2026 QR코드 사기 구별법: 주차장·식당·택배 QR '3단계 확인'과 스캔 후 대처

1. QR코드 사기 '큐싱'은 무엇이 다른가

큐싱(Qshing)은 QR코드와 피싱(Phishing)을 합친 말로, QR코드를 통해 이용자를 가짜 사이트나 위험한 동작으로 유도하는 수법을 가리킵니다. 문자메시지의 위험한 링크를 직접 눌러야 하는 스미싱과 달리, 큐싱은 종이 안내문·스티커·사진·택배 동봉물 등 실제 물건을 출발점으로 삼을 수 있다는 점이 특징입니다.

QR코드 자체는 주소·문자 등의 정보를 담는 방식입니다. 문제는 그 내용을 누가 만들고 어디에 붙였는지, 열었을 때 무엇을 요구하는지입니다. KISA는 큐싱 QR코드를 통한 악성 앱 감염과 개인정보 유출 등 2차 피해를 경고합니다. 경찰청 역시 QR코드를 악용한 피싱 피해를 안내하고 있습니다.

공식 근거: KISA — 스미싱·큐싱 공격 대응, 경찰청 — QR코드 범죄 큐싱 사기 주의보.

2. 가장 먼저 보는 '3단계 확인법'

스캔할 때 확인해야 할 것은 예쁜 디자인이나 안내문의 로고보다 QR이 놓인 맥락과 실제 연결 지점입니다.

어느 한 단계라도 의심스럽다면 QR 링크로 계속 진행하지 말고, 현장 직원·공식 앱·직접 알고 있는 홈페이지·공식 고객센터로 경로를 바꾸는 것이 좋습니다.

미국 FTC는 2026년 9월 공개한 안내에서 주차요금 결제용 QR 위에 가짜 QR 스티커를 덧붙인 신고 사례를 설명하며, 연결 주소를 확인하고 기기와 계정을 보호하라고 권고했습니다.

공식 근거: FTC — 주차장 QR코드 사기 주의(2026.9.3).

3. 1단계: 진짜 안내문처럼 보여도 부착 상태를 살펴보기

예를 들어 주차장 요금 안내판에 QR코드가 있다고 가정해 봅시다. 그 위에 다른 QR이 인쇄된 작은 스티커가 덧붙어 있고 모서리가 떠 있다면 원래 운영자가 붙인 것인지 확인할 필요가 있습니다. 반대로 스티커가 깔끔하다고 안전하다고 판단해서도 안 됩니다. 운영자가 정상적으로 새 스티커를 붙였을 수도, 공격자가 티 나지 않게 바꿨을 수도 있기 때문입니다.

실제로 의심할 만한 사례를 정리하면 다음과 같습니다.

• 주차장: 요금 정산 안내가 QR 결제로 바뀌었다며 별도 사이트에서 카드번호를 요구하는 경우.
• 식당: 테이블 메뉴 QR 위에 다른 QR 스티커가 덧씌워져 있고 주문 전에 낯선 앱 설치를 요구하는 경우.
• 학교·행사: 단체 안내문처럼 보이지만 주최 측에서 안내한 공식 페이지와 연결 주소가 다른 경우.
• 택배: 주문하지 않은 물건에 발신자 정보 없이 '누가 보냈는지 확인' QR만 있는 경우.

FBI는 2025년 7월, 주문하지 않은 택배에 QR코드를 넣어 개인정보·금융정보 입력이나 악성 프로그램 다운로드로 유도하는 사례를 경고했습니다. 이를 보고 모든 출처 불명의 택배에 반드시 악성 QR이 있다고 단정해서는 안 되지만, 불필요한 확인을 위해 QR을 스캔하지 않는 편이 안전합니다.

공식 근거: FBI — 주문하지 않은 택배의 QR코드 사기 경고(2025.7.31).

4. 2단계: QR 스캔 뒤 링크를 바로 누르지 않기

스마트폰의 기본 카메라 앱에서는 QR코드를 인식해 연결 링크를 보여줄 수 있습니다. 주소를 미리 살펴보고, 확신이 없으면 누르지 않는 것이 핵심입니다.

갤럭시에서 확인하는 방법

1. 기본 카메라 앱을 열어 QR코드를 화면에 맞춥니다.
2. 자동 인식이 되면 표시되는 정보 또는 링크를 확인합니다.
3. 기종에 따라 상단 빠른 설정창의 'QR 코드 스캔' 기능을 사용할 수 있습니다.
4. 연결 주소가 예상한 공식 서비스인지 확인하기 전에는 웹페이지 이동·설치를 진행하지 않습니다.

삼성의 공식 커뮤니티 카메라 안내에 따르면 카메라 설정의 'QR 코드 스캔' 여부와 기종 지원 범위에 따라 이용 방식이 달라질 수 있습니다. QR이 보였다고 해서 반드시 URL만 들어 있는 것도 아닙니다. 문자·숫자 또는 앱 전용 기능을 담을 수 있습니다.

공식 근거: Samsung Members — Galaxy Camera QR 코드 스캔 FAQ.

아이폰에서 확인하는 방법

1. 아이폰의 카메라 앱을 엽니다.
2. QR코드를 카메라 화면에 맞춥니다.
3. 인식된 QR의 링크 안내를 확인합니다.
4. 예상하지 못한 주소라면 링크를 누르지 않습니다.

아이폰에서는 제어 센터에 '코드 스캐너'를 추가해 사용할 수도 있습니다. 메뉴 배치와 미리보기 표현은 iOS 버전에 따라 달라질 수 있습니다.

공식 근거: Apple — iPhone 또는 iPad로 QR 코드 스캔하기.

중요: 일부 앱은 인식 후 외부 링크나 특정 동작으로 빠르게 넘어갈 수 있습니다. 주소를 사전에 살펴보기 어려운 상황이라면 무리하게 확인하려고 하기보다 공식 앱을 별도로 열거나 직접 입력한 주소를 이용하세요.

5. 주소에서 진짜 확인해야 할 것은 '사이트 이름의 위치'

다음 주소는 구조를 설명하기 위한 가상 예시이며 실제 피해 사이트가 아닙니다.

'HTTPS'나 자물쇠 표시만으로 공식 사이트임을 보증할 수는 없습니다. HTTPS는 연결 보호를 위한 기술이지 사이트 운영자가 진짜 업체라는 완전한 신원보증이 아니기 때문입니다.

예를 들어 주차장 사업자가 평소 쓰는 도메인을 알고 있다면 그 주소를 직접 입력하거나, 공식 앱에서 주차비를 확인해 보세요. 링크에서 이름이 비슷하다는 이유만으로 로그인하거나 결제하지 마세요.

FTC는 오타나 글자 바꿔치기를 확인하고, 예상하지 못한 QR코드에는 주의하라고 권고합니다.

공식 근거: FTC — QR코드로 위험한 링크를 숨기는 사기.

6. 3단계: 사이트가 요구하는 '행동'을 확인하기

같은 QR이라도 연결된 화면에서 무엇을 요구하는지에 따라 위험이 달라집니다.

특히 '지금 인증하지 않으면 계정이 정지된다', **'즉시 결제하지 않으면 벌금이 붙는다'**처럼 당장 행동하도록 압박하는 문구는 확인을 서두르도록 만드는 수법일 수 있습니다.

단, 합법적인 QR 결제 서비스도 로그인·결제를 요구할 수 있습니다. 따라서 로그인이나 결제가 나타났다는 이유만으로 사기라고 단정하지 말고, 그 요청이 예상한 서비스에서 이루어지는지 독립적으로 확인해야 합니다.

공식 근거: FTC — QR 피싱 방식과 예방법, FTC — 2026년 주차장 QR코드 경고.

7. QR코드를 이미 스캔했다면? '어디까지 했는지'로 대응 구분

QR 스캔 직후 모두 같은 대응을 할 필요는 없습니다. 스캔만 했는지, 사이트를 열었는지, 정보를 입력했는지, 앱을 설치했는지, 돈을 보냈는지를 구분하면 필요한 조치를 더 정확히 결정할 수 있습니다.

A. 카메라에 QR을 비췄지만 링크를 누르지 않은 경우

• 화면에 나온 링크가 의심스럽다면 닫습니다.
• 자동 이동·다운로드·앱 설치 등 다른 동작이 발생했는지 확인합니다.
• 낯선 앱이나 권한 허용이 없고 추가 행동도 하지 않았다면, 그 사실만으로 계정이 탈취됐다고 단정할 근거는 없습니다.

B. 링크를 열었지만 아무것도 입력하거나 설치하지 않은 경우

• 페이지를 닫고, 링크를 다시 누르지 않습니다.
• 운영체제와 브라우저 업데이트 상태를 확인합니다.
• 예기치 않은 다운로드·권한 요청·기기 이상이 있었는지 살펴봅니다.
• 로그인·결제·설치가 없었다면 피해 가능성은 다르게 평가해야 하며, 무조건 휴대폰을 초기화할 사안으로 볼 필요는 없습니다.

단, '클릭만 했으니 100% 안전'이라고 보증할 수도 없습니다. 취약한 앱이나 기기의 상태에 따라 위험은 달라질 수 있습니다.

C. 아이디·비밀번호를 입력한 경우

• QR 링크를 통한 페이지가 아닌, 직접 찾은 공식 앱 또는 공식 홈페이지로 들어갑니다.
• 해당 계정의 비밀번호를 즉시 바꾸고 가능하면 다중인증을 확인합니다.
• 같은 비밀번호를 사용하는 다른 계정도 변경합니다.
• 로그인 기록과 연결된 기기·세션을 확인해 의심스러운 접근을 차단합니다.

D. 인증번호·금융정보를 입력하거나 돈을 보낸 경우

• 즉시 금융회사 또는 카드사에 연락해 거래 확인, 지급정지·카드 사용정지 등 가능한 긴급 조치를 문의합니다.
• 실제 피해가 발생했다면 경찰에 신고하고 거래 시각·금액·계좌·페이지 주소 등 증거를 보존합니다.
• OTP·인증번호가 어디에 입력됐는지 금융회사에 설명합니다.
• 어떤 정보가 유출됐는지에 따라 신분증·결제수단·계정 보호 조치는 달라질 수 있습니다.

E. 외부 앱을 설치하거나 과도한 권한을 허용한 경우

• 의심 앱과 권한 상태를 확인하고, 안전한 기기에서 중요한 계정을 보호합니다.
• KISA 118을 통해 악성 앱·큐싱 의심 상황을 상담합니다.
• 모바일 백신 점검과 공식 안내에 따른 조치를 우선합니다. 위험이 크거나 기기 조작이 의심된다면 전문가와 데이터 보존·초기화 여부를 상의합니다.

KISA는 피싱 의심 링크에 대한 주의, 악성 앱 설치 의심 시 모바일 백신 점검, 118 신고를 안내합니다.

공식 근거: KISA 보호나라 — 피싱·스미싱 주의 및 대응, FTC — 이미 QR 사기를 당했다면.

8. 출처 불명 QR 사진을 친구에게 보내서 확인해 달라고 해도 될까

추천하지 않습니다. '이거 수상한 QR인가?'라며 불특정 다수에게 이미지를 전달하면 상대방이 무심코 스캔해 피해에 노출될 수 있습니다. 신고에 필요한 증거는 보관하되, 일반 메신저방에 QR 이미지를 확산하기보다 공식 신고 채널을 이용하세요.

KISA가 안내하는 큐싱·스미싱 상담 경로는 다음과 같습니다.

• 국번 없이 118: 스미싱·큐싱 등 인터넷 보안 관련 상담
• 카카오톡 '보호나라' 채널: 스미싱/큐싱 관련 메뉴 확인
• 전자통신금융사기 통합신고대응센터: 관련 신고 안내 확인 — counterscam112.go.kr

신고하려는 QR이 오프라인 안내판에 붙어 있다면, 본인의 안전을 확보한 범위에서 위치·사진·발견 시간을 기록하고 관리 주체에도 알려주세요. 본인이 가짜라고 단정해 시설물의 스티커를 임의로 뜯거나 다른 안내를 붙이지 않는 편이 좋습니다.

공식 근거: KISA — 큐싱 공격 대응 및 신고 경로.

9. 상황별 '스캔 대신 이렇게' 빠른 대응표

이 표는 QR 이용을 금지하는 규정이 아니라, 독자에게 확인 가능한 다른 경로를 제안하는 실무용 표입니다. 실제 서비스가 QR만 지원할 수 있으므로 직원 또는 공식 고객센터의 안내를 따르세요.

10. 자주 묻는 질문

Q1. QR코드를 스캔하는 것만으로 휴대폰이 해킹되나요?

모든 QR 스캔이 곧 해킹으로 이어지는 것은 아닙니다. 일반적으로 위험은 링크 접근, 개인정보 입력, 악성 앱 설치, 권한 허용 등 이후의 행위와 기기 보안 상태에 따라 달라집니다. 다만 자동 실행 동작이나 취약점 가능성까지 0이라고 단정할 수 없으니 출처를 확인하는 습관이 필요합니다.

Q2. 주소 옆에 자물쇠가 있으면 안전한가요?

그것만으로는 충분하지 않습니다. HTTPS는 연결을 보호하는 데 의미가 있지만, 가짜 사이트도 HTTPS를 사용할 수 있습니다. 반드시 운영 주체와 실제 도메인을 확인하세요.

Q3. 단축 주소가 나오면 전부 사기인가요?

아닙니다. 정당한 서비스도 단축 링크를 이용합니다. 다만 최종 연결 주소가 확인되지 않는 상태에서 로그인이나 결제를 바로 진행하지 않는 것이 안전합니다.

Q4. 식당 테이블에 붙은 QR이라면 공식 코드 아닌가요?

직원이 붙였다고 확인한 QR일 수 있지만, 공용 장소에서는 제3자가 안내를 바꿀 가능성도 있습니다. 겉모습만으로 안전을 보증하지 말고 주문 화면의 도메인과 결제 경로를 확인하세요.

Q5. QR 사기 신고를 어디에 해야 하나요?

국내에서는 KISA 118 및 카카오톡 보호나라의 스미싱/큐싱 메뉴를 이용할 수 있습니다. 실제 금전 피해가 발생했다면 금융회사에 긴급히 연락하고 경찰 신고도 진행하세요. 상황에 따라 필요한 조치가 다릅니다.

결론: QR을 스캔하기 전 '세 가지 질문'만 기억하세요

1. 장소: 누가 붙였으며 원래의 공식 안내가 맞는가?
2. 주소: QR에 들어 있는 링크가 실제 공식 서비스와 일치하는가?
3. 행동: 열자마자 비밀번호·인증번호·앱 설치·송금을 요구하지 않는가?

QR코드는 편리한 이동 수단이지 신뢰를 보증하는 인증서가 아닙니다. 의심스러울 때 링크 대신 공식 앱·직접 입력한 홈페이지·현장 직원으로 돌아가는 습관이 피해를 예방하는 가장 실용적인 출발점입니다.

자료 확인일: 2026년 11월 1일. 이 원고는 정부·공공기관 및 제조사 안내를 바탕으로 새로 구성했습니다. '3단계 확인법', 상황 비교표, 스캔 이후 행동별 대응표는 이해를 돕기 위한 독자용 정리이며, 기종·OS 버전·서비스 정책과 실제 피해 상황에 따라 대응이 달라질 수 있습니다.

공식 참고 자료

• 한국인터넷진흥원 — 스미싱·큐싱 공격 대응
• 경찰청 — QR코드 범죄 큐싱 사기 주의보
• FTC — QR코드로 위험한 링크를 숨기는 사기
• FTC — 주차장 QR코드 사기 주의(2026년)
• FBI — 주문하지 않은 택배 QR코드 사기 경고
• Apple — QR코드 스캔하기
• Samsung Members — 갤럭시 QR코드 스캔