큐싱이란 무엇인가요? QR 코드 피싱에 대해 알아보기

QR 코드는 식당 테이블, 주차 요금 정산기, 배송 안내문, 심지어 업무용 이메일에 이르기까지 어디에나 있습니다. 대부분의 사람들은 별다른 의심 없이 이를 스캔하지요. 하지만 사이버 범죄자들은 바로 이러한 편리함을 노리고 있습니다.

큐싱은 QR 코드를 사용해 이상한 낌새를 눈치채지 못하는 피해자를 유인한 뒤 비밀번호, 결제 정보 또는 개인 데이터를 탈취하는 사이버 공격 유형으로, 최근 급증하고 있습니다. 큐싱 공격이 구체적으로 어떤 방식으로 이루어지며, 이러한 공격으로부터 자신을 어떻게 보호할 수 있는지 자세히 살펴보겠습니다.

큐싱(QR 코드 피싱)은 사이버 범죄자가 피해자를 가짜 웹사이트로 유도하거나 멀웨어를 다운로드하도록 속이기 위해 QR 코드를 사용하는 피싱 공격의 한 유형입니다. QR 코드 피싱, QR 피싱, 또는 단순히 QR 코드 사기라고도 부르는 것을 볼 수 있습니다.

QR(Quick Response) 코드는 휴대폰 카메라로 스캔할 수 있는 이차원 바코드입니다. QR 코드에는 URL 및 결제 안내, 연락처 정보, Wi-Fi 자격 증명 등으로 연결되는 빠른 링크를 저장할 수 있습니다. 휴대폰을 비추고 스캔하기만 하면 바로 연결되므로 정말 편리한 기능입니다. 하지만 바로 그 편리함이 QR 사기를 매우 위험하게 만드는 요소입니다.

일반적인 링크와 달리 QR 코드는 연결되는 목적지가 숨겨져 있습니다. QR 코드에 대한 신뢰와 스캔하기 전에는 URL을 확인할 수 없다는 점이 바로 사이버 범죄자가 큐싱 공격에서 악용하는 요소입니다. 즉, 이미 도착하기 전까지는 어디로 가는지 알 수 없습니다.

그렇다면 공격자가 진정으로 노리는 것은 무엇일까요? 큐싱 사건의 약 90%¹는 민감한 정보를 탈취하는 것을 목표로 하며, 여기에는 로그인 자격 증명, 신용카드 번호, 은행 계좌 접속 정보, 신원 도용에 악용될 수 있는 개인정보 등이 포함됩니다. 일부 공격은 지속적인 사기를 위해 멀웨어를 설치하는 데 중점을 두기도 합니다.

큐싱 공격이 일어나는 방식을 이해하면 피해가 발생하기 전에 이를 알아차리는 데 도움이 됩니다. 일반적인 큐싱 공격은 다음과 같은 명확한 순서를 따릅니다.

큐싱 공격은 URL이 클릭 가능한 텍스트가 아니라 이미지에 삽입되어 있기 때문에 기존의 이메일 보안 필터를 우회하는 경우가 많습니다. 대부분의 이메일 보안 솔루션은 의심스러운 텍스트 기반 링크와 알려진 악성 도메인을 검사하지만, 기본적으로 이미지나 PDF 첨부 파일 내의 QR 코드를 해독하지는 않습니다.

Barracuda Networks에 따르면, 2024년 6월부터 9월 사이에 PDF에 숨겨진 QR 코드를 포함한 피싱 이메일이 50만 건 이상 발견되었습니다. 이러한 큐싱 공격에서 사칭된 브랜드 중에서는 Microsoft가 51%, Docusign이 31%를 차지했습니다².

QR 피싱은 다양한 형태로 발생하지만, 긴급함, 공포, 편리함과 같은 사회 공학적 기법 패턴이 반복됩니다. 공격자가 디지털 채널(이메일, 문자 메시지, 소셜 미디어)과 물리적 장소(주차 요금 정산기, 식당 테이블, 배송 안내문) 모두에서 QR 코드를 어떻게 악용하는지 살펴보겠습니다.

사기꾼은 결제 정보를 탈취하기 위해 가짜 주차 QR 코드를 사용합니다. 수법은 간단합니다. 범죄자가 QR 스티커를 인쇄하여 유동 인구가 많은 지역의 유료 주차 정산기나 표지판에 있는 정상적인 QR 코드 위에 덧붙이는 것입니다.

사례를 살펴보면, 텍사스주 오스틴 전역의 주차 정산기 20여 개 이상에서 사기성 QR 코드 스티커가 발견되었으며, 샌안토니오에서도 유사한 유료 주차 사기가 보고되었습니다³. 영국의 사기 방지 및 집행 부서(CFEU, Counter Fraud and Enforcement Unit)에서는 사기꾼들이 주차 표지판과 기계에 가짜 QR 코드를 부착하여 PayByPhone과 같은 정상적인 결제 플랫폼을 모방하고 은행 계좌 정보를 탈취하여 신원 도용 범죄를 저지르고 있다고 경고합니다⁴.

FBI의 인터넷 범죄 신고 센터(IC3) 역시 로맨스 스캠, 복권 사기, 사칭 사기 등에서 QR 코드를 사용해 피해자가 코인 환전기(암호화폐 ATM)로 가서 신속하게 결제하도록 유도하는 사례가 증가하고 있음을 확인했습니다⁵.

다음은 Surfshark의 정보 보안 관리자, Miguel Fornes의 조언입니다.

배송 알림은 QR 코드를 사용해 피싱 사이트로 리디렉션하는 경우가 많습니다. 이는 유명 택배 회사인 척 “배송 실패”를 주장하는 도어 태그나 전단지, 또는 이메일 형태로 옵니다. QR 코드를 스캔하면 소액의 “재배송 수수료”와 함께 전체 카드 정보를 요구하는 가짜 포털로 연결됩니다.

또한, FBI는 이제 범죄자들이 주문하지 않은 택배를 발송인 정보 없이 보내는 수법(브러싱 스캠의 변종)을 사용하고 있으며, 택배에 수취인이 개인 및 금융 정보를 제공하거나 의도치 않게 멀웨어를 다운로드하도록 유도하는 QR 코드가 포함되어 있다고 경고합니다⁶.

이러한 안내문이 온다면, 첨부된 QR 코드를 스캔하지 말고 배송업체의 공식 앱이나 웹사이트로 직접 가세요.

사람들은 직장에서 “보안 문서를 확인하기 위한” QR 코드가 포함된 가짜 인보이스, 급여 내역 업데이트, 공급업체 결제 확인서 등의 큐싱 이메일을 받는 경우가 많습니다. 이러한 코드는 자격 증명 탈취를 목적으로 설계된 위조된 Microsoft 또는 Google 로그인 페이지로 연결됩니다. 링크가 이미지 안에 숨겨져 있기 때문에 이러한 이메일은 수많은 이메일 보안 필터를 우회합니다.

가짜 QR 코드가 식당 메뉴의 정상적인 코드를 대체할 수 있습니다. 공격자는 테이블이나 포스터에 있는 실제 코드 위에 교묘하게 스티커 코드를 붙입니다. 스캔을 하면, 사기성 메뉴 사이트로 이동하게 될 수 있습니다.

식당 메뉴 QR 코드에서 개인정보나 로그인 자격 증명 정보, 결제 데이터를 요구하는 경우, 즉시 페이지를 닫으세요.

QR 코드는 계정 보안 경고를 사칭하여 데이터를 탈취할 수 있습니다. 이러한 피싱 이메일이나 서신은 계정이 긴급하게 정지되었거나 의심스러운 활동이 발생했다고 주장하며 “이 QR 코드를 스캔하여 계정을 인증하세요”라고 안내한 뒤, 위조된 로그인 페이지를 엽니다.

정상적인 서비스 제공업체가 계정 문제를 해결하기 위해 QR 코드를 요구하는 경우는 거의 없습니다. 신뢰할 수 있고 알려진 URL을 직접 입력하여 공식 웹사이트나 앱으로 바로 이동하세요.

큐싱 스캠 사기는 QR 코드를 스캔하는 모든 사람에게 피해를 줄 수 있지만, 특정 집단은 피해를 당할 위험이 더 높습니다.

큐싱 공격을 식별하려면 긴급성을 띠는 언어, 알 수 없는 발신자, 이상한 도메인, 스캔 직후 일어나는 현상 등 QR 코드 주변의 여러 단서를 주의 깊게 살펴봐야 합니다.

이메일이나 메시지 앱 또는 차량이나 우편함에 남겨진 인쇄 전단지 등을 통해 불쑥 전달된 QR 코드를 주의하세요. 즉각적인 스캔을 촉구하는 메시지는 큐싱 공격의 징후입니다. 정상적인 기관에서는 문제를 해결하거나 서비스에 접속하는 유일한 방법으로 QR 코드를 전송하는 경우가 거의 없습니다.

알 수 없는 발신자가 보낸 QR 코드는 스캔하지 말고, 의심스러운 경우 공식 채널을 통해 발신자로 추정되는 사람에게 문의하세요.

공격에는 공격자가 정상적인 코드 위에 가짜 QR 스티커를 부착하는 물리적 변조가 있을 수 있습니다. 공공 표지판이나 테이블에 있는 QR 코드를 스캔하기 전, 다음 사항에 유의하세요.

스캔하기 전에 변조된 QR 코드인지 확인하세요. 공식 장소에는 일반적으로 일관된 브랜딩과 명확한 안내가 정상적인 QR 코드 옆에 표시되어 있습니다.

스캔 후 열기를 누르기 전에, 항상 휴대폰에 표시되는 URL 미리 보기를 확인하세요. 긴급한 분위기를 조성하거나 다음과 같은 내용이 표시되는 메시지의 QR 코드는 주의하세요.

브라우저나 보안 소프트웨어에 경고가 표시되거나 사이트에 이상한 점이 느껴진다면, 즉시 페이지를 닫으세요.

QR 코드를 완전히 피할 필요는 없습니다. 안전성이 확인될 때까지는 각 QR 코드를 출처가 불분명한 링크처럼 대하면 됩니다. 주의 깊은 습관과 기본적인 보안 도구를 함께 활용하면 큐싱 공격을 대부분 막을 수 있습니다.

신속하게 조치해야 피해를 줄일 수 있습니다. 가장 중요한 단계는 의심스러운 사이트와의 상호작용을 즉시 중단하는 것입니다. 이후의 조치는 사이트와 어느 정도까지 상호작용했는지에 따라 달라집니다.

피싱 사이트와 상호작용하지 않고 방문만 한 경우는 덜 위험하지만, 여전히 주의를 기울여야 합니다.

스캔을 한 피해자는 속아서 개인정보를 제공할 수 있으므로, 큐싱 공격이 확대되는 것을 방지하려면 신속하게 대처하는 것이 중요합니다.

큐싱, 피싱, 스미싱(SMS 피싱), 보이스 피싱(비싱) 공격은 피해자를 속여 데이터나 돈을 빼앗는다는 동일한 목표를 가지고 있습니다. 이러한 모든 사기에서 공격자는 메시지의 신뢰도를 높이기 위해 신뢰할 수 있는 브랜드, 전화번호, 이메일 주소를 사칭하는 범죄 스푸핑을 자주 사용합니다. 하지만 이들은 서로 다른 채널을 사용합니다.

QR 코드는 결제, 티켓, 메뉴, 본인 인증 등 일상생활의 일부가 되었습니다. QR 코드는 앞으로도 계속 사용될 것이며, 이는 공격자들도 이를 계속 악용할 것임을 의미합니다. 다행히도 QR 코드를 완전히 피할 필요는 없습니다. 모든 QR 코드를 기본적으로 신뢰할 수 없는 링크로 취급하고, 서두르지 말고, 스캔하기 전에 전후 상황을 확인하며, 이 글에서 배운 보안 도구와 예방 조치를 실천하기만 하면 됩니다.