＜ QR 코드 피싱, 큐싱 ＞

[김영희]

QR 코드에 악성 앱을 설치하여 개인 정보를 빼간다.

☆ QR 코드와 피싱(Phishing)을 조합하여 큐싱(Qshing)이라고 한다.

QR 코드 사기 수법은 온라인과 오프라인에서 기승을 부리고 있다.

☆ QR 코드를 이용한 해킹
요즘 QR 코드를 스캔하면 메뉴, 정보, 인증 등을 쉽게 알 수 있어 많이 사용한다. 이러한 QR 코드를 악용해 바코드 안에 악성 코드나 유해 웹 사이트를 연결하여 기관을 사칭하고 사용자의 금융 정보, 비밀번호, 주민등록번호 등 민감한 개인 정보를 갈취하는 온라인 신종 사기 수법이다.
QR 코드는 눈으로 URL 주소를 미리 확인할 수 없다는 점을 악용한 이 같은 수법이 갈수록 교묘해지고 직접 스캔 전까지는 정상 QR 코드인지 아닌지, QR 코드 발행자가 누구인지를 알 수 없으며, 피싱 페이지로 바로 이동하기 때문에 즉각적인 방어가 어렵다.

진짜 QR 코드와 가짜 QR 코드 구분이 어렵다. 큐싱 예방을 위해서는 출처가 불확실한 QR 코드는 스캔하지 말고, 특히 앱 설치를 요구하는 QR 코드에 접속하는 것은 주의해야 한다.

공공장소에 노출된 QR 코드는 한 번 더 신중히 확인해야 한다. 출입 등록 또는 공유 자전거 등을 이용할 때 가짜 QR 코드가 붙어 있는지 확인해야 한다.

그리고 QR 코드 스캔 시 연결되는 링크 주소가 올바른지 다시 한번 확인하고, QR 코드 접속 후에도 개인 정보를 입력하거나 수상한 앱은 설치하지 않아야 한다.

☆ 공식 홈페이지를 직접 검색하여 접속한다.

☆ 큐싱 사기 진행 절차는 다음과 같다.
1. 금융 범죄자가 스마트폰을 악성코드에 감염시켜 사용자가 정상 금융 사이트에 접속을 시도하더라도 가짜 금융 사이트로 연결되도록 한다.
2. 가짜 금융 사이트에서 추가 인증이 필요한 것처럼 위조하여 QR 코드를 제시하고 이를 통해 악성 앱이 설치되도록 유도한다.
3. 악성 앱을 사용하여 보안 카드, 전화번호, 문자 메시지 등의 정보를 탈취하고 모바일 환경을 조작하여 소액 결제나 자금 이체와 같은 금전적 이득을 위한 금융 사기 피해를 유발한다.
4. 우체국을 사칭한 문자나 안내문에 가짜 QR 코드를 삽입하여 개인 정보나 금융 정보를 탈취하기도 한다.

☆ 대표적인 큐싱 공격 유형
공공·일상 시설 스티커 덮어씌우기:
공유 킥보드, 자전거, 식당 테이블의 주문용 QR, 주차 정산기 등에 해커가 제작한 사기용 QR 스티커를 위에 몰래 덧붙여 놓는 방식이다.

☆ 가짜 안내문 및 과태료 통지서:
차량 유리에 불법주차 위반 과태료 납부 안내문이나 아파트 공지사항 등을 위장해 QR 코드로 즉시 납부나 조회를 유도한다.

☆ 이메일 및 금융기관 사칭:
계정 인증이 필요하다는 내용 또는 보안 업데이트를 진행하라는 내용의 이메일에 QR 코드를 첨부하여 가짜 로그인 페이지로 유인한다.

☆ 무료 아메리카노 제공 등의 이벤트 포스터를 제작해 길거리에 붙여 놓아 QR코드를 스캔하게 하는 방식이다.

☆ 은행, 정부 기관, 포털 사이트와 똑같이 생긴 로그인 화면으로 이동시켜 아이디, 비밀번호, 주민등록번호 등을 갈취한다.

☆ 악성 파일(APK) 자동 다운로드
QR 스캔 즉시 스마트폰에 악성 앱이 설치되어 기기 내의 금융 정보, 연락처, 사진 등을 유출하고 문자나 전화를 해커에게 감청당하게 된다.

☆ 예방 및 대처 가이드라인
URL 주소 재확인:
QR코드를 스캔했을 때 곧바로 이동하지 말고, 화면에 표시되는 웹 주소(URL)가 정식 도메인인지 철저히 확인한다.

오프라인에 부착된 QR 코드가 손으로 만졌을 때 덧붙여진 스티커 형태라면 스캔하지 않는 것이 안전하다.

QR 스캔 후 파일 다운로드나 출처를 알 수 없는 앱 설치를 요구하면 즉시 중단해야 한다.

☆ QR 코드 피싱으로 악성 앱이 설치되었을 때 긴급 조치해야 한다.
즉시 비행기 모드로 전환하거나 와이파이·데이터를 차단하여 해커의 실시간 기기 제어 및 정보 유출을 막아야 한다.

상단 바를 내려 비행기 탑승 모드를 켜거나 Wi-Fi와 모바일 데이터를 모두 끈다. 스마트폰의 통신을 끊어 해커가 기기를 원격 제어하거나 금융 정보를 빼가는 것을 즉시 중단시켜야 한다.

타인의 전화기로 (본인 전화 사용 금지)
경찰청(112) 또는 금융감독원(1332)에 전화하여 피해 사실을 알린다.
이용 중인 은행 고객센터에 연락해 계좌 지급정지 및 비대면 계좌 개설 차단을 신청한다.

☆ 최근 유행하는 피싱 유형
신청하지 않은 신용카드를 배송한다는 연락이 오고 사고 예방 센터로 전화를 유도하는 행위.

수사기관(검찰, 경찰 등)을 사칭하여 범죄에 연루되었다며 비밀 앱(텔레그램 등) 설치를 유도하는 행위.

법원 등기를 배송한다는 연락이 오고 가짜 사이트 접속을 유도하는 행위(QR 코드 인증 유도).

주민센터, 행복복지센터 직원을 사칭하여 타인이 서류를 발급받으러 왔다며 명의도용 방지를 해야 한다고 전화를 유도하는 행위.

대환대출·저금리 대출이 가능하다고 하면서 기존 대출금 상환을 유도한 후 가로채는 행위.

피해지원금·부고장·청첩장·교통범칙금·과태료 부과·경범죄 등 악성코드가 포함된 인터넷 주소가 담긴 문자.

☆ 휴대폰에 개인 정보 보관 금지.
갤러리(사진첩) 또는 메모장에 신분증, 계좌번호, 카드번호, 비밀번호, 인증서 등의 개인 정보가 보관되는 경우 더 큰 피해로 이어질 수 있으므로 삭제하거나 보관하지 않아야 한다.

서대문 시니어 기자 김영희

[강진숙]

요즘 정말 조심해야 할 내용인데 유익한 정보 알려주셔서 감사합니다
앱설치는 신중하게
불분명한 QR코드는 함부로 찍지 않는게 안전하겠네요

[김영희]

네, 맞습니다. 식당의 QR 코드까지 주의해야 하는 상황이 도래하여, 여러모로 어려운 시기가 되었습니다.

[이원옥]

유용한 정보 잘보았읍니다. 수고 하셨어요 조심하고 확인하면서 앱설치를 하고 QR코드 찍을때 불분명한것은 안 찍는것이 현명하겠어요

[김영희]

QR 코드가 편리하고 좋다는 생각을 했는데, 그만큼 나이가 들어감에 점점 적응하기 힘든 세상이 되어간다는 생각도 듭니다.

[권정숙]

요즘은 모든 사이트에 가려면 QR 코드를 인증하지 않으면 이용 자체가 불가능이라서 이를 어쩌죠? 요즘은 페이스 인증까지도 요구하니까요? 김기자님 유익한 정보 잘 이용하겠습니다.

[김영희]

네, 감사합니다.

[황화자]

수법이 다양해진 보이스피싱
꼼꼼히 살펴 보고 앱도 큐알코드도 사용해야 겠어요.
유명인도 똑똑하다고 생각했던 사람들도 사귀에 빠진다 하니 정말 두렵고 무섭네요.
모르면 아무것도 누르지 않고 구식 무식대로 살아감이 제겐 정답같은데 시대흐름에 맞춤도 해야겠고...

제대로 알고 사용하라는 상세한 설명 김기자님 수고 많으셨습니다.

[김영희]

감사합니다.

[윤홍섭]

김기자님의 좋은 정보 세밀하게 알려 주심에 깊은 감사드립니다.

[김영희]

감사합니다.

[은유(이영옥)]

기억은 없어 지는데 휴대폰에 저장도 안 된다니
난감하군~
수고 하셨습니다.

[김영희]

감사합니다.

[박영자]

새로운 정보 자세히
알려주시니 감사합니다