미지를 첨부합니다.
스캔하면 실제 기관과 거의 동일하게 만들어진 가짜 페이지로 이동합니다. 로그인 정보, 계좌번호, 주민등록번호를 입력하면 공격자에게 전달됩니다.
2. 물리적 QR 코드 교체
실제 발생한 사례: 주차 미터기, 자전거 대여 스테이션, 식당 테이블, 버스 정류장에 부착된 정품 QR 코드 위에 악성 QR 스티커를 덮어붙입니다. 피해자는 공식 결제 또는 정보 페이지로 이동한다고 생각하지만 실제로는 가짜 결제 페이지에서 카드 정보를 입력합니다.
3. 이벤트·경품 미끼 QR
"스캔하면 10만 원 상품권 증정" 같은 문구와 함께 QR 코드를 배포합니다. 스캔하면 개인정보 입력 폼이 나타나거나, 악성 앱 다운로드를 유도합니다.
4. 공공장소 가짜 Wi-Fi QR
무료 Wi-Fi 접속용 QR 코드처럼 보이지만 실제로는 공격자가 운영하는 네트워크에 연결시켜 트래픽을 가로챕니다(중간자 공격, MITM).
5. 업무 이메일 속 QR 코드
직원을 대상으로 "IT 보안 업데이트 필요", "MFA 재인증 필요" 같은 업무 관련 메일과 함께 QR을 보냅니다. 스캔하면 회사 계정 로그인 페이지로 위장한 가짜 페이지가 열립니다.
악성 QR 코드 식별 방법
스캔 전 확인 사항
1. QR 코드의 물리적 상태를 확인합니다 기존 QR 위에 스티커가 덮여있지 않은지 살펴봅니다. 가장자리가 들떠 있거나 원래 패널과 소재가 달라 보이면 의심합니다.
2. 출처를 확인합니다 이메일, 소셜 미디어, 문자로 받은 QR 코드는 특히 주의합니다. 공공기관, 은행은 이메일에 QR 코드를 삽입해 인증을 요청하지 않습니다.
3. 문맥을 파악합니다 "지금 스캔하지 않으면 계정이 삭제됩니다"처럼 긴박감을 조성하는 문구는 피싱의 전형적인 신호입니다.
스캔 후 확인 사항
4. URL을 확인합니다 스마트폰 카메라가 QR을 인식하면 링크 미리보기가 표시됩니다. 실제 사이트를 열기 전에 URL을 확인합니다:
- 공식 도메인인가? (예:
kookminbank.comvs.kookminbank-secure.com) - HTTPS인가?
- 오타나 이상한 문자가 없는가? (예:
rnicrosoft.com= rn이 m으로 보이는 트릭)
5. 개인정보 입력 전 멈춥니다 QR 스캔 후 로그인 정보, 카드 번호, 주민등록번호를 요구하는 페이지가 나타나면 즉시 멈춥니다. 입력하기 전에 URL을 다시 확인합니다.
6. 앱 다운로드 요청을 거부합니다 QR 스캔 후 출처를 알 수 없는 APK 파일 다운로드나 앱 스토어 외부에서의 앱 설치를 요청하면 악성 앱일 가능성이 높습니다.
안전한 QR 코드 스캔을 위한 보안 팁
개인 사용자를 위한 팁
QR 스캔 앱의 URL 미리보기 기능 활용 기본 카메라 앱은 URL을 미리 보여줍니다. 스캔 후 표시되는 URL을 열기 전에 확인하는 습관을 만드세요.
의심스러운 QR은 스캔하지 않기 이메일로 온 QR, 공공장소에 임의로 붙여진 QR, 문자로 온 QR은 특별히 주의합니다.
중요 서비스는 직접 접속 은행, 공공기관 서비스는 QR로 접속하지 말고 공식 앱이나 직접 URL을 타이핑해 접속합니다.
QR 스캔 전용 보안 앱 사용 카스퍼스키, 시만텍, 트렌드마이크로 등 보안 회사의 QR 스캔 앱은 악성 URL 데이터베이스와 대조합니다.
소프트웨어 업데이트 유지 최신 iOS/Android 업데이트에는 피싱 사이트 감지 기능이 포함되어 있습니다.
기업과 조직을 위한 팁
직원 교육 "공식 이메일에 QR 코드로 인증을 요청하지 않는다"는 정책을 명확히 하고 정기적으로 교육합니다.
내부 QR 코드에 위변조 방지 조치 공식 QR 코드를 담은 패널에 위변조 방지 홀로그램이나 회사 로고를 함께 인쇄합니다. 덮어붙이기가 더 어려워집니다.
이메일 보안 솔루션 업그레이드 QR 코드 이미지를 분석해 악성 URL을 감지하는 이메일 보안 솔루션을 도입합니다.
피싱 모의 훈련 QR 코드를 이용한 모의 피싱 훈련으로 직원들의 인식을 높입니다.
Quishing 피해를 입었을 때 대처 방법
개인정보 또는 계좌정보를 입력한 경우
- 즉시 해당 서비스의 공식 앱 또는 고객센터에 연락합니다.
- 비밀번호를 즉시 변경합니다.
- 카드나 계좌를 이용해 카드사/은행에 분실 신고를 합니다.
- 이중 인증(2FA)이 설정되어 있지 않다면 지금 즉시 설정합니다.
- 금융감독원 피해 신고 (국번없이 1332), 경찰청 사이버범죄신고시스템(ECRM)에 신고합니다.
악성 앱을 설치한 경우
- 즉시 기기를 비행기 모드로 전환합니다.
- 해당 앱을 삭제합니다.
- 보안 앱으로 기기 전체를 검사합니다.
- 기기에 저장된 금융 앱의 비밀번호를 변경합니다.
- 필요시 기기를 초기화합니다.
QR 코드는 도구다 — 문제는 사용 방법
QR 코드 기술 자체는 안전합니다. Quishing은 QR 코드의 기술적 취약점이 아니라, 사람의 신뢰를 악용하는 사회공학적 공격입니다. 스캔 전 URL을 확인하고, 개인정보 입력 전 멈추는 습관만으로도 대부분의 Quishing 공격을 막을 수 있습니다.
신뢰할 수 있는 QR 코드를 만들 때는 출처가 명확하고 추적 없는 도구를 사용하세요. QRcito.com은 데이터를 수집하지 않고, 서버에 저장하지 않으며, 완전히 브라우저 내에서 실행됩니다. 여러분이 생성하는 QR 코드의 내용은 오직 여러분만 알 수 있습니다.
자주 묻는 질문
QR 코드를 스캔만 해도 악성 코드가 실행되나요? 스캔 자체로는 실행되지 않습니다. QR 코드는 URL을 인코딩할 뿐이고, 브라우저가 해당 페이지를 열 때 위험이 발생합니다. 다만, 일부 취약점이 있는 브라우저에서는 페이지 로드만으로도 악성 코드가 실행될 수 있으므로 브라우저를 항상 최신 상태로 유지하세요.
공공장소의 QR 코드는 모두 위험한가요? 아닙니다. 공식 기관이나 신뢰할 수 있는 브랜드의 QR 코드는 안전합니다. 다만, 스티커가 덮여 있거나 비공식적으로 부착된 QR은 주의가 필요합니다.
이메일로 받은 QR 코드는 절대 스캔하면 안 되나요? 절대적인 규칙은 아닙니다. 출처가 명확하고 기대하던 내용이라면 스캔해도 됩니다. 하지만 갑자기 오거나 긴박감을 조성하는 이메일의 QR은 스캔 전에 발신자를 직접 확인하세요.
안전한 QR 코드를 만드세요. QRcito.com은 수집하지 않고, 저장하지 않으며, 추적하지 않습니다. 지금 무료로 시작하세요.