※ 본 대표이미지는 QR코드 사기 위험을 설명하기 위해 AI로 제작한 예시 이미지이며, 실제 사기 현장이나 결제 화면이 아닙니다.
식당에서 주문할 때, 주차요금을 결제할 때, 행사에 참여할 때 QR코드를 사용하는 일이 많아졌습니다.
휴대폰 카메라로 QR코드를 비추면 인터넷 주소가 나타나고, 화면을 누르면 바로 연결됩니다.
그런데 QR코드가 붙어 있다고 해서 모두 안전한 것은 아닙니다.
정상적인 QR코드 위에 가짜 스티커를 붙이거나, 결제 사이트와 비슷한 화면으로 연결해 카드번호와 비밀번호를 입력하도록 유도하는 사기 수법이 있기 때문입니다.
이러한 QR코드 사기를 ‘큐싱(Quishing)’이라고 합니다.
결론부터 말하면 QR코드를 카메라로 인식했다고 해서 무조건 개인정보가 유출되는 것은 아닙니다. 하지만 연결된 가짜 사이트에 정보를 입력하거나 악성 앱을 설치하면 피해가 발생할 수 있습니다.
따라서 QR코드를 찍었는지보다 어떤 주소로 이동했고, 그곳에서 무엇을 했는지가 중요합니다.
QR코드 사기란? 큐싱은 어떻게 작동할까?
※ 본 이미지는 QR코드 사기 수법을 설명하기 위해 AI로 제작한 예시이며, 실제 결제 화면이 아닙니다.
큐싱은 QR코드와 개인정보를 속여 빼내는 피싱(Phishing)을 합친 말입니다.
QR코드 자체는 인터넷 주소나 정보를 담는 수단입니다. 문제는 그 안에 들어 있는 주소가 정상 사이트가 아닐 수 있다는 점입니다.
예를 들어 주차장에 붙어 있는 QR코드를 찍었다고 가정하겠습니다.
정상적인 경우라면 해당 주차장의 공식 결제 페이지로 연결됩니다.
하지만 범죄자가 QR코드 위에 가짜 스티커를 붙였다면 전혀 다른 사이트로 이동할 수 있습니다.
그 사이트가 실제 결제 화면과 비슷하게 만들어져 있다면 이용자는 의심하지 않고 카드정보를 입력할 수 있습니다.
한국인터넷진흥원은 QR코드를 악용해 가짜 사이트 접속이나 악성 앱 설치를 유도하는 큐싱 공격에 주의하도록 안내하고 있습니다. 2026년 9월에도 보호나라 챗봇을 통해 스미싱·큐싱 여부를 실시간으로 확인할 수 있다고 밝혔습니다.
즉, 큐싱은 단순히 오래된 사기 수법이 아니라 현재도 주의가 필요한 보안 위협입니다.
QR코드만 찍었는데 휴대폰이 해킹될까?
QR코드를 인식했다는 사실만으로 곧바로 해킹됐다고 단정할 수는 없습니다.
위험은 이용자가 어떤 행동을 했는지에 따라 달라집니다.
| 이용자가 한 행동 | 위험과 대응 |
|---|---|
| 카메라로 QR코드만 인식 | 일반적으로 이것만으로 정보가 유출되지는 않음 |
| 표시된 주소를 눌러 웹페이지 접속 | 가짜 사이트 여부 확인 필요 |
| 가짜 사이트에 아이디·비밀번호 입력 | 계정정보 탈취 위험 |
| 카드번호·인증번호 입력 | 부정결제 등 금융 피해 위험 |
| 안내에 따라 앱 파일 설치 | 악성 앱 감염 위험 |
다만 QR코드로 연결된 웹페이지에 보안 취약점을 악용하는 공격이 있을 가능성까지 완전히 배제할 수는 없습니다.
따라서 수상한 페이지에 접속했다면 즉시 닫고, 휴대폰 운영체제와 브라우저를 최신 상태로 유지하는 것이 좋습니다.
가장 중요한 점은 낯선 QR코드를 통해 연결된 페이지에서 개인정보를 입력하거나 앱을 설치하지 않는 것입니다.
가짜 결제화면은 어떻게 구별할까? 5가지 확인사항
가짜 결제화면은 정상 사이트와 비슷하게 만들어질 수 있습니다.
로고나 색상이 같다고 해서 안전한 사이트라는 뜻은 아닙니다.
결제하기 전에 다음 다섯 가지를 확인하세요.
1. QR코드가 스티커로 덧붙여져 있지 않은가?
※ 본 이미지는 정상 QR코드와 가짜 QR코드의 차이를 설명하기 위해 AI로 제작한 예시 이미지이며, 실제 사기 현장 사진이 아닙니다.
공공장소의 안내판이나 결제 기기에 붙은 QR코드를 먼저 살펴보세요.
기존 QR코드 위에 다른 스티커가 덧붙어 있거나, 가장자리가 들떠 있다면 주의해야 합니다.
다만 스티커라는 이유만으로 모두 가짜는 아닙니다. 실제 운영자가 정보를 변경하면서 새 QR코드를 붙였을 수도 있습니다.
의심스럽다면 직원이나 시설 관리자에게 직접 확인하는 것이 안전합니다.
2. 연결된 인터넷 주소가 공식 주소인가?
QR코드를 인식하면 보통 연결될 인터넷 주소가 표시됩니다.
바로 접속하지 말고 주소를 먼저 확인하세요.
예를 들어 실제 서비스 이름과 비슷한 철자를 사용하거나, 공식 업체와 관계없는 주소로 연결된다면 주의해야 합니다.
인터넷 주소 앞에 자물쇠 표시가 있거나 https://로 시작한다고 해서 반드시 정상 사이트인 것도 아닙니다.
이는 통신이 암호화되어 있다는 의미이지, 사이트 운영자가 믿을 만하다는 보장은 아닙니다.
3. 갑자기 카드번호와 인증번호를 요구하는가?
정상적인 결제 과정에서도 카드정보나 본인인증이 필요할 수 있습니다.
그러나 단순한 주차요금 조회나 행사 참여를 위해 카드 비밀번호, 계좌 비밀번호, 문자 인증번호 등을 과도하게 요구한다면 의심해야 합니다.
특히 화면에 ‘결제 오류’, ‘본인확인 실패’, ‘재인증 필요’ 등의 문구가 반복되면서 민감정보 입력을 요구한다면 결제를 중단하는 편이 안전합니다.
4. 결제 전에 별도 앱 설치를 요구하는가?
QR코드를 찍은 뒤 갑자기 앱 설치 화면이 나타나는 경우가 있습니다.
공식 서비스가 앱 설치를 안내하는 경우도 있지만, 출처를 알 수 없는 설치 파일을 내려받도록 한다면 위험할 수 있습니다.
특히 안드로이드 휴대폰에서 APK 파일을 직접 설치하라는 안내는 주의해야 합니다.
앱이 필요하다면 QR코드에서 내려받지 말고 공식 앱스토어에서 업체 이름을 직접 검색해 확인하세요.
5. 업체명과 결제금액이 맞는가?
결제 직전에는 실제 이용한 업체와 금액이 일치하는지 확인해야 합니다.
가게에서 안내받은 금액과 결제 화면의 금액이 다르거나, 전혀 모르는 업체명이 표시된다면 진행하지 마세요.
결제 후에도 카드 승인 알림과 이용내역을 확인하는 것이 좋습니다.
식당·주차장·공유 킥보드 QR코드는 모두 위험할까?
그렇지는 않습니다.
QR코드는 정상적인 결제와 안내 서비스에도 널리 사용됩니다.
중요한 것은 QR코드가 어디에 있고 누가 관리하는지입니다.
| 사용 장소 | 주의할 상황 | 안전하게 확인하는 방법 |
|---|---|---|
| 식당 | 테이블 QR 위에 낯선 스티커 부착 | 직원에게 주문용 QR인지 확인 |
| 주차장 | 결제 안내판에 별도 QR 스티커 부착 | 공식 정산기나 운영사 안내 이용 |
| 공유 킥보드 | 기기에 부착된 QR이 덧씌워진 모습 | 공식 앱에서 기기번호 확인 |
| 행사장 | 경품 수령을 위해 카드정보 요구 | 주최 측 공식 홈페이지 확인 |
| 이메일·문자 | 긴급 인증을 요구하는 QR 이미지 | 발신 기관의 공식 채널로 직접 접속 |
특히 공공장소에 노출된 QR코드는 누구나 접근할 수 있으므로 원래 코드를 가짜 코드로 바꾸는 수법에 주의해야 합니다.
의심스러운 QR코드는 어디서 확인할까?
한국인터넷진흥원은 카카오톡 ‘보호나라’ 채널에서 스미싱·큐싱 확인서비스를 안내하고 있습니다.
이용 방법은 다음과 같습니다.
- 카카오톡에서 ‘보호나라’를 검색합니다.
- 한국인터넷진흥원이 운영하는 공식 채널인지 확인합니다.
- 채널의 스미싱·큐싱 관련 메뉴를 선택합니다.
- 안내에 따라 의심스러운 QR코드를 제출합니다.
- 분석 결과와 안내사항을 확인합니다.
확인 결과는 ‘정상’, ‘주의’, ‘악성’ 등으로 표시될 수 있습니다. ‘주의’라면 안전하다고 단정하지 말고, ‘악성’이라면 해당 QR코드의 연결 주소에 접속하지 마세요. ‘정상’으로 표시되더라도 실제 결제 업체와 금액은 별도로 확인해야 합니다.
‘정상’으로 표시되더라도 실제 결제 상대방과 입력할 정보까지 모두 보증하는 것은 아닙니다.
확인서비스는 위험을 줄이는 보조 수단으로 활용하고, 결제는 공식 앱이나 사이트에서 진행하는 것이 좋습니다.
QR코드를 이미 찍었다면 어떻게 해야 할까?
먼저 어떤 행동까지 했는지 확인해야 합니다.
QR코드만 인식했다면
링크를 열지 않았다면 일반적으로 추가 조치가 필요하지 않습니다.
의심스러운 QR코드라면 접속하지 말고 시설 관리자에게 알리세요.
링크를 눌렀지만 정보를 입력하지 않았다면
페이지를 닫고 추가 다운로드나 앱 설치가 있었는지 확인하세요.
휴대폰과 브라우저를 최신 상태로 유지하고, 이상한 앱이 설치되어 있지 않은지 살펴보는 것이 좋습니다.
아이디와 비밀번호를 입력했다면
가짜 사이트에 입력했을 가능성이 있다면 해당 서비스의 공식 앱이나 홈페이지에서 비밀번호를 변경하세요.
다른 사이트에서도 같은 비밀번호를 사용했다면 함께 변경해야 합니다.
가능하면 2단계 인증을 설정하고 최근 로그인 기록도 확인하세요.
카드정보나 인증번호를 입력했다면
즉시 카드사 또는 은행의 공식 고객센터에 연락해 부정사용 여부를 확인하고 필요한 차단 조치를 요청하세요.
이미 금전 피해가 발생했다면 경찰 112에 신고하고, 금융회사에 지급정지 등 가능한 조치를 문의해야 합니다.
앱까지 설치했다면
악성 앱 설치가 의심되는 경우에는 통신을 차단하고 보안 점검을 받아야 합니다.
금융정보가 유출됐을 가능성이 있다면 감염이 의심되는 휴대폰 대신 다른 안전한 기기로 금융회사에 연락하세요.
앱을 삭제했다고 해서 이미 유출된 개인정보가 되돌아오는 것은 아니므로 계정과 금융거래 내역도 함께 확인해야 합니다.
QR코드 사기 신고는 어디로 해야 할까?
큐싱이 의심되거나 대응 방법을 모르겠다면 한국인터넷진흥원 상담센터를 이용할 수 있습니다.
- 한국인터넷진흥원 상담센터: 국번 없이 118
- 경찰 신고: 112
- 카카오톡: 보호나라 공식 채널의 스미싱·큐싱 확인서비스
한국인터넷진흥원 공식 안내: https://www.kisa.or.kr/1020601
정부의 큐싱 예방 안내: https://www.korea.kr/news/policyNewsView.do?newsId=148935455
의심스러운 QR코드를 발견했다면 직접 다시 스캔해 확인하기보다 관리자에게 알리거나 공식 확인서비스를 이용하는 것이 좋습니다.
자주 묻는 질문
Q. QR코드만 찍으면 개인정보가 유출되나요?
일반적으로 QR코드를 카메라로 인식한 것만으로 개인정보가 유출되는 것은 아닙니다. 다만 연결된 사이트에 정보를 입력하거나 악성 앱을 설치하면 위험해질 수 있습니다.
Q. QR코드에 자물쇠 표시가 있으면 안전한가요?
아닙니다. https://와 자물쇠 표시는 통신 암호화 여부를 나타낼 뿐입니다. 가짜 사이트도 HTTPS를 사용할 수 있으므로 실제 인터넷 주소와 운영 주체를 확인해야 합니다.
Q. 가짜 QR코드는 눈으로 구별할 수 있나요?
QR코드 무늬만 보고 진짜와 가짜를 구별하기는 어렵습니다. 덧붙인 스티커 여부와 연결 주소, 공식 서비스 여부를 함께 확인해야 합니다.
Q. 가짜 결제화면에 카드번호를 입력했다면 어떻게 하나요?
즉시 카드사에 연락해 카드정보 유출 가능성을 알리고 부정사용 방지 조치를 요청하세요. 결제 내역도 확인해야 합니다.
Q. 큐싱 사기인지 무료로 확인할 수 있나요?
한국인터넷진흥원의 118 상담과 보호나라 스미싱·큐싱 확인서비스를 이용할 수 있습니다.
핵심정리｜QR코드는 찍기 전보다 접속 후 행동이 더 중요합니다
QR코드 자체가 모두 위험한 것은 아닙니다.
문제는 가짜 QR코드가 정상적인 안내판이나 결제 서비스처럼 보이도록 만들어질 수 있다는 점입니다.
QR코드를 이용할 때는 연결 주소를 확인하고, 갑작스러운 앱 설치나 민감정보 입력 요구를 경계해야 합니다.
특히 결제 화면이 나타났다면 업체명과 금액이 맞는지 확인하세요.
이미 개인정보나 금융정보를 입력했다면 단순히 페이지를 닫는 것으로 끝내지 말고 비밀번호 변경, 금융회사 연락 등 필요한 조치를 해야 합니다.
QR코드 사기를 피하는 가장 좋은 습관은 의심스러운 QR을 무조건 찍지 않는 것과 공식 앱·사이트를 통해 한 번 더 확인하는 것입니다.