- 공유 모빌리티·주차·방역 QR코드 위에 악성 코드를 숨기는 정교한 위협
| 항목 | 내용 |
|---|---|
| 리포트 ID | CTI-2026-0612-QSHING |
| 발행일 | 2026-06-12 |
| 분류 | TLP:GREEN |
| 심각도 | MEDIUM — 대중적 노출도는 높으나 공격 시나리오에 사용자 인식 필요 |
| 신뢰도 | HIGH (다수 국내 매체·보안 업체 동향 자료 기반) |
| 위협 행위자 | 불특정 다수의 피싱 범죄 조직 |
| 관련 ATT&CK 기법 | T1566 (피싱), T1204 (사용자 실행) |
| 참고 자료 | 데일리시큐, 트렌드마이크로, KISA |
| 작성자 | Dennis Kim |
Key Judgments — 핵심 판단
- (HIGH) '큐싱(Qshing)'은 QR코드와 피싱(Phishing)의 합성어로, 해커가 정상 QR코드 위에 악성 URL이 담긴 투명 필름 스티커를 부착하는 신종 수법이다. 중국에서 시작하여 대만, 동남아를 거쳐 한국에 상륙했다.
- (MEDIUM) 국내에서는 공유 모빌리티(전동킥보드·따릉이)의 QR코드, 주차 딱지, 방역 패스 확인용 QR코드 등 일상 전반에서 큐싱 공격이 포착되고 있다
- (HIGH) QR코드 스캔 시 가짜 웹사이트로 연결되어 개인정보·금융정보 탈취, 또는 악성 앱(APK) 자동 설치 피해가 발생할 수 있으며, 공유 모빌리티 과금 체계 특성상 인증 정보 또한 위험에 노출된다.
- (MEDIUM) KISA는 '스미싱·큐싱 공격 대응' 전용 페이지를 운영하며 예방 수칙을 지속적으로 홍보하고 있다. 보안 관계자는 "모바일 보안 앱·스미싱 탐지 앱 설치 후 최신 버전을 유지하는 것이 가장 효과적인 예방 수단"이라고 강조했다.
사실 개인이 이를 확실하게 피할 방법은 많이 없다. 다른 해킹의 게이트웨이 역활을 하고 있다.
§1. 사건 개요 — 일상 속 QR코드 위장 공격의 등장
'큐싱'은 QR코드의 높은 편의성을 역이용한 신종 사이버 공격 수법이다. 공격자는 공유 모빌리티 기기의 정상 QR코드 위에 매우 얇은 투명 필름 스티커를 정교하게 덧붙인다. 이용자가 QR코드를 스캔하면 공격자가 설정한 피싱 사이트로 접속되거나, 기기에 악성 앱이 자동으로 다운로드 및 설치된다. 이는 기존의 인터넷 주소(URL) 변조 방식과 달리 물리적 QR코드 자체를 위조한다는 점에서 탐지가 매우 어렵다. 또한 공유 모빌리티 과금 체계의 특성상 이용자의 결제 정보·인증 정보가 연결되어 있어, 피해 발생 시 금전적 손실로도 직결될 수 있다.
§2. 공격 시나리오 분석
① 공유 모빌리티 위장 큐싱
- 표적: 전동킥보드·공유 자전거(따릉이)·카셰어링 등 QR코드로 대여하는 공유 서비스 전반.
- 공격 방식: 정상 대여용 QR코드 위에 악성 URL이 삽입된 투명 필름 스티커를 부착. 이용자가 기기의 QR코드를 인식하면 피싱 사이트로 연결되며, 이용자의 로그인 정보 및 결제 정보를 요구하거나 악성 앱을 강제 설치한다.
- 위험성: 공유 모빌리티는 과금 체계가 이용자 계정에 직접 연동되어 있어, 로그인 정보 탈취 시 바로 결제 정보가 노출될 수 있으며, 대리 결제나 계정 도용으로 이어질 가능성이 높다.
② 주차 딱지 위장 큐싱
- 표적: 차량 주차 시 부착된 딱지 형태의 QR코드.
- 공격 방식: 주차 위반 딱지 등 관공서 발행 서식을 모방한 QR코드 스티커를 차량 유리창에 부착. 호기심이나 불안감에 QR코드를 스캔하도록 유도한다.
- 위험성: QR코드 스캔 시 금융 정보 입력을 요구하는 피싱 사이트로 접속되며, 보안에 취약한 이용자일수록 쉽게 피해를 입을 수 있다.
§3. 대응 권고 및 예방 수칙
📌 이용자 행동 요령
스캔 전
- QR코드의 물리적 상태 확인: 스티커 겹침, 기존 QR코드와의 질감 차이, 비정상적 이물질 부착 여부 확인
- QR코드 원본 여부 의심: 공유 모빌리티 업체 공식 앱을 통한 대여 절차 준수 (제3자 QR코드 스캐너 앱 사용 자제)
- 출처가 불분명한 QR코드 스캔 금지: 주차 딱지, 전단지, SNS 링크 등의 QR코드는 각별히 주의
스캔 후
- 접속된 URL 의심: 공식 도메인(예:
.go.kr, 기업 공식 도메인)과 일치하는지 확인 - 개인정보·금융정보 입력 요구 시 즉시 중단: 정부 기관이나 공유 모빌리티 업체가 QR코드 스캔만으로 결제를 요구하지 않음
- 갑작스러운 앱(APK) 다운로드 요청 시 즉시 취소
- 모바일 보안 앱·스미싱 탐지 앱 설치 후 최신 버전 유지.
기관·업체 권고 사항
- 정기적 현장 점검: 공유 모빌리티 배치 지역의 QR코드 위·변조 여부 수시 확인
- 물리적 보안 강화: QR코드 스티커 대신 레이저 각인, 보호 필름 부착 등 물리적 변조 차단 조치 도입
- 이용자 교육: 앱 푸시 알림 등을 통한 큐싱 수법 및 주의사항 정기적 안내