QR코드 피싱 확인법의 첫 단계는 제공한 곳과 연결 주소를 대조하는 것입니다. 코드를 촬영했다는 사실보다 사이트에 무엇을 입력했고 앱 설치·권한 허용·결제까지 했는지가 이후 대응을 정하는 기준입니다. 아래 이미지는 이 판단 순서를 설명하는 AI 장면이며, 실제 보호나라 화면이나 악성 여부 판정 결과가 아닙니다.
식당 주문, 주차요금, 행사 신청에 쓰인 QR코드를 보면 습관적으로 카메라를 켜기 쉽습니다. 하지만 QR코드는 겉모양만으로 연결 주소를 알 수 없습니다. 엉뚱한 사이트나 악성앱 설치 페이지로 보내는 ‘큐싱’이 의심된다면 먼저 멈추고 목적지와 제공 주체를 확인하세요. 한국인터넷진흥원(KISA)은 카카오톡 ‘보호나라’ 채널에서 큐싱 확인서비스를 제공한다고 안내합니다.
목차
1. QR코드 피싱(큐싱)은 어떻게 작동하나요?
큐싱은 QR코드에 피싱사이트나 악성앱 다운로드 주소를 넣어 개인정보·인증정보 또는 돈을 빼앗으려는 수법입니다. KISA는 정부기관·연구기관을 사칭해 의견 수렴을 빌미로 QR 촬영을 유도한 사례도 경고했습니다. 그래서 공공기관 이름이나 익숙한 로고가 보인다는 이유만으로 안전하다고 판단하기 어렵습니다.
종이에 붙은 스티커가 원래 QR 위를 덮고 있거나, 결제·신청을 서두르라는 안내가 함께 있거나, 스캔 뒤 앱 설치와 계정 비밀번호 입력을 요구한다면 특히 주의하세요. 이런 모습은 위험을 의심할 단서이지, 그 자체로 악성 여부를 확정하는 증거는 아닙니다.
2. QR코드 피싱 확인법: 스캔 전 점검할 3가지
- 제공 주체: QR이 붙은 장소의 직원이나 안내문이 실제로 그 코드를 제공했는지 확인합니다. 낯선 안내문이라면 기관 공식 누리집이나 대표 연락처에서 동일한 신청 경로를 찾습니다.
- 연결 주소: 카메라가 표시하는 목적지 주소를 먼저 읽고, 예상한 기관 도메인과 일치하는지 살펴봅니다. 주소가 짧거나 낯선 도메인으로 바뀐다면 접속을 보류합니다.
- 요구 행동: 접속 즉시 외부 앱 설치, 비밀번호·인증번호 입력, 송금을 요구하면 중단하고 별도 공식 경로로 확인합니다.
주소가 그럴듯해 보여도 도메인을 한 글자만 바꾸거나 다른 하위 도메인을 붙일 수 있습니다. 가장 확실한 비교 방법은 QR로 열린 화면이 아니라 직접 찾은 공식 앱이나 누리집의 안내를 확인하는 것입니다.
3. 보호나라 챗봇에서 큐싱 확인하기
- 카카오톡에서 ‘보호나라’를 검색해 KISA가 운영하는 채널인지 확인하고 추가합니다.
- 채널의 큐싱 확인 기능을 찾아 선택합니다. 메뉴 명칭과 제출 방법은 현재 챗봇 화면의 안내를 따르세요.
- 챗봇의 화면 안내에 따라 의심되는 QR을 제출하고 결과를 확인합니다.
QR 확인과 문자 스미싱 확인은 별도 메뉴입니다. 문자에 적힌 링크를 확인하려는 경우에는 ‘스미싱 확인서비스’를 선택하세요. KISA는 보호나라 챗봇에서 스미싱·큐싱 여부를 확인할 수 있다고 안내합니다. 검사 결과가 나오기 전까지는 해당 QR의 사이트에서 로그인, 결제, 앱 설치를 진행하지 않는 편이 안전합니다.
보호나라의 확인 결과도 모든 거래나 사이트의 안전을 보증하는 것은 아닙니다. QR이 공식 안내와 어긋나거나 수상한 입력을 요구하면 채널 판정과 별개로 기관에 직접 확인하세요.
4. 이미 스캔했다면 상황별로 대응하세요
화면만 열고 아무것도 입력하지 않았다면 탭을 닫고 추가 접속을 멈추세요. 해당 QR을 제공한 곳에 진위를 확인하고, 의심된다면 보호나라에 문의할 수 있습니다.
계정정보나 인증번호를 입력했다면 해당 서비스의 공식 앱·주소로 직접 들어가 비밀번호를 변경하고, 로그인 기록과 연결된 기기를 확인하세요. 금융정보를 입력했거나 송금했다면 해당 금융회사와 경찰 신고 경로를 즉시 이용하세요.
앱 설치를 허용했다면 추가 조작과 권한 허용을 멈추고 KISA 118에 상담을 요청하세요. 감염이 의심되는 기기에서 비밀번호를 다시 입력하기보다 안전한 다른 기기에서 계정을 보호하는 것이 좋습니다.
QR코드 피싱 확인법 FAQ
QR을 스캔만 해도 무조건 피해가 생기나요?
그렇지는 않습니다. 위험은 연결된 사이트 방문, 정보 입력, 악성앱 설치 등 이후 행동에 따라 달라집니다. 다만 수상한 QR이라면 더 진행하지 말고 확인하세요.
보호나라에서 QR과 문자 링크를 모두 볼 수 있나요?
네. KISA는 카카오톡 보호나라 채널에서 큐싱 확인과 스미싱 확인 메뉴를 운영합니다. 확인하려는 항목에 맞는 메뉴를 선택하세요.
‘정상’ 안내가 나오면 결제해도 되나요?
검사 결과만으로 판매자나 결제 거래 전체가 안전하다는 뜻은 아닙니다. 결제 전에는 실제 판매처와 금액, 공식 주소를 따로 확인해야 합니다.
어디에 상담할 수 있나요?
KISA의 해킹·스팸·개인정보침해 상담 번호는 국번 없이 118입니다. 긴급한 금전 피해가 발생했다면 금융회사와 경찰에도 바로 연락하세요.
QR코드 피싱 확인법의 핵심은 제공 주체·연결 주소·요구하는 행동을 먼저 확인하는 것입니다. 의심되면 더 진행하지 말고 공식 안내와 보호나라의 확인 기능을 이용하세요. 이미 정보를 입력하거나 앱을 설치했다면 무엇을 했는지 정리하고, 해당 계정·금융회사의 공식 경로와 KISA 상담을 통해 상황에 맞게 대응합니다. 검사 결과 하나가 모든 거래의 안전을 보증하지는 않습니다.
공식 자료: KISA 2026년 9월 보호나라 챗봇 안내, KISA 스미싱·큐싱 공격 대응, KISA 큐싱 주의 권고 (2026년 9월 확인).
📌 함께 보면 좋은 글
👉 택배 사칭 문자 링크 클릭했을 때
👉 아이폰 사진 옮기기 2026
👉 카카오톡 백업 2026
QR코드 피싱 확인법에서 주소가 정상처럼 보이면 바로 로그인해도 될까요? 주소만으로 안전을 확정할 수는 없습니다. 안내문에 적힌 연락처 대신 평소 알고 있던 공식 앱이나 직접 입력한 공식 홈페이지로 들어가 같은 안내가 있는지 확인하세요. 계정 비밀번호·인증번호·결제를 요구한다면 제공 주체와 업무 목적까지 대조한 뒤 진행해야 합니다.
답글 남기기