큐싱 예방 방법 2026, QR 찍기 전 확인할 5가지 수칙

QR코드를 찍기 전에 무엇을 확인해야 큐싱을 피할 수 있을까요? 결론부터 말하면, 출처가 불분명한 QR코드는 찍지 않는 것이 가장 확실한 예방법입니다. 그리고 꼭 찍어야 한다면 연결된 주소(URL)를 확인하고, 개인정보 입력을 요구하면 멈추는 습관이 필요합니다.

큐싱은 QR코드와 피싱(Phishing)을 합친 말입니다. QR코드를 스캔하면 악성 앱이 실행되어 개인정보와 금융정보가 빠져나가거나, 스마트폰이 원격으로 통제되거나, 소액결제 피해가 생길 수 있습니다. 문제는 QR코드가 사람 눈으로는 내용을 읽을 수 없는 그림이라는 점입니다.

이 글은 정부 기관이 안내한 큐싱 수법과 확인 수칙, 감염이 의심될 때의 대처 순서, 신고 방법을 정리한 것입니다. 이 사이트는 카카오를 포함한 어떤 기관과도 관계없는 독립 정보 사이트이며, 신고와 상담은 아래에 적은 기관에서 직접 진행하셔야 합니다.

큐싱이란 무엇이고 왜 위험한가요?

한국인터넷진흥원(KISA)은 큐싱을 ‘QR코드에 악성앱 설치 주소나 피싱사이트 주소를 담아 게시하거나 온라인에 유포해 개인정보와 금전을 빼내는 방식’으로 설명합니다. 문자 속 링크를 누르게 하는 스미싱과 달리, 길거리나 광고물에 붙은 QR 그림 자체가 입구가 된다는 점이 다릅니다.

악성 앱이 설치되면 단말 정보, 문자, 사진 같은 개인정보를 빼갈 수 있습니다. 육안으로 가짜 QR인지 구별하기 어렵고, 감염되면 보이스피싱, 몸캠 피싱, 개인정보 불법 판매로 이어질 수 있다고 과학기술정보통신부는 안내했습니다.

피해 건수와 금액 같은 공식 통계는 이 글에서 다루지 않습니다. 최신 통계는 KISA 보호나라 등 관련 기관에서 확인하세요.

큐싱 수법 4가지, 어디에 QR이 숨어 있나요?

정부 자료에서 확인되는 대표 수법은 네 가지입니다. 공통점은 정상으로 보이는 장소나 상황에 가짜 QR을 끼워 넣는다는 것입니다.

1) 공유 킥보드·자전거의 가짜 QR 스티커

공유형 킥보드나 공유자전거에는 이용을 위한 정상 QR코드가 붙어 있습니다. 범인은 그 위에 큐싱 스티커, 즉 가짜 QR코드를 덧붙입니다. 이용자는 평소처럼 찍었다가 악성 앱 설치나 피싱 페이지로 넘어가게 됩니다.

2) 온라인 광고·메일 속 ‘안전거래용 앱’ QR

온라인 광고나 메일 본문에 QR을 넣고 안전거래에 필요한 앱이라고 속여 설치를 유도하는 방식입니다. 거래를 안전하게 해 준다는 말로 안심시키기 때문에 의심 없이 설치하기 쉽습니다.

3) 광고물·이벤트 안내문의 가짜 QR

광고물이나 이벤트 안내문에 가짜 QR코드를 끼워 넣는 수법입니다. 정상적인 홍보물처럼 보이게 만들어 무심코 스캔하게 합니다.

4) 쿠폰·상품권 키워드 스미싱과 QR 공유 기능

KISA 보호나라 2024-12-19 게시 권고에 따르면 「1COUPON」, 「무료쿠폰앱」, 「상품권 증정」 키워드의 스미싱 문자 URL을 누르면 피싱사이트로 연결되고 악성앱 다운로드를 유도합니다. 이 악성앱에는 홍보용 QR코드를 만들어 공유하는 기능이 있어서, 포인트를 받으려고 지인에게 QR 이미지를 공유하면 악성앱이 추가로 퍼질 수 있습니다.

수법	QR이 놓이는 곳	노리는 행동
가짜 QR 스티커	공유 킥보드·공유자전거의 정상 QR 위	스캔 후 악성앱 설치·피싱 접속
안전거래용 앱	온라인 광고, 메일 본문	앱 설치
가짜 이벤트 QR	광고물, 이벤트 안내문	스캔 후 접속
쿠폰앱 QR 공유	스미싱으로 설치된 악성앱의 홍보용 QR	지인에게 QR 이미지 공유

기관 사칭 큐싱은 어떤 방식으로 접근하나요?

KISA 보호나라는 2026-01-10 공지에서 국내외 싱크탱크 직원이나 외교 관련 정부기관 직원을 사칭해 자문이나 설문 명목으로 QR코드 촬영과 접속을 유도하는 큐싱 시도가 탐지됐다고 알렸습니다.

이 QR을 찍으면 스마트폰 권한을 빼앗는 악성앱이 설치되거나, 정상 SNS 로그인 페이지와 비슷한 피싱 페이지로 연결됩니다. 기업 보안시스템이 적용되지 않은 스마트폰을 주로 노린다는 점도 알려졌습니다. 업무 관련 요청이라도 개인 휴대폰으로 QR을 찍으라는 요구는 한 번 더 의심해야 합니다.

QR 찍기 전 확인할 5가지 수칙

정책브리핑이 소개한 확인 수칙은 다음과 같습니다. 모두 스캔 전이나 직후에 몇 초 안에 할 수 있는 일입니다.

1. 출처가 불분명한 QR코드는 스캔하지 않습니다. 출처가 불분명한 발신자의 메일·메시지에 포함된 QR코드는 촬영하지 말라는 것이 KISA 수칙입니다. 과기정통부도 출처가 불분명한 웹사이트나 익명 이메일의 QR코드는 ‘스캔 금지’를 권고했습니다.
2. 공공장소 QR은 위조 스티커 여부를 봅니다. 공유자전거 등에서는 정상 QR 위에 다른 스티커가 덧붙지 않았는지, 가장자리가 들떠 있지 않은지 살펴봅니다.
3. 스캔 후 연결되는 링크(URL)를 확인합니다. 이용하려는 서비스의 주소와 맞는지 보고, 다르면 바로 닫습니다.
4. 개인정보 입력을 요구하면 의심합니다. 로그인 정보나 금융정보를 요구하는 화면은 일단 멈추는 것이 안전합니다.
5. 가능하면 공식 앱·홈페이지에 직접 접속합니다. QR 대신 앱을 열거나 직접 검색해 들어가면 가짜 QR을 거치지 않습니다.

링크를 누르는 습관이 걱정된다면 같은 사이트의 스미싱 링크 눌렀을 때 점검 순서도 함께 알아 두면 좋습니다.

이미 QR을 찍었다면? 감염 의심 시 대처 순서

악성 앱이 설치됐거나 개인정보를 입력했을 수 있다면 아래 순서로 움직입니다. 정부 안내에서 확인된 조치만 모았습니다.

순서	할 일	이유
1	스마트폰을 비행기 모드로 전환	통신을 차단해 정보 유출과 원격 통제를 막기 위해서입니다.
2	모바일 백신으로 악성 앱 삭제	수동 삭제나 서비스센터 방문도 가능합니다.
3	거래 금융회사 영업점 방문 또는 콜센터 연락으로 본인 계좌 일괄 지급정지 요청	금융정보 유출이 의심될 때의 조치입니다.
4	이동통신사의 번호도용문자차단서비스를 무료로 신청	내 번호를 도용한 문자 발송을 막기 위해서입니다.
5	통신사 고객센터에서 모바일 결제 내역 확인, 피해가 있으면 소액결제확인서 발급 등 후속 절차 진행	소액결제 피해를 확인하기 위해서입니다.
6	감염된 기기로 금융거래를 했다면 공동인증서와 보안카드를 폐기하고 재발급	탈취된 인증수단의 악용을 막기 위해서입니다.
7	주변 지인에게 피해 사실을 알림	2차 피해를 막기 위해서입니다.

이미 돈을 송금했다면 경찰청(112)에 신고하고 즉시 지급정지를 신청합니다. 이후 절차는 보이스피싱 피해 대처 순서에서 신고부터 환급까지 이어서 볼 수 있습니다.

의심스러운 QR은 어디에 확인하고 신고하나요?

KISA 보호나라 안내에 따르면 보호나라 카카오톡 채널의 ‘큐싱 확인서비스’로 의심 QR을 신고하고 악성 여부를 판별할 수 있습니다. 스미싱 문자는 같은 채널의 ‘스미싱 확인서비스’를 이용합니다. 이 채널은 KISA 보호나라의 서비스이며, 이 사이트와는 관계가 없습니다.

문의와 상담은 국번 없이 118(한국인터넷진흥원 인터넷침해대응센터)로 하며, 24시간 무료 상담이 가능합니다. 큐싱 의심 QR을 발견했거나 악성 앱 감염이 의심될 때는 사기전화지킴이(경찰청·금융감독원)에 신고할 수도 있습니다.

스미싱 문자는 문자 수신 화면의 ‘스팸으로 신고’를 누르거나, 보이스피싱통합신고대응센터의 스미싱 문자 차단 신고로 신고할 수 있습니다. 자세한 신고 화면과 방법은 해당 기관 안내에서 확인하세요.

정부는 큐싱 예방을 위해 무엇을 하고 있나요?

2024년 10월 24일 정책브리핑에 실린 과기정통부 보도에 따르면, 여성가족부는 전국 1000여 개 청소년수련시설 등에 교육자료와 홍보물을 배포하고, 과기정통부는 5개 국립과학관과 10개 KISA지역정보보호지원센터를 통해 홍보와 온라인 캠페인을 진행한다고 밝혔습니다. 육안으로 가짜 QR을 구별하기 어려워 청소년도 쉽게 속을 수 있다는 점에서, 청소년 대상 교육과 홍보를 중심으로 인식 개선을 하겠다는 취지입니다.

다만 가짜 QR을 일일이 걸러 주는 것은 어렵기 때문에, 결국 이용자가 스캔 전에 한 번 더 확인하는 것이 가장 중요합니다.

자주 묻는 질문

QR코드를 찍기만 해도 휴대폰이 감염되나요?

자료에서는 QR을 스캔하면 악성앱이 실행되거나 설치되어 정보 탈취, 원격 통제, 소액결제 피해가 생길 수 있다고 설명합니다. 그래서 출처가 불분명하면 아예 찍지 않는 것을 권고합니다.

가짜 QR코드는 눈으로 구별할 수 있나요?

육안으로 구별하기 어렵다는 것이 과기정통부의 설명입니다. 공공장소에서는 위에 덧붙인 스티커가 있는지 살피고, 스캔 후에는 연결되는 URL을 확인하세요.

큐싱이 의심될 때 상담은 어디서 받나요?

국번 없이 118(한국인터넷진흥원 인터넷침해대응센터)로 문의하면 되고, 24시간 무료 상담입니다. 보호나라 카카오톡 채널의 ‘큐싱 확인서비스’로 의심 QR을 신고할 수도 있습니다.

이미 개인정보를 입력했다면 어떻게 하나요?

비행기 모드 전환과 악성 앱 삭제를 먼저 하고, 금융정보 유출이 의심되면 금융회사에 본인 계좌 일괄 지급정지를 요청하세요. 명의도용이 걱정되면 명의도용 조회 방법으로 개통·계좌·대출 내역도 확인해 볼 수 있습니다.

큐싱은 QR 그림 하나로 시작되기 때문에 피해자가 위험을 알아채기 어렵습니다. 출처 불분명한 QR은 찍지 않고, 찍기 전 URL과 개인정보 요구를 확인하고, 가능하면 공식 앱이나 홈페이지에 직접 접속하는 세 가지만 지켜도 위험이 크게 줄어듭니다.

의심되는 QR을 이미 찍었다면 비행기 모드부터 켜고 118에 상담하세요. 이 글은 2026년 10월 21일 기준으로 정리했으며, 이후 달라진 서비스나 연락처는 KISA 보호나라 등 해당 기관에서 확인하세요.

요금·제도는 바뀔 수 있으니 이용 전 해당 기관의 공식 안내를 다시 확인하세요.