출처가 불분명한 QR코드는 스캔하지 말고, 공공장소에서는 원래 표지 위에 다른 스티커가 덧붙었는지 확인하세요. 스캔 뒤에는 페이지가 열리기 전에 표시되는 주소를 읽고, 앱 설치·신분증·카드·인증번호를 요구하면 즉시 닫습니다.
KISA는 QR코드에 악성앱 설치 주소나 피싱사이트를 넣어 개인정보·인증정보·금전을 탈취하는 공격을 큐싱으로 설명합니다. QR은 주소를 눈에 바로 보여주지 않아 짧은 링크·유사 도메인으로 속이기 쉽습니다. ‘QR이라 공식’이라는 믿음부터 버려야 합니다.
QR의 위치와 요청 행동을 함께 보세요
| QR 상황 | 위험 신호 | 안전한 대안 |
|---|---|---|
| 공유자전거·주차장·메뉴판 | 덧붙인 스티커·훼손 | 운영사 공식 앱에서 장소 검색 |
| 이메일·문자 첨부 QR | 발신자 불명·긴급 로그인 | 기관 대표번호로 확인 |
| 결제 QR | 수취인·금액 불일치 | 결제 앱에서 상호 재확인 |
| 설문·이벤트 QR | 과도한 개인정보·앱 설치 | 공식 홈페이지 행사 공지 |
| 로그인 QR | 도메인 철자·2차 인증 입력 | 서비스 앱에서 직접 로그인 |
스캔 전 3개, 스캔 후 3개를 보세요
- QR이 원래 인쇄물인지 덧붙인 스티커인지 확인합니다.
- 운영기관·매장·행사 공식 홈페이지에 같은 안내가 있는지 봅니다.
- 휴대전화 카메라가 미리 보여주는 URL 도메인을 읽습니다.
- 브라우저가 열린 뒤 주소창의 HTTPS와 정확한 도메인을 다시 확인합니다.
- 앱 설치·원격제어·로그인·인증번호·결제 요구가 나오면 중단합니다.
- 의심 QR은 118 또는 보호나라 카카오톡·통합신고센터 경로로 문의합니다.
QR을 사진으로 받았다고 안전하지 않습니다
KISA는 정부기관·싱크탱크를 사칭한 메일·메시지로 QR 촬영을 유도해 악성앱 설치와 인증정보 탈취를 시도한 사례를 경고했습니다. 발신자 이름과 로고는 복제할 수 있습니다. 중요한 문서 검토나 보안 확인을 이유로 QR만 보내왔다면 기관의 기존 연락처로 담당자에게 확인하세요.
공공장소에서는 물리적 스티커 변조를 봅니다
공유자전거·킥보드·주차·식당 메뉴판처럼 반복 사용되는 QR 위에 가짜 스티커를 붙일 수 있습니다. 인쇄 질감과 모서리, 겹침, 훼손을 확인하고 의심되면 운영사 앱에서 기기번호나 장소를 직접 검색하세요. 스캔 후 결제 수취인명과 상호가 다르면 결제를 중단합니다.
이미 로그인 정보를 넣었다면 계정 탈취 대응으로 전환합니다
피싱 페이지에 아이디·비밀번호·2차 인증을 입력했다면 안전한 기기에서 비밀번호를 바꾸고 동일 비밀번호를 쓰는 다른 사이트도 변경합니다. 모든 세션 로그아웃·복구수단·결제내역을 확인하고 지인에게 계정에서 발송되는 메시지를 믿지 말라고 알립니다. 앱까지 설치했다면 원격제어·악성앱 대응을 함께 진행합니다.
막혔을 때 원인을 이렇게 좁히세요
| 상태 | 먼저 확인할 것 | 공식 복구 경로 |
|---|---|---|
| 스캔 뒤 앱 설치창 | 공식 스토어·개발사 여부 | 창 닫기·118 상담 |
| 로그인 정보를 입력함 | 계정 세션·동일 비밀번호 | 안전한 기기에서 계정 복구 |
| 결제까지 완료 | 수취인·거래번호 | 결제기관·금융회사·112 |
| 공공장소 가짜 QR 의심 | 스티커·기기번호 | 운영사·시설 관리자·118 |
개인정보·사칭 방지 체크
- QR로 열린 페이지에서 APK·프로파일·원격제어 앱을 설치하지 않습니다.
- 짧은 주소는 최종 도메인을 확인하기 전 로그인하지 않습니다.
- 결제 수취인명과 실제 상호가 다르면 중단합니다.
- 의심 QR을 다른 사람에게 ‘확인해 달라’며 재전송하지 않습니다.
자주 묻는 질문
HTTPS 자물쇠가 있으면 안전한가요?
아닙니다. 피싱 사이트도 HTTPS를 사용할 수 있어 정확한 도메인과 운영 주체를 함께 봐야 합니다.
공공기관 로고가 있으면 믿어도 되나요?
로고는 복제할 수 있습니다. 공식 홈페이지 공지와 대표번호로 확인하세요.
QR을 스캔만 하고 아무것도 입력하지 않았습니다
페이지를 닫고 다운로드·앱 설치·권한 허용이 없었는지 확인하세요. 의심되면 118에 상담하세요.
어디에 신고하나요?
KISA는 118, 보호나라 카카오톡의 스미싱·큐싱 메뉴, 전자통신금융사기 통합신고대응센터를 안내합니다.
이 글 다음에 확인할 곳
작성·검증 정보
- 작성·검토: Issuemaker 편집 데스크
- 검증 기준일: 2026년 7월 27일
- 다음 재검토일: 2026-09-27
- 발행 상태: 로컬 콘텐츠 원고 완성, 대표 이미지·독립 발행 QA 대기