매장 QR코드, 붙이기 전에 큐싱 위험부터 점검하세요

QR코드도 매장 보안 자산으로 관리합니다

QR코드는 주문, 멤버십, 쿠폰, 설문, 주차 정산처럼 고객이 바로 스마트폰으로 접속하는 통로입니다. 그래서 종이 안내문이나 스티커처럼 보이더라도 실제로는 고객을 외부 웹사이트나 앱 설치 화면으로 보내는 보안 자산으로 다뤄야 합니다.

KISA는 큐싱을 QR코드에 악성앱 다운로드 주소나 피싱사이트 주소를 넣어 개인정보와 금전 탈취를 유도하는 공격으로 설명합니다. 매장에서는 QR코드를 새로 만들 때부터 목적, 연결 주소, 게시 위치, 관리 담당자를 함께 기록해 두는 것이 첫 단계입니다.

• QR코드별 목적과 공식 연결 주소 기록
• 카운터·테이블·포스터·영수증 등 게시 위치 목록화
• 변경 담당자와 승인 기준 지정

가짜 스티커 덧붙임을 매일 확인합니다

정상 QR코드 위에 얇은 스티커를 덧붙이거나, 비슷한 디자인의 쿠폰 안내물을 몰래 끼워 넣으면 고객은 겉모습만 보고 스캔하기 쉽습니다. 정책브리핑의 2026년 큐싱주의보도 정상 QR 위에 가짜 스티커를 덧씌우는 방식과 개인정보 입력, 악성앱 설치 위험을 안내했습니다.

매장 오픈 전 점검표에는 출입문 포스터, 테이블 텐트, 키오스크 주변, 화장실 안내문, 주차·배달 안내물까지 포함하세요. QR 주변에 들뜬 모서리, 색상 차이, 덧댄 종이, 모르는 쿠폰물이 보이면 고객 사용을 중지하고 원본 파일 또는 관리 시스템의 공식 주소와 대조해야 합니다.

• QR 표면 들뜸·겹침·낯선 인쇄물 확인
• 원본 디자인과 실제 부착물 비교
• 이상 발견 시 고객 스캔 중지 후 담당자 확인

스캔 후 주소가 공식 도메인인지 보게 합니다

QR코드가 정상처럼 보여도 연결된 주소가 바뀌었을 수 있습니다. 직원이 테스트할 때는 바로 로그인하거나 정보를 입력하지 말고, 먼저 브라우저 주소창의 도메인이 회사가 관리하는 공식 주소인지 확인해야 합니다.

짧은 주소와 복잡한 임의 문자열은 운영상 편리할 수 있지만 고객이 정상 여부를 판단하기 어렵게 만듭니다. 꼭 필요하다면 매장 내부 관리표에는 최종 도착 주소를 함께 적고, 안내문에는 고객이 알아볼 수 있는 공식 도메인을 같이 표시하세요. 광고 대행사나 외주사가 만든 QR도 최종 주소와 만료일, 수정 권한을 확인해야 합니다.

• 단축 URL 사용 시 최종 도착 주소 기록
• 외주 제작 QR의 수정 권한과 만료일 확인
• 정기 점검 때 실제 스마트폰으로 주소창 확인

앱 설치와 개인정보 입력 요구는 별도 승인 대상입니다

쿠폰 확인이나 식품 정보 조회처럼 단순 안내를 위해 만든 QR이 갑자기 앱 설치, 계좌번호, 신분증 정보, 메신저 로그인, 원격제어 앱 설치를 요구하면 큐싱 가능성을 의심해야 합니다. KISA 보안공지는 큐싱이 악성앱 설치나 가짜 로그인 페이지로 이어질 수 있고, 단말 정보와 문자·사진 같은 개인정보 탈취로 연결될 수 있다고 안내합니다.

매장 직원에게는 고객이 이런 화면을 보여주며 문의했을 때의 응대 문구를 짧게 정해 두세요. 즉시 창을 닫도록 안내하고, 고객 휴대폰을 대신 조작하지 않으며, 해당 QR 게시물은 회수한 뒤 담당자가 보호나라 확인서비스나 내부 보안 담당자에게 점검을 요청하는 방식이 좋습니다.

• 정보 입력·앱 설치 요구 시 사용 중단
• 직원이 고객 휴대폰을 대신 조작하지 않기
• 의심 화면은 캡처 가능 여부를 고객에게 먼저 확인

보호나라 확인서비스와 신고 채널을 정해 둡니다

KISA의 스미싱·큐싱 공격 대응 안내는 국번없이 118 상담과 카카오톡 보호나라 채널의 스미싱·큐싱 메뉴를 신고·상담 방법으로 제시합니다. 매장 내부에서는 의심 QR을 발견한 직원이 누구에게 알릴지, 어떤 사진과 정보를 남길지, 언제 고객 안내문을 교체할지 순서를 정해야 합니다.

금전 피해가 의심되면 경찰청 112 등 관계기관 신고가 필요할 수 있습니다. 매장은 QR 게시물 사진, 발견 시각, 위치, 연결된 URL, 고객 문의 내용, 회수한 인쇄물을 함께 보관하세요. 삭제와 재출력만으로 끝내면 같은 QR이 다른 지점이나 온라인 배너에 남아 있을 수 있습니다.

보안 솔루션보다 운영 기준이 먼저입니다

에스원 정보보안 FAQ는 VPN, 바이러스 차단, 스팸 차단, 웹 서버 보호, 탐지 현황 조회 같은 보안 기능을 안내합니다. 이런 기술적 통제는 악성코드나 웹 위협을 줄이는 데 도움을 줄 수 있지만, 매장 QR코드처럼 고객이 직접 스캔하는 접점은 현장 운영 기준이 함께 있어야 합니다.

분기마다 QR 목록을 정리하고 더 이상 쓰지 않는 캠페인 QR은 폐기하세요. 신규 쿠폰이나 이벤트를 빠르게 붙이는 매장일수록 제작 파일, 승인자, 게시일, 회수일을 남겨야 사고가 났을 때 어느 지점과 어느 기간의 고객에게 안내가 필요한지 빠르게 판단할 수 있습니다.