기업

QR코드 하나 잘못 찍었다가 개인정보 유출… 일상 파고드는 ‘큐싱’ 주의 [박용선 칼럼]

[미디어파인 칼럼=디지털장의사 박용선의 ‘잊혀질 권리’] 복잡한 인터넷 주소를 입력하지 않아도 카메라로 QR코드만 스캔하면 원하는 서비스에 접속할 수 있어 일상 곳곳에서 널리 쓰이고 있다. 식당에서 메뉴를 확인하고, 주차장에서 요금을 정산하고, 공유 킥보드를 타기 위해 QR코드를 찍는 일은 이제 자연스러운 일상이 되었다.

편리함을 위해 도입된 QR코드가 새로운 사이버 범죄 수단으로 악용되고 있다. QR코드와 피싱(Phishing)을 합친 ‘큐싱(Quishing)’은 악성 QR코드를 정상적인 코드처럼 위장해 가짜 사이트로 연결하거나 악성 애플리케이션 설치를 유도하는 수법이다. 이용자는 QR코드를 스캔했을 뿐이라고 생각하지만, 그 순간부터 개인정보나 금융 정보를 노린 공격이 시작될 수 있다.

큐싱은 특히 정상적인 QR코드 위에 가짜 스티커를 덧붙이는 방식으로 진행되어 육안으로 진위를 구분하기 어렵다. 정부는 과거 국내에서도 공유 킥보드의 정상 QR코드 위에 가짜 QR코드를 덧붙이거나 온라인 광고와 이메일에 악성 QR코드를 삽입해 앱 설치를 유도하는 사례가 확인됐다고 밝힌 바 있다. 중국과 미국, 스페인에서는 가짜 주차위반 고지서나 공공자전거에 위조 QR코드를 부착하는 방식의 큐싱 피해도 발생했다.

이메일을 이용한 수법도 있다. 마이크로소프트(MS) 다중 인증 시스템을 사칭해 ‘인증이 만료된다’며 QR코드를 스캔하도록 유도하는 큐싱 공격이 발견된 바 있다. QR코드를 스캔하면 정상적인 MS 로그인 화면처럼 꾸며진 피싱 사이트로 이동하고, 사용자가 비밀번호를 입력하면 이를 탈취하는 방식이다. 보안업계는 QR코드를 스캔하기 전 출처를 확인하고, 스캔 후에도 연결된 웹사이트의 주소가 올바른지 점검해야 한다고 강조했다.

큐싱 피해는 스마트폰 화면 안에서 끝나지 않는다. 탈취된 계정과 개인정보가 다른 범죄에 활용되거나 온라인에 유출되면 심각한 2차 피해로 이어질 수 있다. 이메일이나 SNS 계정이 탈취되어 저장된 개인정보와 사적인 사진, 대화 내용 등이 외부로 유출되거나, 피해자의 명의를 도용해 지인 등에게 사기 메시지를 보내는 방식으로 악용될 가능성도 있다.

따라서 QR코드를 이용할 때는 출처가 불분명한 코드를 함부로 스캔하지 않는 것이 기본이다. 공공장소나 상점 등에 부착된 QR코드라도 훼손되거나 기존 코드 위에 다른 스티커가 덧붙여진 흔적이 없는지 확인해야 한다. QR코드를 찍은 뒤 금융 정보나 계정 비밀번호, 주민등록번호 등 민감한 정보를 입력하라고 요구한다면 즉시 접속을 종료하는 것이 안전하다.

이미 의심스러운 QR코드를 통해 개인정보를 입력했거나 악성 앱을 설치했다면, 신속히 비밀번호를 변경하고 금융기관에 신고하며 악성 앱을 삭제하는 등 피해 확산을 막기 위한 조치를 취해야 한다. 개인정보가 실제로 온라인에 유출됐는지 확인하기 어려운 상황이라면 디지털 장의사의 도움을 받아 인터넷상의 흔적을 점검하는 것도 좋은 방법이다.

디지털 장의사는 검색 포털과 SNS, 온라인 커뮤니티, 블로그, 카페, 웹하드 등 다양한 인터넷 공간에서 의뢰인의 개인정보나 사생활이 무단으로 유포됐는지 확인하고, 삭제가 필요한 게시물과 이미지 등을 적법한 절차에 따라 처리한다. 최초 게시물을 삭제하는 데 그치지 않고 동일한 정보가 다른 사이트로 재유포됐는지 지속해서 모니터링하며 추가 피해를 줄이는 역할도 한다.

QR코드는 앞으로도 우리의 일상에서 더욱 다양하게 활용될 것이다. 편리한 기술일수록 이를 악용하는 범죄 수법도 함께 진화한다. ‘QR코드는 안전하다’는 막연한 믿음에서 벗어나, 스캔하기 전 한 번 더 주의 깊게 살피는 습관이 필요하다.

무심코 찍은 QR코드 하나가 개인정보 유출의 시발점이 될 수 있는 시대다. 온라인에 개인정보가 유출됐다면 피해가 확산되기 전에 신속하게 흔적을 찾아내고 차단해야 한다. 디지털 장의사는 이러한 과정에서 개인의 잊힐 권리와 사생활을 보호하고, 피해가 반복되지 않도록 관리하는 전문적인 조력자 역할을 수행한다.