공공 사칭 스미싱 3년간 162만건, 전체의 59% 11월 모바일 과태료 고지서 시행…진짜·가짜 구분 더 어려워져
과태료·범칙금 등 공공기관을 사칭한 문자사기 탐지가 2022년 1만7726건에서 2024년 125만8228건으로 2년 새 71배로 늘었다. 과학기술정보통신부와 한국인터넷진흥원이 지난해 1월 공개한 문자사기 신고·차단 현황에서다. 같은 수법이 문자를 떠나 차량 앞유리의 종이 딱지로 옮겨온 것이 주차위반 큐싱이다. 딱지에 인쇄된 QR코드는 눌러 보기 전까지 진위를 가릴 방법이 없다.
◆ 공공 사칭 3년간 162만건, 전체 스미싱의 59%
같은 자료를 보면 2022년부터 2024년까지 당국이 탐지한 공공기관 사칭 문자사기는 162만5964건이다. 3년간 전체의 59.4%다. 2024년 한 해만 놓고 보면 57.3%를 차지했다.
전체 규모도 함께 불었다. 한국인터넷진흥원이 지난해 3월 밝힌 2024년 스미싱 탐지 건수는 219만6469건으로, 2023년 50만3300건의 4.3배다. 악성으로 분류돼 차단된 것도 1만9227건으로 2023년 2764건의 7배였다.
유형별로는 한국인터넷진흥원이 올해 2월 공개한 2023~2025년 집계에서 공공기관 사칭이 214만여 건(53.4%)으로 1위였다. 사회관계망서비스 기업을 사칭한 계정 탈취가 117만여 건(29.2%), 청첩장·부고장 같은 지인 사칭이 52만여 건(13.1%)으로 뒤를 이었다.
◆ 노란 딱지 QR 찍으니 카드번호 입력창
경기 파주시는 2024년 8월 관내 도로변 주차 차량에 지자체 양식을 흉내 낸 노란색 허위 주차위반 안내문이 무더기로 붙은 사실을 확인하고 주의를 알렸다. 안내문에는 '과태료 납부'를 내건 QR코드가 인쇄돼 있었다. 스캔하면 카드번호 입력과 악성 앱 설치로 이어졌다.
붙이는 자리는 딱지만이 아니다. 과기정통부와 경찰청은 2024년 10월 6개 부처 합동 주의보에서 공유형 전동킥보드와 자전거의 결제용 QR코드 위에 가짜 스티커를 덧붙여 소액결제를 유도한 사례를 알렸다. 서울시설공단은 공공자전거 단말기의 QR코드 훼손과 스티커 덧붙임을 놓고 전수 순찰에 나섰다.
금전 피해도 접수됐다. 경기남부경찰청에는 저금리 대출 안내 메일에 첨부된 '전자금융사기 예방' QR코드를 찍었다가 해킹 앱이 깔려 통장에서 1000만원이 빠져나간 사건이 들어왔다. 금융감독원에는 QR코드로 추가 인증을 하라는 유도에 따랐다가 악성 앱이 설치돼 35만원이 소액결제된 사례가 접수됐다.
◆ 육안 식별 불가… 개인 대상 침해사고의 17%
QR코드는 무늬만 봐서는 연결되는 주소를 알 수 없다. 한국인터넷진흥원은 지난해 3월 간담회에서 문자메시지는 의심이라도 해 볼 수 있지만 QR코드는 일반인이 육안으로 구분하기 어렵다고 짚었다.
SK쉴더스가 2023년 12월 내놓은 보안위협 전망에서 국내 개인 대상 침해사고 가운데 큐싱이 차지한 비중은 17%로, 전년보다 60% 늘었다. 국외 분석에서도 개인 대상 피싱·큐싱 비중은 14%였다.
큐싱방지안심큐알인증협회의 한 임원은 2024년 10월 인터뷰에서 "2027년 정도부터는 모든 제품들에 다 QR코드로 전환이 될 거거든요. 그러면 엄청나게 많은 곳에 QR코드를 사람들이 찍게 될 텐데, 그렇게 됐을 때 자기도 모르는 사이에 정보들이 엄청나게 많이 나갈 수가 있으니까"라고 경고했다.
◆ 스캔 전 10분 판별, 지자체는 현장 결제 요구 안 한다
한국인터넷진흥원은 QR코드의 악성 여부를 미리 가려 주는 큐싱 확인서비스를 2025년 1월 31일 정식 개시했다. 카카오톡 보호나라 채널에 의심 문자나 QR코드를 보내면 10분 안에 정상·주의·악성으로 판별해 준다. 이 채널은 실시간 QR 검증 기능으로 이달 9일 공공혁신 부문 상을 받았다.
경찰청이 밝힌 고지 절차를 보면 전국 지자체와 경찰은 현장 단속 스티커로 즉시 결제를 요구하지 않는다. 과태료와 범칙금은 정식 우편이나 전자고지로만 통지한다. 딱지에 결제 QR가 있으면 그 자체가 주차위반 큐싱이다. 정식 QR 위에 스티커가 덧대어져 있는지도 손으로 확인해야 한다.
◆ 진짜 모바일 고지서가 오면 구분은 더 어려워진다
방어망이 촘촘해져도 한계는 남는다. 한국인터넷진흥원은 QR코드가 연결 주소나 조작 여부를 사전에 분간할 수 없는 구조여서 이용자 주의 환기만으로는 원천 차단이 어렵다고 지적했다.
경찰청은 오는 11월 모바일 교통 과태료 고지서와 QR로 위반 영상을 확인하는 서비스를 정식 시행한다. 행정 통지가 스마트폰으로 들어오고 QR 확인이 일상이 될수록 진짜 고지서와 주차위반 큐싱 스티커를 직관적으로 가리기는 더 어려워진다는 우려가 보안업계에서 나온다.
한 사립대 사이버보안학과 교수는 지난해 8월 인터뷰에서 "수사기관에 IT전문 인력을 별도로 배치해 범죄 조직의 온라인상 행적을 신속·정밀하게 분석하고, 이를 현장 수사 인력이 활용하는 체계가 마련돼야 한다"고 진단했다.
