테이블마다 QR 코드를 붙여 두고, 문자에도 QR을 넣어 보내는 가게가 많아졌습니다. 손님도 이제 QR을 의심 없이 찍습니다.
그 습관을 노린 사기가 큐싱입니다. 이 글에서는 큐싱이 어떤 방식으로 오는지, 우리 가게가 오늘 확인할 것 세 가지가 무엇인지 정리했습니다.
QR 코드 피싱(큐싱)이 뭔가요?
QR 코드 안에 가짜 사이트 주소나 악성 앱 설치 주소를 숨겨 두는 수법입니다.
큐싱은 QR 코드와 피싱을 합친 말입니다. 겉보기에는 평범한 검은 네모라 사람 눈으로는 진짜와 가짜를 구분할 수 없습니다.
한국인터넷진흥원 보호나라도 올해 1월 이 수법을 공지로 알렸습니다. 정부기관이나 연구기관을 사칭해 QR을 보내는 사례였습니다. QR 안에는 악성 앱 설치 주소나 피싱 사이트 주소가 들어 있었습니다(보호나라 공지).
문자 피싱은 주소가 눈에 보여서 이상한 낌새를 챌 수 있습니다. QR은 그 주소가 가려져 있다는 점이 다릅니다.
한 줄 정리: 큐싱은 주소를 가려 놓은 피싱이라 눈으로는 걸러지지 않습니다.
왜 올해 부쩍 늘었나요?
메일 보안 검사를 이미지로 피해 갈 수 있어서입니다.
마이크로소프트 위협 인텔리전스 집계를 보겠습니다. QR 코드 피싱은 올해 1월 760만 건이었습니다. 3월에는 1,870만 건으로 늘었습니다. 1분기에만 146% 증가한 수치입니다(2026년 5월 보도 기준, 한국경제 기사).
같은 집계에서 PDF 첨부파일에 QR을 넣은 비중은 1월 65%에서 3월 70%로 올랐습니다. 메일 본문에 QR을 직접 넣은 건수는 3월에 전달보다 336% 늘었습니다.
이유는 단순합니다. 글자로 적힌 주소는 보안 프로그램이 읽어서 걸러 냅니다. 반면 이미지 속 QR은 그냥 그림으로 지나갑니다.
한 줄 정리: QR은 글자가 아니라 그림이라 자동 검사에서 잘 안 걸립니다.
그래서 우리 가게에는?
손님이 찍는 QR과 사장님이 받는 QR, 두 방향 모두 우리 문제입니다.
첫째, 매장에 붙여 둔 QR 위에 다른 스티커가 덧붙으면 손님이 가짜 사이트로 갑니다. 피해는 손님이 보지만 항의는 가게로 옵니다.
둘째, 사장님 앞으로 오는 세금계산서·택배·과태료 안내 메일에 QR이 들어옵니다. 여기서 관리자 계정이 털리면 홈페이지 전체가 넘어갑니다.
| 구분 | 안심해도 되는 경우 | 한 번 더 봐야 하는 경우 |
|---|---|---|
| 매장 QR | 코팅되어 있고 덧붙인 흔적 없음 | 종이 스티커가 위에 덧대어 있음 |
| 문자 QR | 내가 신청한 건에 대한 안내 | 신청한 적 없는 환급·과태료 안내 |
| 메일 QR | 평소 쓰던 거래처의 익숙한 양식 | 첨부 PDF 안에만 QR이 있음 |
| 이동한 화면 | 주소가 평소 쓰던 그 주소 | 로그인부터 요구하는 낯선 주소 |
한 줄 정리: 손님이 찍는 QR과 내가 받는 QR을 따로 점검해야 합니다.
네이버 스마트스토어 배송 문자에 QR이 있다면?
정상 안내 문자에는 보통 QR이 아니라 주소나 버튼이 들어갑니다.
네이버 스마트스토어나 택배사에서 오는 배송 안내는 대개 링크 형태입니다. 갑자기 QR로 바뀌었다면 사칭일 가능성을 먼저 의심해 보세요.
확인 방법은 간단합니다. 문자에 있는 QR 대신, 평소 쓰던 앱을 직접 열어 주문 내역에서 배송 상태를 보면 됩니다.
가게에서 손님께 보내는 문자도 마찬가지입니다. QR보다 주소를 그대로 적어 보내는 편이 손님도 안심하고, 우리 문자가 사칭으로 오해받지도 않습니다.
한 줄 정리: 받은 QR을 찍지 말고, 원래 쓰던 앱을 직접 열어 확인하세요.
알아두면 좋은 용어 세 가지
어려운 말은 세 개뿐입니다.
| 용어 | 쉬운 뜻 | 비유 |
|---|---|---|
| 큐싱 | QR 안에 가짜 주소를 숨긴 사기 | 주소를 가린 채 건네는 명함 |
| 피싱 사이트 | 진짜처럼 꾸민 가짜 로그인 화면 | 간판만 똑같이 만든 가짜 가게 |
| 2단계 인증 | 비밀번호 외에 한 번 더 확인하는 절차 | 열쇠에 더해 도어록 번호까지 |
한 줄 정리: 큐싱은 가짜 주소, 대비책은 2단계 인증이라고 외워 두세요.
이미 찍었다면 어떻게 하나요?
앱을 설치했는지부터 확인하는 게 첫 단계입니다.
예를 들어, 직원 4명인 동네 미용실을 떠올려 보겠습니다. 원장님이 과태료 안내 문자의 QR을 찍고 앱까지 내려받았습니다. 그렇다면 순서는 이렇습니다.
- 방금 설치된 앱이 있는지 확인하고 삭제하기
- 그 폰으로 금융 앱과 인증서 앱을 열지 않기
- 홈페이지 관리자 비밀번호를 다른 기기에서 바꾸기
- 최근 결제 내역과 문자 발신 내역을 살펴보기
- 통신사 고객센터에 번호 도용 차단 서비스 문의하기
- 직원 단톡방에 같은 문자를 받았는지 물어보기
보호나라 공지도 의심 앱 삭제와 결제 내역 확인, 번호 도용 차단 서비스 이용을 권고하고 있습니다.
한 줄 정리: 앱 삭제와 비밀번호 변경까지가 한 묶음입니다.
오늘 할 일 체크리스트
가게 문 열고 10분이면 끝나는 것들입니다.
- □ 매장에 붙은 QR 코드를 손으로 만져 덧붙인 스티커 확인하기
- □ QR 옆에 가게 이름과 정식 주소를 글자로 함께 적어 두기
- □ 손님 안내 문자에서 QR 대신 주소를 쓰도록 양식 바꾸기
- □ 홈페이지 관리자 계정에 2단계 인증 켜 두기
- □ 직원들에게 "메일 속 QR은 찍지 않는다" 한 줄 공유하기
- □ 관리자 비밀번호를 다른 사이트와 다르게 쓰고 있는지 확인하기
한 줄 정리: 스티커 확인과 2단계 인증, 이 두 가지가 가장 효율이 좋습니다.
자주 묻는 질문
QR 코드는 찍기 전에 안전한지 알 수 있나요?
찍기 전에는 알 수 없지만, 찍은 직후에는 알 수 있습니다. 대부분의 카메라 앱이 이동할 주소를 먼저 보여 주니 그 주소를 한 번 읽고 누르세요. 평소 쓰던 주소와 한 글자라도 다르면 닫으면 됩니다.
매장 QR 코드 바꿔치기는 실제로 자주 일어나나요?
주차 안내문이나 공용 게시물에 가짜 QR을 덧붙이는 사례가 언론에 여러 차례 보도됐습니다. 그래서 코팅해서 붙이고, 하루 한 번 눈으로 확인하는 것만으로도 상당 부분 막을 수 있습니다. QR 옆에 가게 정식 주소를 함께 적어 두면 손님이 스스로 비교할 수 있습니다.
홈페이지에 QR을 넣어도 괜찮을까요?
괜찮습니다. 다만 QR이 어디로 가는지 바로 옆에 글자로 함께 적어 주세요. 예를 들어 "예약 페이지로 이동합니다"처럼 한 줄만 붙여도 손님의 불안이 크게 줄어듭니다.
직원이 찍었는데 아무 일도 없어 보이면 넘어가도 되나요?
앱이 설치되지 않았다면 대체로 넘어가도 됩니다. 다만 그 화면에서 아이디나 비밀번호를 입력했다면 이야기가 다릅니다. 입력한 계정의 비밀번호를 바로 바꾸고, 같은 비밀번호를 쓰는 다른 사이트도 함께 바꾸세요.
한 줄 정리: 앱 설치와 비밀번호 입력, 이 두 가지가 있었는지가 판단 기준입니다.
관리자 계정 설정이 안전한지 궁금하시면 무료 견적 상담에서 함께 점검해 드립니다. 관리자 데모에서 실제 관리 화면을 먼저 보셔도 좋습니다.
사진: Unsplash (photo-1595079676339-1534801ad6cf, photo-1706759755782-62bc9a0b32e1, photo-1550482768-88b710a445fd)