최근 새로운 유형의 사기가 발생하고 있다! 가짜 QR 코드로 인한 손실!
QR코드를 악용한 금융 사기 문제가 최근 국정 감사에서 도마 위에 올랐다. 지난 6일 국회 과학기술정보방송통신위원회 국정 감사에서 이정헌 더불어민주당 의원은 한국인터넷진흥원(KISA)의 큐싱(Quishing) 확인 서비스 요청 건수가 올해 4월 45건에서 5월 98건, 6월 166건으로 늘었다고 지적했다.
특히, 한국인 여행객들이 많이 찾는 중국에서는 위챗페이와 알리페이 등 QR코드 기반 간편결제가 보편화돼 있다. 국내에서 발급받은 신용카드를 연동해 현지에서 결제할 수 있어 한국인 여행객들도 이용하고 있다.
범죄자가 결제를 기다리는 이용자의 스마트폰 화면을 뒤에서 고화질 스마트폰이나 망원 카메라로 몰래 촬영한 후 촬영한 결제 코드를 공범에게 즉시 전송하고, 공범이 유효 시간인 30~60초가 지나기 전에 다른 계산대나 무인 키오스크에서 스캔해 부정결 제를 시도하는 수법이다.
플랫폼들은 짧은 유효 시간과 화면 캡처 방지 기술 등을 적용하고 있지만 이러한 공격 가능성을 완전히 배제하기는 어렵다는 점을 이용하고 있다.
15,000원 주차 요금을 결제 하려던 한 시민이 150,000원의 손실을 입었다. 또한 QR 코드 추가 인증을 가장한 35만 원 상당의 사기 사건이 금융감독원에 신고되었다. 한국을 비롯한 여러 국가에서 자동 주차 요금 결제기 및 공공 결제 기기의 실제 QR 코드를 가짜 스티커로 덮어 씌우는 새로운 사기 수법이 보고되고 있다.
스마트폰 카메라만 켜면 별도의 주소 입력 없이 원하는 사이트로 이동할 수 있어 편리한 QR코드, 우리가 무심코 스캔하는 QR코드가 개인정보를 탈취하거나 금융사기로 연결되는 통로가 되고 있다는 사실이다.
정상적인 QR코드 위에 가짜 QR코드 스티커를 붙이거나, 택배 안내문과 이벤트 홍보물에 악성 링크를 삽입하는 방식의 사기 수법도 알려지고 있는데, 이처럼 QR코드를 이용해 악성 사이트로 유도하는 피싱 공격을 '큐싱(Qshing)'이라고 부른다.
큐싱은 인터넷 안에서만 벌어지는 범죄가 아니다. 거리의 안내판과 우편물, 주차장과 킥보드, 택배 상자와 식품 포장까지 우리가 실제로 보고 만지는 공간이 범죄의 무대가 되고 있다. 스마트폰이 일상의 모든 공간과 연결되면서 범죄 역시 그 연결을 따라 확장되는 것이다.
그렇다고 QR코드를 무조건 피할 수는 없다. QR코드는 분명 편리하고 유용한 기술이고, 앞으로도 우리 일상에서 계속 쓰일 것이다. 중요한 것은 ‘찍느냐, 마느냐’가 아니라 찍기 전후로 ‘한 번 더 확인하는 습관’이다.
공공장소에서 QR코드를 발견했다면 누가 설치한 것인지, 기존 QR코드 위에 새 스티커가 덧붙어 있지는 않은지 살펴야 한다. 촬영한 뒤에는 연결된 주소가 실제 기관이나 업체의 공식 사이트인지 확인할 필요가 있다.
특히 메뉴나 배송 정보가 아닌 금융 정보, 인증 번호를 요구하거나 출처가 불분명한 앱 설치를 유도한다면 즉시 멈춰야 한다. 원래 이용 하려던 서비스와 무관한 것을 요구한다면 그 자체가 위험 신호다. 사기 예방의 핵심은 모든 위험이 정상적인 상황과 다르다면 곧바로 행동을 멈추는 것이다.
QR코드를 찍는 데는 1초도 걸리지 않지만, 그 짧은 행동이 개인정보와 금융 정보를 빼앗기는 출발점이 될 수 있다. 찍기 전 단 1초만 멈춰 ‘누가 만든 QR코드인지, 왜 지금 이걸 찍어야 하는지’ 스스로에게 묻는 것. 그 작은 의심 하나가 가장 강력한 보안 장치가 될 수 있다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}
