한때 물류 환경에서만 사용되던 기술적 자원이 스페인에서는 일상생활의 필수 요소가 되었습니다. 바로 QR 코드 , 즉 메뉴를 보거나, 주차 요금을 지불하거나, 이벤트에 참여하거나, 바의 와이파이에 접속하기 위해 매일 스캔하는 흑백 패턴의 정사각형 이미지입니다. 하지만 이러한 편리함에는 단점도 있습니다. QR 코드를 쉽게 생성하고 사용할 수 있다는 점 때문에 그 인기를 악용하는 새로운 사기 수법이 생겨나고 있는 것입니다.
2020년에는 모든 것이 급변했습니다. 코로나19 팬데믹이 닥치면서 기업들은 빠르게 적응해야 했고, QR 코드를 통해 종이 없는 비접촉식 메뉴를 제공하는 지름길을 찾았습니다. 이러한 습관의 변화는 지속될 것이며, 오늘날 QR 코드는 외식업계뿐 아니라 결제, 디지털 티켓, 행정 절차, 심지어 긴 비밀번호를 입력하지 않고 Wi-Fi에 접속하는 데까지 사용되고 있습니다. 하지만 시간이 흐르면서 QR 코드는 사이버 범죄자들에게 매력적인 공격 대상이 되었고, 이들은 QR 리싱이라는 새로운 공격 방식을 개발했습니다 . 이러한 공격의 가장 취약한 부분은 대개 사용자의 조급함입니다.
QR 코드란 무엇이며 어떻게 작동하나요?
QR 코드(Quick Response code)는 정보를 2차원적으로 저장하는 광학 태그입니다. 데이터를 한 방향으로만 저장하는 기존 바코드와 달리, QR 코드는 격자 구조 내에 데이터를 가로 및 세로 방향으로 분산하여 저장합니다. 이러한 구조 덕분에 동일한 공간에 훨씬 더 많은 정보를 담을 수 있으며, 부분적인 손상이나 작은 얼룩이 있더라도 판독이 가능한 오류 수정 시스템을 갖추고 있습니다.
QR 코드 생성 과정은 간단합니다. 생성기가 원하는 콘텐츠(URL, 텍스트, 전화번호 또는 Wi-Fi 연결 데이터)를 비트로 변환하고, 이를 격자에 배치한 다음, 카메라가 방향을 잡을 수 있도록 세 모서리에 사각형을 추가합니다. 이러한 간편한 생성 방식 덕분에 QR 코드 사용이 급증했지만, 기술적 지식 없이도 악의적인 목적으로 QR 코드를 만들 수 있는 가능성도 열렸습니다.
QR 코드의 가장 일반적인 유형으로는 정적 QR 코드와 동적 QR 코드가 있습니다. 정적 QR 코드는 정보를 고정된 형식으로 저장하므로 콘텐츠를 변경해야 하는 경우 새 코드를 생성하여 다시 배포해야 합니다. 이는 일련 번호나 일회성 등록 정보처럼 변경되지 않는 데이터에 유용합니다. 반면 동적 QR 코드는 짧은 리디렉션을 통해 작동합니다. QR 코드가 수정 가능한 중간 주소를 가리키므로 인쇄 후 목적지를 변경하더라도 다시 인쇄할 필요가 없습니다. 레스토랑이나 상점에서는 매주 새 코드를 생성하지 않고도 메뉴나 프로모션을 업데이트할 수 있기 때문에 이 방식을 선호합니다.
어두운 면: QRishing은 이렇게 작동합니다.
문제는 사이버 범죄자들이 QR 코드를 사기 행위에 완벽한 수단으로 이용하기 시작하면서 발생했습니다. QR리싱 은 기존 피싱의 변형으로, 공격자가 가짜 코드를 인쇄하여 합법적인 코드 위에 붙이거나 주차 미터기, 주차 표지판, 벽, 게시판 등 공공장소에 부착하는 방식입니다. 피해자가 이 코드를 스캔하면 회사, 은행 또는 공식 기관을 사칭하는 사기 웹사이트로 연결되어 비밀번호, 개인 정보 또는 금융 정보를 탈취하려는 목적이 됩니다.
가장 흔한 수법 중 하나는 식당 테이블이나 주차 요금 안내판 등에 있는 QR 코드 위에 스티커를 붙이는 것입니다 . 만약 QR 코드가 벗겨지거나, 위치가 어긋나거나, 인쇄 품질이 다른 부분과 다르다면 스캔하지 않는 것이 좋습니다. 또한, "배송 확인"이나 "배송 추적"을 위한 QR 코드가 적힌 택배가 집으로 배송되는 경우도 있는데, 실제로는 사기 웹사이트로 연결되는 경우가 많습니다. WhatsApp 메시지를 통해 기기 연결을 위해 코드를 스캔하라는 메시지를 보내지만, 실제로는 제3자에게 계정 접근 권한을 부여하는 것도 스페인을 비롯한 유럽에서 흔히 사용되는 사기 수법입니다.
연휴 시즌은 위험을 크게 증가시킵니다. 전문가들은 연말 결산 절차와 채용이 겹치는 8월에 사이버 범죄자들이 여행 업계 전반으로 공격 범위를 확대한다고 경고합니다. "긴급" 메일을 통한 항공권 발송, 예약 플랫폼 사칭, 지연이나 미납 요금에 대한 사기성 환불 등이 그 예입니다. 또한, 음성 사칭(비싱) 수법은 인공지능 기반 음성 복제 기술을 이용해 직원들을 속여 송금이나 계좌 이체를 유도하는 방식으로 진화했습니다. 이러한 경우 전문가들은 긴급 전화나 메시지를 받았을 때는 반드시 의심하고, 다른 경로를 통해 발신처를 확인한 후 조치를 취해야 한다고 강조합니다.
QR 코드를 스캔하기 전에 가짜인지 구별하는 방법
스페인 국립 사이버보안 연구소(INCIBE)는 이 문제에 대해 오랫동안 경고해 왔습니다. 가장 중요한 권장 사항은 URL을 열기 전에 미리 확인하는 것 입니다 . 안드로이드와 아이폰 모두에서 코드를 스캔한 후 목적지 주소가 표시되므로 몇 초 정도 시간을 내어 검토하세요. 도메인이 회사 공식 명칭과 일치하지 않거나, 오타나 이상한 문자가 있거나, 단축 링크인 경우 클릭하지 않고 바로 나가는 것이 좋습니다.
또 다른 위험 신호는 휴대폰에서 APK 파일을 다운로드하라는 메시지가 나타나는 경우입니다. 특히 안드로이드 기기에서는 악성코드가 설치될 수 있어 매우 위험합니다. 또한 페이지를 열자마자 비밀번호나 은행 정보를 입력하라는 메시지가 뜨는 경우에도 주의해야 합니다. 정상적인 웹사이트는 QR 코드를 통해 처음 방문할 때 이러한 정보를 요구하는 경우가 드뭅니다.
전문가들이 거듭 강조하는 실용적인 팁은 다음과 같습니다.
- 신뢰할 수 있는 출처의 코드만 스캔하고, 가급적 고정된 위치에 있는 코드만 스캔하며, 스티커에 붙은 코드는 스캔하지 마십시오.
- 링크를 열기 전에 웹 주소를 확인하고 링크 단축 서비스를 신뢰하지 마세요.
- 스캔할 때는 타사 앱 대신 스마트폰의 기본 카메라를 사용하세요.
- 사이트에서 조금이라도 의심스러운 점이 있다면 개인 정보나 은행 정보를 입력하지 마세요.
- 휴대전화의 운영체제와 애플리케이션을 최신 상태로 유지하세요.
의심스러운 코드를 스캔하여 익숙하지 않은 웹사이트에 접속했다면, 가장 먼저 해야 할 일은 해당 웹사이트를 즉시 닫는 것입니다. 비밀번호를 입력했다면, 해당 서비스 공식 웹사이트에서 최대한 빨리 비밀번호를 변경하고 2단계 인증을 활성화하세요. 출처를 알 수 없는 앱을 다운로드했다면 삭제하고 기기에서 보안 검사를 실행하세요. 또한, 연결된 은행 계좌의 거래 내역을 확인하고, 의심스러운 거래가 발견되면 은행에 연락하여 카드를 정지시키는 것이 좋습니다. 신속하게 대처하면 큰 피해를 예방하고 단순한 불편함으로 끝나지 않을 수 있습니다 .
사기 문제 외에도 QR 코드에는 긍정적인 측면이 있습니다.
위험성에도 불구하고 QR 코드를 무조건 악마화해서는 안 됩니다. QR 코드는 기업과 정부 기관에 유용하고 경제적이며 활용도가 매우 높은 도구로 남아 있습니다 . QR 코드를 통해 비밀번호 입력 없이 문서와 동영상 접근, 결제, 디지털 티켓, 박물관 정보, 위치 공유, Wi-Fi 연결 등이 가능합니다. 종이 문서에서 모바일로의 간편한 전환 덕분에 팬데믹 이후에도 QR 코드는 우리 일상생활의 필수적인 부분으로 자리 잡았습니다. 중요한 것은 현명하게 사용하고 사이버 보안 전문가들이 자주 강조하는 조언을 따르는 것입니다. 즉, 충동적으로 행동하지 말고 모든 조치를 취하기 전에 항상 채널을 확인해야 합니다.
그러니 다음에 길거리, 택시, 또는 술집에서 QR 코드를 스캔할 때는 잠시 시간을 내어 기기와 연결된 웹사이트 주소를 꼼꼼히 살펴보세요. 기술 발전으로 웹페이지를 여는 데 걸리는 시간이 1초도 되지 않지만, 이처럼 빠른 속도는 사기꾼들에게도 유리하게 작용합니다. 조금만 주의를 기울인다면 QR 코드는 우리의 개인 정보를 위험에 빠뜨리지 않고도 우리의 삶을 편리하게 해주는 도구로 계속 사용될 것입니다.
