스티커 수법
수법은 허무할 만큼 단순합니다. 범죄자는 식당에 들어가 테이블이나 입구에 놓인 QR 코드 스탠드를 찾아, 그 위에 갓 인쇄한 스티커를 덧붙입니다. 자신의 QR 코드가 담긴 스티커죠. 테이블 한 개당 걸리는 시간은 채 30초도 되지 않습니다.
그렇게 열리는 가짜 페이지는 주문 페이지나 결제 페이지를 거의 완벽하게 복제한 것입니다. 정확한 로고, 정확한 브랜드 색상, 때로는 식당 이름까지 그대로죠. 오늘의 메뉴를 보고 있다고 믿는 손님은 사기 웹사이트에 자신의 신용카드 정보를 입력하게 됩니다.
2025년과 2026년 초, 리옹(프레스킬, 콩플뤼앙스), 파리(11구와 18구), 보르도(생피에르 지구)에서 실제 사례가 확인되었습니다. 이 수법은 빠르게 확산되고 있습니다. 프랑스의 사이버 범죄 신고 플랫폼 Pharos에 따르면 QR 코드 피싱 신고 건수는 2024년과 2026년 사이 340% 증가했습니다.
물리적 보호 장치(각인된 QR 코드, 잠금형 거치대) 없이 디지털 메뉴로 전환한 식당이 주요 표적입니다. 일반 종이에 스탠드를 직접 인쇄하는 소규모 업소가 가장 취약합니다.
이렇게 알아챌 수 있습니다
스캔하기 전에 QR 코드를 직접 살펴보세요. 가짜 스티커는 위치가 살짝 어긋나 있는 경우가 많고, 가장자리가 겹쳐 있거나 식당의 다른 인쇄물과 인쇄 품질이 다르기도 합니다.
링크를 열기 전에 전체 URL을 표시해 주는 QR 리더를 사용하세요. iOS 기본 카메라 앱과 Android 내장 리더는 대개 URL을 보여줍니다. 잠깐 시간을 내어 읽어보세요. 공격자들은 타이포스쿼팅을 이용합니다. 업소의 공식 웹사이트 대신 'carte-restaurant-lyon.com' 같은 주소를 쓰는 식이죠.
단지 메뉴를 보려는 것뿐인데 페이지가 신용카드 정보를 요구한다면 특히 경계해야 합니다. 정상적인 식당은 메뉴 열람에 결제를 요구하지 않습니다.
의심스러우면 직원에게 직접 메뉴판을 보여 달라거나, 관리자 화면에 표시되는 QR 코드를 보여 달라고 요청하세요. 테이블 스탠드에 붙은 것 말고요.
Trasimène가 하는 일
Trasimène는 실시간 QR 코드 보호 기능을 갖추고 있습니다. QR 코드에서 추출된 모든 URL은 페이지가 로드되기 전에 여러 피싱 데이터베이스(Google Safe Browsing, Trasimène 자체 피드)와 대조 검사됩니다.
해당 URL이 의심스러운 것으로 확인되거나, 전형적인 피싱 특징을 가진 최근 등록 도메인에 속한 경우, 페이지는 차단되고 경고가 표시됩니다. 앱에서 바로 해당 QR 코드를 신고할 수 있는 옵션도 함께 제공됩니다.
이 보호 기능은 전적으로 백그라운드에서 작동하며, 별도의 조작이 필요하지 않습니다. 평소처럼 스캔하면 Trasimène가 조용히 확인해 드립니다.
경계심은 여전히 첫 번째 방어선입니다. 스캔하기 전에 한 번 살펴보기, 입력하기 전에 URL 읽어보기, 의심스러우면 물어보기. 이 간단한 습관만으로도 대다수의 QR 코드 공격을 막아낼 수 있습니다. 그리고 제대로 된 보안 앱이 있다면, 이 과정을 자동화하지 않을 이유가 없습니다.
- Cybermalveillance.gouv.fr (French national cybersecurity assistance platform), "Le « quishing » : l'hameçonnage par QR code" (2024)
- NCSC (UK National Cyber Security Centre), "QR Codes – what's the real risk?"
- National Cyber Security Centre (Switzerland / NCSC-CH), "Be careful when scanning: the hidden dangers of tampered QR codes" (2025)
- ENISA (European Union Agency for Cybersecurity), "ENISA Threat Landscape 2025" (October 2025)
QR 피싱으로부터 자신을 보호하세요