1. 왜 QR코드 피싱이 급격히 늘고 있는가?
QR코드는 카페·주차장·공공시설·배달 전단지 등 일상 어디서나 노출된다.
문제는 QR코드가 ‘이미지 형태’라서 링크가 눈에 보이지 않는다는 점이다.
범죄자는 이 취약점을 이용해:
- 결제 페이지 위장
- 공문서/택배 안내 위장
- 로그인 페이지 위장
- 악성 앱 다운로드 유도
- 위치 추적 링크 삽입
같은 방식으로 사용자를 속인다.
따라서 QR코드를 스캔하기 전에 피싱 여부를 구별하는 스킬이 반드시 필요하다.
2. Step 1 — QR코드 스캔 전 반드시 체크해야 할 3가지
① QR코드가 ‘붙여져 있거나 덧씌워져 있는지’ 확인
범죄자들은 기존 정상 QR코드 위에 스티커 형태로 덧붙인다.
주의해야 하는 상황:
- 주차장 요금 QR 위에 새 스티커 붙음
- 카페 테이블 QR이 지저분하게 겹쳐 있음
- 공동현관 출입 QR이 이상하게 새것임
→ 기존 QR을 덮은 형태면 바로 의심.
② QR 앞에 누군가 ‘임의로 놓은 종이/스티커’
아파트 택배 보관함, 공동현관, 카페 등에서
종이로 QR 자체를 교체한 경우 거의 100% 피싱이다.
③ 출처가 불분명한 QR
- 지하철 벽
- 버스 광고
- 길거리 전단지
- '이벤트 참여' QR
- 무인택배함 QR
→ 정식 출처가 아니면 피싱 위험 높음.
3. Step 2 — QR코드 스캔 후 링크 주소로 판별하는 법 (핵심)
QR코드를 스캔하면 링크가 열리기 전 미리보기 주소가 나온다.
이 주소에서 피싱 여부를 90% 판별 가능하다.
주소에서 반드시 확인해야 할 것
✔ ① 도메인이 공식 사이트인지 확인
예시:
| kakao.com | kaka0.com (숫자 0) |
| naver.com | naver-security.com |
| samsung.com | samsung-help.kr |
| apple.com | appl-service.net |
철자 하나만 다른 도메인을 가장 많이 사용한다.
✔ ② 숫자·하이픈·서브도메인이 과도하게 많은 URL
예:
- login-security-check-3948.com
- secure-user-verification.apple-help.net
이런 구조는 대부분 피싱이다.
✔ ③ 구글드라이브, 텀블러, 노션, 티스토리 등 ‘일반 개인 플랫폼 링크’
QR코드가 구글드라이브로 연결된다? → 99% 확률 피싱 유도
특히 APK 설치를 유도하면 즉시 차단해야 한다.
✔ ④ “앱 다운로드” 팝업이 뜨면 무조건 의심
정상 서비스는 QR 스캔 → 앱 다운로드를 유도하지 않는다.
4. Step 3 — QR 기반 악성 앱 설치 유형 구별법
피싱 QR의 절반 이상은 악성 앱 설치를 노린다.
아래와 같은 화면이 뜬다면 즉시 닫기:
- “보안 업데이트 필요”
- “고객센터 상담 필요”
- “택배 조회 오류 → 앱 설치 필요”
- “쿠폰 받기 위해 앱 설치 필수”
- “문서 확인하려면 다운로드 필요”
정상 기업은 QR로 앱 설치 요구를 절대 하지 않는다.
5. Step 4 — iPhone·Android 기종별 안전한 QR 스캔 방법
📱 iPhone (iOS)
iOS 기본 카메라는 자동으로 악성 사이트 필터링 일부 지원.
추천 설정:
설정 → Safari → 사기성 웹사이트 경고 ON
📱 Android (갤럭시)
갤럭시 기본 카메라는 QR 링크를 열기 전 도메인 미리보기 제공.
추가 설정:
삼성 인터넷 → 메뉴 → 설정 → 개인 정보 보호 → 사기성 사이트 경고 ON
절대 금지: 아래 앱으로 QR 스캔
- 알 수 없는 QR 스캐너 앱
- 광고 기반 무료 QR 앱
→ 악성 코드 삽입 사례 매우 많음
기본 카메라만 사용하는 것이 정답.
6. Step 5 — QR 피싱 예방 필수 체크리스트
✔ 스티커로 덧붙인 QR은 절대 스캔 금지
✔ 링크 열기 전 반드시 도메인 확인
✔ https(자물쇠 표시) 없는 사이트는 접근 금지
✔ 앱 설치/정보 입력 요구하면 즉시 닫기
✔ 은행/택배/공공기관은 절대 QR로 개인 정보 요구하지 않음
✔ 기본 카메라로만 스캔
이 6가지만 지키면 대부분의 QR 피싱을 차단할 수 있다.
7. 결론 — QR은 ‘보이지 않는 링크’이기 때문에 더 위험하다
핵심 요약:
- QR은 링크가 보이지 않아 속이기 쉽다
- 스티커 QR = 높은 확률로 피싱
- 링크 주소가 가장 중요한 단서
- 앱 설치·개인정보 입력 요구는 즉시 중단
- 기본 카메라 사용이 가장 안전한 스캔 방법
지금 바로 카페·주차장·공용시설에서 QR 스캔할 때
👉 링크 확인 습관부터 적용해보자.
────────────────────────────
원하면 이 글에 어울리는 만화체 보안 썸네일 이미지 바로 생성해줄게.
'스마트폰 보안' 카테고리의 다른 글
| 🔒 스마트폰 백도어 의심 앱·프로세스 식별법 (0) | 2025.11.28 |
|---|---|
| 🔒 Wi-Fi MAC 주소 무작위화(Randomization) 기능 설정 방법 (0) | 2025.11.27 |
| 🔒 스마트폰 키보드 입력 기록 추적 위험과 안전한 키보드 앱 선택법 (0) | 2025.11.25 |
| 🔒 기종별 비공개 폴더(Secret Folder / Hidden Folder) 완전 활용 가이드 (0) | 2025.11.24 |
| 🔒 스마트폰에 저장된 쿠키·세션 데이터 자동 삭제 설정법 (0) | 2025.11.24 |