공영주차장에서 요금을 내려고 기둥에 붙은 QR코드를 스캔했는데, 결제는 됐다는 알림이 왔지만 어딘가 이상한 느낌이 들었던 적이 있으신가요. 최근 늘고 있는 주차장 QR코드 큐싱 사기는 바로 이 찰나의 순간을 노립니다. 정상 QR코드 위에 가짜 스티커 한 장만 덧붙이면, 운전자는 자신이 가짜 결제창에 카드 정보를 입력하고 있다는 사실을 거의 눈치채지 못합니다.
이 글에서는 주차장 QR코드 큐싱이 실제로 어떤 방식으로 벌어지는지, 최근 왜 더 위험해졌다는 경고가 나오는지, 피해를 당했을 때 보상을 받을 수 있는 조건은 무엇인지, 그리고 가짜 QR코드를 현장에서 구별하는 방법까지 실제 자료를 바탕으로 정리합니다.
주차장에서 실제로 벌어진 일
해외에서 보고된 사례를 보면 수법이 의외로 단순합니다. 캐나다 토론토에서는 약 7달러가 결제될 것으로 보였던 거래에서 실제로는 약 2,000달러가 청구된 사례가 있었습니다. 영국 북아일랜드 경찰에는 가짜 주차 결제 포털에 카드 정보를 입력한 뒤 무단 결제를 당했다는 신고가 최근 여러 건 접수됐습니다.
영국 액션프로드(Action Fraud) 통계에 따르면 2025년 4월까지 12개월 동안 QR코드 관련 사기 신고가 약 800건, 피해액은 350만 파운드에 달했습니다. 요크셔 지역에서는 큐싱 피해 신고가 2019년 3건에서 최근 조사 연도 96건으로 늘었는데, 그중 한 사례는 71세 여성이 기차역 주차장에서 가짜 QR코드를 스캔한 뒤 1만 3,000파운드를 잃은 경우였습니다.
국내에서는 아직 공영주차장에 특화된 대규모 피해 통계가 공식적으로 집계되지는 않았지만, 공유 킥보드나 온라인 광고에 심어진 가짜 QR코드로 악성 앱 설치를 유도하는 사례는 이미 여러 차례 확인됐습니다. 다만 이 부분은 오해하기 쉬운데, 큐싱이 꼭 결제 정보를 직접 입력하게 만드는 방식만 있는 것은 아니고 QR코드 스캔 자체로 악성 앱이 자동 설치되는 경로도 있다는 점은 구분해서 봐야 합니다.
주차장이 큐싱의 표적이 되기 쉬운 이유는 구조적인 특성 때문이기도 합니다. 무인 정산기나 안내판은 관리 인력이 상시 지키고 있지 않아 스티커가 덧붙여져도 발견이 늦어지고, 야외에 노출된 탓에 조명이 어둡거나 비바람에 코팅이 벗겨진 상태가 흔해 가짜 스티커의 이질감이 덜 눈에 띕니다. 또한 운전자는 대개 주차 시간에 쫓기는 상태라 결제창을 꼼꼼히 들여다볼 여유가 적다는 점도 범행 대상이 되는 배경 중 하나로 꼽힙니다.
큐싱이란 무엇인가 — 가짜 스티커 한 장의 함정
큐싱(Qshing)은 QR코드(QR Code)와 피싱(Phishing)을 합친 말입니다. 공격자가 만든 가짜 QR코드를 스캔하면 악성 앱이 자동으로 실행되거나, 진짜 결제 사이트와 거의 똑같이 생긴 가짜 사이트로 연결되어 카드 정보나 개인정보가 그대로 빠져나갑니다.
가장 널리 보고되는 수법은 다음과 같습니다.
- 주차 정산기나 안내판에 이미 붙어 있는 정상 QR코드 위에, 겉모습이 비슷한 가짜 스티커를 그대로 겹쳐 붙이는 방식
- 스티커가 들뜬 흔적이 있거나 색감이 미묘하게 다른데도, 바쁜 상황에서는 운전자가 거의 확인하지 않고 바로 스캔하는 점을 이용
- 연결된 가짜 사이트 주소가 실제 주차 운영사 도메인과 알파벳 하나만 다르게 설계된 경우
- 악성 앱이 설치되면 이후 모바일 결제나 인증서 정보까지 추가로 탈취되는 2차 피해로 이어지는 경우
큐싱은 반드시 결제창에 카드번호를 직접 입력하게 만드는 방식만 있는 게 아닙니다. QR코드를 스캔하는 즉시 악성 앱 설치 파일(APK)이 다운로드되도록 설계된 경우도 있어, 스캔 직후 아무 입력을 하지 않았더라도 백신 점검이 필요할 수 있습니다.
왜 지금 더 위험해졌나
2026년 1월 보도에서는 북한과 연계된 해킹조직이 큐싱 수법에 가세하고 있다는 경고가 나왔습니다. 미국 FBI의 경고에 이어 국내 당국도 출처가 불분명한 QR코드를 함부로 스캔하지 말라는 주의를 내놓았는데, 공공장소의 가짜 QR 스티커뿐 아니라 온라인 광고나 메일에 심어진 QR코드로도 악성 앱 설치가 유도되는 사례가 확인됐습니다.
뉴시스 – “QR 맘대로 찍었다간 털린다”…北 신종 해킹에 FBI 이어 韓 정부도 경고 기사에 따르면, 당국은 악성 앱 감염이 의심될 경우 모바일 백신 점검, 공동인증서 재발급, 모바일 결제 내역 확인을 함께 권고하고 있습니다. 단순히 스캔 한 번으로 끝나는 문제가 아니라, 인증 체계 전체를 다시 점검해야 하는 상황으로 이어질 수 있다는 뜻입니다.
해외 보안업체들이 집계한 수치도 비슷한 흐름을 보여줍니다. 2026년 1분기 들어 큐싱 신고 건수가 전 분기 대비 146% 늘었고, 3월 한 달에만 약 1,870만 건이 집계됐다는 발표가 나왔습니다. 이 수치는 민간 보안업체 조사라 공식 통계와는 다르게 봐야 하지만, 피싱 공격 중 QR코드를 활용한 비중이 빠르게 늘고 있다는 방향성만큼은 여러 자료에서 공통적으로 확인됩니다.
같은 조사에서는 2025년 전체 피싱 공격 가운데 QR코드가 활용된 비중이 약 12%였고, 그중 68%는 PC가 아닌 모바일 기기 사용자를 겨냥했다고 분석했습니다. 큐싱이 유독 모바일 환경에 집중되는 이유는 작은 화면에서는 주소창의 철자 오류를 확인하기가 PC보다 훨씬 어렵고, 대부분의 결제 앱이 터치 몇 번으로 바로 입력을 끝내도록 설계돼 있어 의심할 틈이 상대적으로 적기 때문입니다.
| 구분 | 주요 내용 |
|---|---|
| 2026년 1월 당국 경고 | 북한 연계 해킹조직 큐싱 가세 경고, FBI 경고에 이어 국내도 주의 권고 |
| 주요 유포 경로 | 주차장·공유 킥보드 QR 스티커, 온라인 광고, 이메일 첨부 QR코드 |
| 해외 신고 증가세 | 2026년 1분기 전 분기 대비 146% 증가 (민간 보안업체 집계) |
| 감염 의심 시 조치 | 모바일 백신 점검, 공동인증서 재발급, 결제 내역 확인 |
피해를 당했다면 보상받을 수 있을까
주차장 QR코드 큐싱으로 금전 피해를 입었을 때 가장 궁금한 부분은 보상 가능 여부입니다. 전자금융거래법 제9조는 접근매체(카드 정보, 공동인증서 등)가 위조·변조되거나, 정보통신망 침입으로 부정하게 획득된 접근매체가 쓰여서 발생한 사고라면 금융회사가 손해를 배상할 책임을 지도록 정하고 있습니다.
다만 책임이 그대로 전액 금융회사로 넘어가지는 않는 경우도 있습니다. 전자금융거래법 시행령 제8조는 아래와 같은 상황을 이용자의 고의 또는 중대한 과실로 분류하고 있습니다.
- 접근매체를 제3자에게 빌려주거나 사용을 위임한 경우
- 접근매체를 양도하거나 담보로 제공한 경우
- 제3자가 무단으로 사용할 수 있다는 걸 알았거나 쉽게 알 수 있었는데도 비밀번호 등을 누설·노출·방치한 경우
- 금융회사가 요구하는 추가 보안조치를 정당한 사유 없이 거부해 사고가 발생한 경우
큐싱 상황에 대입해 보면, 가짜 결제창인지 전혀 확인하지 않고 카드 정보를 그대로 입력한 것만으로는 보통 중대한 과실로 단정하기 어렵습니다. 가짜 스티커 자체가 정상 QR코드와 거의 구별되지 않도록 정교하게 설계되기 때문입니다. 반면 보안 경고 문구가 명확히 떴는데도 무시하고 넘어갔거나, 비밀번호를 메모해 지갑에 넣고 다니다 함께 분실한 경우처럼 별도의 과실이 더해지면 책임 비율이 달라질 수 있습니다.
예를 들어 주차장에서 가짜 QR코드를 스캔해 가짜 결제창에 카드번호와 유효기간, CVC까지 입력했고, 이후 같은 카드로 본인이 전혀 모르는 해외 결제가 추가로 발생한 상황을 가정해 보겠습니다. 이런 경우 최초 입력과 이후 2차 결제 모두 접근매체가 부정하게 획득되어 발생한 사고로 볼 여지가 커서, 카드사에 이의제기를 접수하면 조사를 거쳐 환급받을 가능성이 있습니다. 다만 이의제기 접수가 늦어질수록 카드사가 거래 당시 상황을 재구성하기 어려워지므로, 의심되는 거래 문자를 받는 즉시 신고하는 것이 환급 가능성을 높이는 핵심입니다.
분실·도난을 금융회사에 통지한 이후에 발생한 손해는 전자금융거래법 제10조가 별도로 규정합니다. 피해를 인지한 즉시 카드사·은행에 통지하는 시점이 책임 분담에 영향을 줄 수 있으므로, 의심되는 순간 바로 연락해야 합니다.
가짜 QR코드 구별 체크리스트
현장에서 QR코드를 스캔하기 전 아래 항목을 빠르게 확인하는 것만으로도 상당수의 큐싱을 피할 수 있습니다. 확인 과정이 번거롭게 느껴질 수 있지만, 실제로는 5초 안팎의 시간만 더 들이면 되는 간단한 점검들입니다.
- 스티커 표면이 주변보다 살짝 들려 있거나, 테두리에 접착 흔적이 남아 있는지 확인한다
- 같은 주차장 안의 다른 QR코드와 디자인·색감·재질이 미묘하게 다른지 비교한다
- 스캔 후 연결된 사이트 주소가 해당 주차장 운영사(지자체 또는 민간 위탁업체)의 공식 도메인과 정확히 일치하는지 확인한다
- 도메인 철자가 하나라도 다르거나, http로 시작하며 보안 자물쇠 표시가 없다면 결제를 중단한다
- 결제창이 평소 쓰던 앱의 화면과 레이아웃·폰트가 조금이라도 다르게 느껴지면 입력을 멈춘다
- 가능하다면 QR코드 스캔 대신 주차장 안내판에 적힌 주소를 직접 타이핑해서 접속한다
실무에서 보면, 결제 금액이 평소 주차 요금과 비슷한 수준(몇천 원 단위)이라는 이유로 안심하는 경우가 많은데, 이는 오히려 사기 설계자가 의심을 피하려고 일부러 소액으로 먼저 테스트 결제를 유도하는 전형적인 방식이기도 합니다. 소액이라도 가맹점명이 낯설다면 바로 확인하는 것이 안전합니다.
피해가 의심될 때 신고하는 방법
한국인터넷진흥원(KISA)은 카카오톡 ‘보호나라’ 채널을 통해 문자나 QR코드의 악성 여부를 확인해주는 서비스를 운영하고 있습니다. 기존에 제공되던 스미싱 확인 서비스에 이어, 큐싱 확인 기능도 같은 채널 안에서 안내되고 있으니 의심스러운 QR코드를 스캔하기 전이라면 먼저 이 서비스로 확인해보는 것이 안전합니다. 평소 이 채널을 미리 친구로 추가해두면, 막상 현장에서 QR코드를 마주쳤을 때 당황하지 않고 바로 확인 절차를 거칠 수 있습니다.
이미 피해가 발생했다면 아래 순서로 대응하는 것이 일반적입니다.
- 스마트폰에 모바일 백신 앱을 실행해 악성 앱 설치 여부를 점검한다
- 결제에 사용된 카드사나 은행 고객센터에 즉시 전화해 해당 거래를 정지하거나 이의제기를 접수한다
- 경찰서(112 또는 사이버수사대)에 신고하고 ‘사건사고 사실확인원’ 발급을 요청한다 — 이 확인원은 카드사나 통신사에 피해 접수를 할 때 사고 발생 사실을 입증하는 서류로 쓰이므로 반드시 챙겨둔다
- 공동인증서나 간편결제 비밀번호를 변경·재발급한다
- 금융회사에 전자금융거래법 제9조에 따른 손해배상을 신청하며, 신고 접수증과 피해 내역을 함께 제출한다
KB국민은행 – 큐싱 사기 예방법 알아보기 페이지에서도 큐싱의 개념과 기본 대응 수칙을 안내하고 있으니, 자신이 거래하는 은행이나 카드사의 사기 피해 신고 절차를 미리 한 번 확인해두는 것도 도움이 됩니다.
자주 묻는 질문
Q. 주차장 QR코드 큐싱 피해는 무조건 전액 보상받을 수 있나요?
그렇지 않습니다. 접근매체 위조·변조나 정보통신망 침입으로 인한 사고라면 원칙적으로 금융회사가 배상 책임을 지지만, 이용자에게 비밀번호 노출·방치 같은 고의 또는 중대한 과실이 있었다면 책임이 일부 또는 전부 이용자에게 돌아갈 수 있습니다.
Q. QR코드를 스캔만 하고 아무것도 입력하지 않았다면 안전한가요?
단정할 수 없습니다. 스캔 즉시 악성 앱 설치 파일이 자동으로 내려받아지는 방식도 보고되고 있으므로, 평소와 다른 설치 알림이나 권한 요청 창이 떴다면 바로 백신 점검을 받아보는 것이 안전합니다.
Q. 간편결제 앱으로 결제했다면 신용카드보다 더 안전한가요?
반드시 그렇지는 않습니다. 간편결제도 결국 등록된 카드나 계좌와 연결되어 있어, 가짜 결제창에서 간편결제 비밀번호나 인증 정보를 입력했다면 똑같이 피해로 이어질 수 있습니다. 다만 일부 간편결제사는 자체적으로 부정거래 감지 시스템을 두고 이상 거래를 선제적으로 차단하는 경우가 있어, 피해 발생 시 해당 간편결제사의 이의제기 절차도 카드사와 별도로 함께 확인해두는 것이 좋습니다.
주차장 QR코드 큐싱은 결제 금액이 크지 않다는 이유로 가볍게 넘기기 쉬운 사기입니다. 하지만 한 번의 스캔이 악성 앱 설치나 2차 금융사고로 이어질 수 있다는 점에서, 평소보다 몇 초만 더 들여 스티커 상태와 접속 주소를 확인하는 습관이 결국 가장 확실한 예방책입니다. 가족이나 동료에게도 이 수법을 미리 알려두면, 자신뿐 아니라 주변 사람의 피해도 함께 줄일 수 있습니다.
함께 확인하면 좋은 주차장 QR코드 큐싱 체크리스트
주차장 QR코드 큐싱이라면 추석 연휴 결제일 연장, 카드값·대출이자 밀려도 괜찮은 이유까지 함께 챙겨보시면 도움이 됩니다. 주차장 QR코드 큐싱을 준비 중이라면 추석 응급실 진료비 가산 기준, 경증이면 이 돈 다 냅니다도 미리 점검해두는 것이 좋습니다. 관련해서 추석 연휴 실업급여 지급일, 실업인정일 밀리면 이렇게 됩니다 내용도 함께 확인해두면 실수를 줄일 수 있습니다. 아울러 셀프사진관 촬영본 유출, QR코드 삭제 요청은 이렇게 합니다에 대해서도 궁금하시다면 참고하시길 권합니다.
