QR코드 한 번 찍었을 뿐인데? 큐싱 문자·메일 구별법과 찍은 뒤 대응 순서

10월 28, 2026

“사은 행사 쿠폰을 받으려면 QR코드를 찍어 주세요.”, “설문에 참여하시려면 아래 QR코드로 접속해 주세요.”

QR코드는 식당 메뉴, 행사 안내, 쿠폰, 티켓처럼 생활 곳곳에서 쓰입니다. 그래서 문자나 메일에 QR코드가 들어 있어도 별 의심 없이 카메라를 갖다 대기 쉽습니다. 문제는 QR코드 안에 어떤 주소가 들어 있는지 눈으로는 알 수 없다는 점입니다.

한국인터넷진흥원(KISA)은 QR코드에 악성 앱 설치 주소나 피싱사이트 주소를 넣어 퍼뜨리고, 개인정보나 돈을 빼내려는 수법을 ‘큐싱’이라고 부르며 여러 차례 주의를 당부했습니다. 이 글에서는 큐싱이 무엇인지, 어떤 말로 QR 촬영을 유도하는지, 그리고 이미 찍었다면 상황에 따라 무엇부터 해야 하는지를 차례대로 정리합니다.

큐싱이란 무엇인가요?

큐싱은 QR코드와 피싱을 합친 말입니다. KISA 보호나라 보안공지는 큐싱을 QR코드에 악성 앱 다운로드·설치 주소(URL) 또는 피싱사이트 접속 주소를 넣어 게재하거나 온라인으로 퍼뜨려, 개인정보 같은 민감정보와 금전 탈취를 유도하는 수법이라고 설명합니다.

일반 스미싱 문자는 인터넷 주소가 글자로 보이기 때문에 주소가 이상한지 어느 정도 살펴볼 수 있습니다. 반면 QR코드는 검은 무늬만 보이므로 찍기 전에는 어디로 연결되는지 알 수 없습니다. 이 차이 때문에 “주소를 누르지 말라”는 습관이 있는 사람도 QR코드에는 경계를 늦추기 쉽습니다.

또 QR코드는 문자뿐 아니라 메일 본문, 첨부 이미지, 인쇄물 등 여러 경로로 전달될 수 있습니다. 어떤 경로로 받았든 보낸 사람이 확인되지 않는 QR코드라면 찍기 전에 한 번 멈추는 것이 출발점입니다.

실제로 안내된 큐싱 유형 두 가지

KISA가 공지한 사례를 보면 큐싱은 생각보다 다양한 얼굴로 다가옵니다. 아래 사례는 각 공지가 나온 당시 탐지된 내용입니다.

첫 번째는 2024년 12월 KISA가 주의를 당부한 무료 쿠폰·사은 행사 사칭 유형입니다. ‘무료 쿠폰앱’, ‘사은 행사’, ‘상품권 증정’ 같은 문구가 담긴 문자 속 주소를 누르면 피싱사이트로 이어지고 악성 앱 설치를 유도했습니다. 눈여겨볼 점은 이 악성 앱에 홍보용 QR코드를 만들어 지인에게 공유하는 기능이 들어 있었다는 것입니다. 포인트를 받으려고 QR코드 이미지를 지인에게 보내면, 내가 모르는 사이 악성 앱을 퍼뜨리는 통로가 될 수 있습니다.

두 번째는 2026년 1월 KISA가 안내한 정부기관·싱크탱크 직원 사칭 유형입니다. 국내외 정세에 대한 자문이나 설문, 중요 자료 검토를 이유로 QR코드를 찍게 한 뒤, 스마트폰 권한을 빼앗는 악성 앱을 설치하게 하거나 진짜와 비슷하게 만든 가짜 SNS 로그인 페이지로 이끌었습니다. KISA는 공격자가 피해자가 속한 기업·단체 시스템의 접속 정보를 노렸고, 회사 보안 시스템이 작동하지 않는 개인 스마트폰을 대상으로 삼았다고 설명했습니다.

두 사례 모두 공통점이 있습니다. 혜택을 주겠다거나, 중요한 일을 부탁한다는 이유로 ‘지금 찍어 달라’고 요청한다는 점입니다.

출처가 불분명한 발신자로부터의 메일, 메시지 등으로부터 생성된 QR코드는 촬영하지 말 것
KISA 보호나라 보안공지 「정부기관, 싱크탱크 사칭 큐싱(Quishing) 유포 주의 권고」 중

QR코드를 찍기 전에 확인할 네 가지

첫째, 누가 보냈는지 확인합니다. KISA는 출처가 불분명한 발신자의 메일이나 메시지에 담긴 QR코드는 촬영하지 말라고 안내합니다. 아는 기관 이름이 적혀 있어도, 그 기관의 공식 홈페이지나 대표 연락처를 직접 찾아 실제로 보낸 것인지 확인하는 편이 안전합니다.

둘째, 찍은 뒤 나타나는 주소를 먼저 읽습니다. Apple 사용 설명서에 따르면 iPhone 카메라로 QR코드를 비추면 화면 하단에 링크가 나타나고, 그 링크를 눌러야 열립니다. 즉 누르기 전에 주소를 확인할 짧은 틈이 있습니다. 평소 알던 기관 주소와 철자가 다르거나, 의미를 알 수 없는 짧은 주소라면 열지 않는 쪽을 택하세요.

셋째, 앱 설치나 로그인으로 이어지면 멈춥니다. 쿠폰을 받거나 설문에 답하는데 출처를 알 수 없는 앱을 따로 설치하라고 하거나, SNS·회사 계정 로그인을 다시 요구한다면 의심해 볼 만한 신호입니다. 앱은 공식 앱 마켓에서 직접 검색해 설치하고, 로그인은 평소 쓰던 앱이나 직접 입력한 주소에서 하는 습관이 도움이 됩니다.

넷째, 개인정보와 인증번호는 한 번 더 확인합니다. KISA는 휴대전화 번호, 아이디, 비밀번호 같은 개인정보는 신뢰할 수 있는 사이트에만 입력하고, 인증번호는 모바일 결제로 이어질 수 있으니 한 번 더 확인하라고 안내합니다.

의심스러운 QR코드는 이렇게 확인하고 신고하세요

찍어도 되는지 판단이 서지 않는다면 혼자 결정하지 않아도 됩니다. KISA는 보호나라 카카오톡 채널의 ‘큐싱 확인서비스’로 신고하고 악성 여부를 판별받을 수 있다고 안내합니다.

문자로 받은 경우라면 스마트폰 문자 화면의 ‘스팸으로 신고’ 기능을 쓰거나, 보이스피싱통합신고대응센터의 ‘스미싱 문자메세지 차단 신고하기’를 이용할 수 있습니다. 상담이 필요하면 KISA 인터넷침해대응센터 국번 없이 118로 문의할 수 있습니다.

신고할 때는 받은 문자나 메일 화면, 보낸 번호나 주소, 받은 시각을 함께 남겨 두면 상황을 설명하기 쉽습니다. 다만 확인을 위해 의심 QR코드를 다른 사람에게 그대로 전달하는 일은 피하세요.

이미 찍었다면, 어디까지 진행했는지부터 나눠 보세요

QR코드를 찍었다고 해서 모두 같은 상황은 아닙니다. 어디까지 진행했는지에 따라 할 일이 달라집니다.

주소만 열어 본 경우입니다. KISA는 문자에 포함된 인터넷 주소를 누른 것만으로는 악성 앱에 감염되지 않는다고 설명합니다. 페이지를 닫고 더 이상 입력하지 마세요. 다만 열린 페이지에서 무언가를 내려받았는지는 함께 확인해 두는 것이 좋습니다.

정보를 입력한 경우입니다. 아이디와 비밀번호를 넣었다면 해당 서비스의 공식 앱이나 직접 입력한 주소로 접속해 비밀번호를 바꾸세요. 휴대전화 번호나 인증번호를 입력했다면 통신사 고객센터에서 모바일 결제 내역을 확인하는 것이 좋습니다. KISA는 정보 유출이 의심될 때 내 번호가 스미싱 재발송에 도용되지 않도록 통신사 부가서비스에서 무료로 신청할 수 있는 ‘번호도용문자차단서비스’도 안내합니다.

앱을 설치한 경우입니다. KISA는 모바일 백신으로 악성 앱을 삭제하거나, 직접 삭제하거나, 서비스센터를 방문하는 방법을 안내합니다. 감염된 스마트폰으로 금융 서비스를 이용했다면 인증서와 보안카드 등 금융거래 정보가 유출됐을 수 있으므로 폐기하고 재발급하라고 권고합니다. 악성 앱은 기기명과 IMEI 같은 단말 정보, 문자 메시지와 사진 같은 개인정보를 빼낼 수 있다고 안내됐습니다.

QR코드를 지인에게 공유한 경우입니다. 쿠폰 사칭 사례처럼 공유 자체가 피해를 넓힐 수 있습니다. 공유한 사람들에게 바로 알려 찍지 말라고 전하세요. KISA도 악성 앱이 주소록을 조회해 비슷한 문자를 보내는 2차 피해가 생길 수 있으니 주변 지인에게 피해 사실을 알리라고 당부합니다.

QR코드를 찍은 뒤 상황별로 먼저 할 일
진행한 단계	먼저 할 일
주소만 열어 봄	페이지를 닫고 더 입력하지 않기
정보를 입력함	공식 경로로 비밀번호 변경, 모바일 결제 내역 확인, 번호도용문자차단서비스 신청
앱을 설치함	모바일 백신·수동 삭제·서비스센터, 인증서·보안카드 폐기 후 재발급
QR코드를 공유함	받은 지인에게 바로 알리기

출처: KISA 보호나라 보안공지(2024-12-19, 2026-01-10)

모바일 결제 피해가 확인됐다면 밟을 순서

KISA 공지에는 모바일 결제 피해가 생겼을 때의 순서도 안내돼 있습니다. 요약하면 다음과 같습니다.

통신사 고객센터로 모바일 결제 내역을 확인합니다.
피해가 확인되면 의심 문자를 캡처해 둡니다.
통신사 고객센터에 스미싱 피해를 신고하고 소액결제확인서를 발급받습니다.
소액결제확인서를 가지고 관할 경찰서 사이버수사대나 민원실에 사고 내역을 신고하고, 사건사고 사실 확인서를 발급받습니다.
필요한 서류를 통신사 고객센터에 제출하고, 통신사나 결제대행 업체에 피해 내역 확인과 보상을 요구합니다.

실제 처리 방법과 필요한 서류는 통신사와 상황에 따라 다를 수 있으니, 각 단계에서 고객센터 안내를 함께 확인하세요.

자주 묻는 질문

Q. QR코드를 카메라로 비추기만 해도 위험한가요?

Apple 안내처럼 카메라가 QR코드를 인식하면 링크가 먼저 표시되고, 그 링크를 눌러야 페이지가 열립니다. 표시된 주소를 읽어 보고 출처가 확인되지 않으면 누르지 않는 습관이 중요합니다.

Q. 아는 회사 이름으로 온 메일인데도 의심해야 하나요?

KISA가 안내한 사례에서도 정부기관이나 연구기관 직원을 사칭했습니다. 이름만으로는 판단하기 어려우니, 공식 홈페이지나 대표 연락처를 직접 찾아 실제로 보낸 것인지 확인하세요.

Q. 앱을 지웠는데 그래도 할 일이 있나요?

설치돼 있던 동안 그 휴대전화로 금융 서비스를 이용했다면 인증서와 보안카드의 폐기·재발급을 검토하고, 모바일 결제 내역도 확인하세요. 지인에게 이상한 문자가 갔을 수 있으니 알려 두는 것도 좋습니다.

Q. 큐싱이 의심되면 어디에 물어보면 되나요?

보호나라 카카오톡 채널의 큐싱 확인서비스를 이용하거나 KISA 118에 상담할 수 있습니다. 돈이 빠져나갔다면 금융기관과 경찰에도 바로 알리세요.

정리: 찍기 전 멈추고, 찍은 뒤엔 단계별로

큐싱은 주소가 눈에 보이지 않는다는 QR코드의 특징을 노립니다. 보낸 사람이 확인되지 않는 QR코드는 찍지 말고, 찍었다면 나타난 주소를 먼저 읽고, 앱 설치나 로그인 요구가 나오면 멈추세요.

이미 진행했다면 주소만 열었는지, 정보를 입력했는지, 앱을 설치했는지, 공유했는지를 나눠서 대응하면 됩니다. 판단이 어렵다면 보호나라 큐싱 확인서비스와 118 상담을 활용하세요.

확인한 공식 자료

알아두면 안전한 정보 · KISA 보호나라·Apple 공식 자료 확인일 2026년 10월 28일

영상으로 핵심 정리

아래 짧은 영상에서 오늘 내용을 다시 정리했습니다.

이 블로그 검색

이슈한상