공공자전거 타려고 QR코드 찍었는데…알고 보니 사기?

1. 개요

2023년 무렵부터 이른바 큐싱(Qshing) 수법이 알려지면서, 차에 붙은 주차 위반 딱지나 공공자전거의 QR코드를 찍었다가 개인정보와 돈을 털렸다는 경고담이 국내에 퍼졌다.

큐싱은 QR코드와 피싱(Phishing)을 합친 말이다. 스마트폰 카메라를 대기만 하면 되는 QR코드는 찍기 전까지 어디로 연결되는지 눈으로 확인할 수 없다는 약점이 있고, 이 때문에 문자 메시지 피싱이 널리 알려지자 사기범들이 새로 눈을 돌린 통로가 됐다. 이 이야기는 해외에서 실제로 있었던 사례와 국내의 주의보, 그리고 설명을 위해 지어낸 예시가 섞여 전해졌다는 점에서, 어디까지가 실제로 일어난 일인지 가려 볼 필요가 있다.

2. 처음 알려진 이야기 — 뉴시스 보도 (2023)

이 이야기가 국내에 널리 퍼진 계기 가운데 하나는 2023년 10월 15일 뉴시스의 "공공자전거 타려고 QR코드 찍었는데…알고보니 사기?" 기사다. 기사는 운전 중 편의점에 잠시 들른 A씨가 5분 만에 돌아와 보니 차에 주차 위반 딱지가 붙어 있었고, 당황해 딱지의 QR코드를 찍어 안내대로 앱을 깔고 개인정보를 입력했다가 며칠 뒤 개인정보가 도용된 사실을 알게 됐다는 장면으로 시작한다.

이어 기사는 해외 사례 두 가지를 소개했다. 중국에서는 가짜 QR코드가 인쇄된 주차 위반 딱지가 차량 와이퍼 아래에서 발견됐고, 스페인 마드리드에서는 공공자전거에 붙은 결제용 QR코드가 사실은 사기범의 것이었다는 것이다. 기사는 국내에서도 사기 QR코드로 본인도 모르게 돈이 빠져나간 피싱 사례가 나와 금융당국이 주의를 당부했다고 전하며, 출처가 불분명한 QR코드는 찍기 전에 제공처를 확인하라는 보안 업계의 조언으로 끝맺었다.

3. 실제로 있었던 일 — 마드리드 공공자전거 (2023)

마드리드 사례는 실제로 있었던 일이다. 2023년 9월, 마드리드의 공공자전거 BiciMAD 에서 정품 QR코드 위에 가짜 QR 스티커가 덧붙어 있는 것을 한 X 이용자가 발견해 신고했고, 마드리드시는 국가경찰에 고소장을 냈다. 스페인 매체들에 따르면 이 스티커를 찍으면 BiciMAD 와 똑같이 꾸민 웹사이트로 연결돼 자전거 잠금을 풀려면 카드로 결제하라고 요구했다.

눈여겨볼 점은 BiciMAD 공식 앱으로 스캔하면 가짜 QR이 작동하지 않았고, 스마트폰 기본 카메라로 찍을 때만 가짜 사이트가 열렸다는 것이다. 이 때문에 현지에서도 "공공장소의 QR코드는 반드시 해당 서비스의 공식 앱으로 찍으라" 는 조언이 나왔다. 다만 실제 피해자가 몇 명이었는지, 피해액이 얼마였는지는 보도되지 않았다.

4. 국내로 번진 수법 — 따릉이와 킥보드 (2024)

이듬해 같은 수법이 국내에서도 목격되기 시작했다. 2024년 2~3월, 서울 공공자전거 따릉이의 QR코드 위에 덧씌워진 가짜 QR 스티커를 발견했다는 SNS 글이 퍼졌고, 서울시설공단은 따릉이 앱 이용자에게 큐싱 범죄 주의 안내를 보냈다. 공단은 공공자전거 단말기의 QR코드 훼손과 스티커 덧붙임을 점검하는 순찰에도 나섰다.

2024년 10월에는 과학기술정보통신부 등 6개 부처가 합동 큐싱 주의보를 냈다. 정부는 국내에서도 공유형 킥보드에 부착된 정상 QR코드 위에 큐싱 스티커를 덧붙여 소액결제를 유도하거나, 온라인 광고와 메일에 큐싱을 넣어 "안전거래에 필요한 앱" 이라며 설치를 유도한 시도가 확인됐다고 밝혔다. 이로 볼 때 "공공자전거·킥보드 QR 스티커" 는 해외의 남 이야기가 아니라 국내에서도 실제로 시도된 수법이라고 할 수 있다.

5. 커져 가는 피해 (2026)

2026년 9월 매일신문은 과기정통부와 한국인터넷진흥원(KISA) 자료를 인용해, 과태료·범칙금 등 공공기관을 사칭한 문자사기 탐지가 2022년 1만 7,726건에서 2024년 125만 8,228건으로 2년 새 71배 늘었다고 보도했다. 같은 보도에 따르면 경기남부경찰청에는 저금리 대출 안내 메일에 첨부된 "전자금융사기 예방" QR코드를 찍었다가 해킹 앱이 깔려 통장에서 1,000만 원이 빠져나간 사건이 접수됐고, 금융감독원에는 QR코드로 추가 인증을 하라는 유도에 따랐다가 악성 앱이 설치돼 35만 원이 소액결제된 사례가 들어왔다. 범죄 조직이 전화와 문자가 막히자 QR코드로 옮겨 가고 있다는 분석도 나온다.

6. 진위 논란

이 이야기의 핵심 쟁점은 "주차 딱지·공공자전거 QR을 찍었다가 털렸다" 는 일이 실제로 국내에서 벌어지고 있는가, 아니면 해외 사례와 예시가 부풀려진 경고담인가이다.

6.1. 실제 위협이라는 시각

수법 자체가 실재한다는 근거는 충분하다. 마드리드에서는 시청이 경찰에 고소할 만큼 가짜 QR 스티커가 실제로 붙었고, 국내에서도 따릉이와 공유 킥보드에서 같은 스티커가 목격돼 관리 기관이 이용자 공지와 순찰에 나섰다. 정부 6개 부처가 국내에서 확인된 시도 유형을 꼽아 합동 주의보를 냈다는 것은 이것이 막연한 소문이 아니라는 뜻이다. 여기에 QR코드를 통한 해킹 앱 설치로 1,000만 원이 빠져나간 실제 사건까지 접수됐다. 찍기 전에는 연결 주소를 볼 수 없는 QR코드의 특성상, 피해가 늘어나는 것은 시간문제 아닐까?

6.2. 부풀려졌다는 시각

그러나 이야기의 가장 생생한 장면들은 따져 보면 근거가 약하다. 뉴시스 기사 첫머리의 "주차 딱지 QR을 찍었다가 개인정보가 도용된 A씨" 는 출처가 제시되지 않은 설명용 장면으로 보이며, 실제 사건으로 단정하기 어렵다. 2026년 매일신문 기사의 제목은 "주차위반 큐싱 QR 찍자 1000만원 인출" 이지만, 본문의 1,000만 원 피해는 주차 딱지가 아니라 대출 안내 메일 속 QR 사건이었다. 이번에 찾은 보도로는 국내에서 가짜 주차 딱지 QR로 실제 금전 피해가 난 사건은 확인되지 않았고, 마드리드 사례도 피해 규모는 알려지지 않았다. 따라서 "주차 딱지 QR" 은 실제 피해담이라기보다 가능성 있는 수법을 알리는 경고에 가깝고, 그 경고가 실화처럼 전해지고 있다고 보는 편이 정확하다.

7. 여담

• 마드리드 가짜 사이트는 자전거 잠금을 풀려면 유로가 아니라 파운드로 결제하라고 요구했다는 보도도 있다.
• 정부는 큐싱이 의심되는 QR코드를 발견했거나 악성 앱 감염이 의심되면 경찰청·금융감독원의 "사기전화지킴이" 에 신고하거나, 국번 없이 118(KISA)에 연락하면 24시간 무료로 상담받을 수 있다고 안내하고 있다.