쿼싱: QR 코드 피싱 공격을 피하는 방법

대표 이미지: 쿼싱(QR 코드 피싱) 공격

QR 코드는 사람들과 제품과의 상호작용에서 필수적인 요소가 되었습니다. 전화기를 빠르게 스캔하는 것만으로도 연락처 정보를 교환하고, 장소에 접근하며, 온라인 상품을 체크아웃할 수 있습니다. 그러나 그들의 광범위한 사용은 사이버 범죄자들을 끌어들여 이제는 가짜 악의적인 QR 코드를 쉽게 만들 수 있게 되었습니다. 이로 인해 새로운 피싱 위협인 “쿼싱”(quishing)이 발생했습니다. 다음은 쿼싱 공격에 대한 조언과 자신을 보호하기 위한 실용적인 팁입니다.

쿼싱이란 무엇인가?

쿼싱, 즉 QR 코드 피싱은 QR 코드의 편리함과 인기 등을 이용하는 사이버 위협입니다. 사이버 범죄자들은 가짜 QR 코드를 사용하여 사람들을 속여 가짜 웹사이트로 유도합니다. 이후 사용자의 개인 정보(로그인 정보 및 비밀번호 등)에 접근하거나, 장치에 악성 코드를 설치하거나, 재정 정보를 훔치려고 할 수 있습니다.

Egress에 따르면, 2024년 1월 1일부터 8월 31일 사이에 최소 12%의 피싱 공격이 QR 코드와 관련이 있었으며, 이는 2021년의 0.8%에서 급격히 증가한 수치입니다. 쿼싱의 이러한 유의미한 증가는 QR 기술의 보편화가 가속되고 있음을 보여줍니다. 게다가, 다크 웹에서 유포되는 피싱 키트인 “FishXProxy”와 같은 것들은 계정 탈취(ATO) 공격을 위해 QR 코드를 선호하는 선택으로 사용하고 있습니다.

악성 QR 코드를 스캔하면 다크 웹과 같은 보안 위협이 발생할 수 있습니다.

쿼싱 공격을 수행하는 것은 비교적 쉽습니다. 누구나 QR 코드를 생성할 수 있습니다. 이 코드는 전단지, 포스터, 티셔츠, 배낭 등 거의 모든 곳에 배치될 수 있으며, 이메일 및 소셜 미디어와 같은 전통적인 피싱 수단을 통해서도 사용될 수 있습니다. 대부분의 사람들은 QR 코드를 해롭지 않은 것으로 봅니다. 이러한 코드와 연결된 스푸핑된 웹사이트를 방문할 때만 위험에 처하게 됩니다.

QR 피싱은 어떻게 작동하는가

QR 피싱은 스마트폰과 QR 코드의 광범위한 사용을 활용합니다. 노트북조차도 이러한 코드를 스캔할 수 있습니다. 공격자는 악의적인 웹사이트나 악성 파일로 연결되는 그럴듯한 QR 코드만 만들면 됩니다.

악의적인 의도로 QR 코드를 만드는 것은 쉬운 부분입니다. 도전적인 부분은 사람들이 그 이미지를 스캔하도록 설득하는 것입니다. 이 부분에서 사회 공학이 작용합니다. 공격자는 다양한 사칭 전술을 사용하거나 보상을 약속하거나 긴박감을 조성할 수 있습니다. 결과적으로 수많은 유형의 쿼싱 공격이 발전했습니다. 가장 일반적인 유형은 다음과 같습니다.

1. QRLJacking

이것은 가장 직관적이면서도 탐지하기 어려운 형태의 쿼싱 공격입니다. 사이버 범죄자들은 QR 코드가 접근을 요구하는 정밀한 애플리케이션으로 연결된 웹사이트를 만들어냅니다. 이는 WhatsApp, Discord, TikTok 또는 은행 사이트와 같은 앱에 해당할 수 있습니다.

QRLjacking이 스푸핑된 WhatsApp 복제 웹사이트로 이어지는 모습.

대부분의 우리는 실제 웹사이트를 인코딩한 흑백 데이터 모듈을 검사하지 않기 때문에 쉽게 속아 로그인 정보를 넘겨줄 수 있습니다. 공격자는 이후 귀하의 최근 로그인을 피싱 서버에 업로드하여 나중에 세션을 탈취할 기회를 갖게 됩니다. 다행히도 이중 인증을 활성화하면 QRLJacking 공격을 거의 불가능하게 만들 수 있습니다. 대부분의 웹사이트에서는 의심스러운 로그인 시도를 모니터링하며 시의 적절하게 경고합니다.

2. 일반 텍스트 QR 피싱

일반 텍스트 QR 코드 피싱 시도에서 공격자는 악의적인 QR 코드를 이메일, SMS 및 소셜 미디어 채팅에 삽입합니다. 최악의 부분은 이러한 코드가 신뢰할 수 있는 연락처로부터 온 것처럼 보일 수 있다는 점입니다. 공격자가 그들의 계정에 접근했을 수 있기 때문입니다.

이메일에 삽입된 일반 텍스트 QR 코드 피싱이 가짜 아마존 계정으로 이어지는 모습.

작전 방식은 간단합니다: 공격자들은 유리한 보상을 약속할 수 있지만, 많은 사용자들이 이제 그런 전술에 경계하고 있습니다. 또는 아마존과 같은 사이트에서 의심스러운 로그인 시도가 있었다고 주장할 수도 있습니다. 실제로는 공격자가 QR 코드를 통해 로그인 정보를 캡처하려고 하고 있습니다.

3. 폼재킹

폼재킹은 신용 카드 정보와 같은 재정 정보를 훔치기 위해 사용자를 속여 알지 못하는 웹사이트로 유도하는 일반적인 방법입니다. 사용자는 직접 결제 정보를 제출할 수 있으며, 이는 페이지의 악성 스크립트에 의해 도용됩니다.

대신, 그들은 보상 약속과 함께 조사처럼 꾸며진 양식을 작성하도록 요청받을 수 있으며, 이때 생년월일, 출생지, 어머니의 이름 및 기타 개인 정보와 같은 보안 질문에 대한 답변을 수집합니다.

큰 화면에 표시된 잠재적인 폼재킹 위협.

이 유형의 사이버 위협은 대부분의 사용자가 악성 폼 사이트에 대해 조심하게 되면서 감소했습니다. 그러나 최근 QR 코드 인기의 부상은 이러한 사이트에 합법성을 부여하였으며, 폼재킹의 위협을 되살렸습니다.

4. 기타 다른 종류의 QR 피싱 시도

예기치 않게 만날 수 있는 여러 다른 유형의 QR 피싱 시도가 있습니다. 이러한 방법에 대해 항상 경계하고 인지하는 것이 중요합니다.

맬웨어 QR 피싱: 이러한 QR 코드는 맬웨어가 포함된 웹사이트로 안내하거나 악성 트로이잔 또는 루트킷의 다운로드를 시작합니다. 목표는 시스템 리소스에 무단 접근을 얻는 것입니다. 방화벽, 이메일 및 웹 보호 기능과 피싱 방어 기능이 포함된 안티바이러스 소프트웨어를 사용하는 것이 이러한 위협으로부터 보호하는 데 도움이 됩니다.
암호화폐 QR 피싱: 이러한 도구는 다크 웹에서 널리 사용 가능합니다. 신뢰할 수 없는 사용자를 속여 보안이 해제된 웹사이트로 유도하고, 이후 악성 스크립트를 주입하여 탐지가 이루어지지 않습니다. 이 스크립트는 대상 시스템을 악용하여 사용자의 동의 없이 암호 화폐를 채굴합니다. 결과적으로 사용자는 PC 성능 느려짐, 잦은 재부팅 및 기타 성능 문제를 경험할 수 있습니다.
매크로 기반 QR 피싱: 오늘날 상대적으로 드물지만, 엑셀, 워드 또는 PDF 문서에 매크로를 삽입하여 맬웨어를 설치하거나 정보를 훔치는 오래된 속임수에 QR 코드가 결합된 경우입니다. 그러나 이러한 파일은 최신 안티바이러스 소프트웨어나 업데이트된 스마트폰을 갖춘 장치에서 자동으로 차단되어야 합니다.

쿼싱 공격의 희생자가 되는 것이 왜 이렇게 쉬운가

QR 코드 피싱 시도의 희생자가 되는 것은 비교적 흔한 일입니다. 사기꾼들이 이 기만적인 도구를 성공적으로 사용하는 이유와 이러한 위협에 대해 경계를 가져야 하는 이유는 다음과 같습니다.

QR 코드에 대한 묵시적 신뢰: QR 코드 스캔은 비교적 새로운 트렌디한 기술이며, 많은 사용자는 잠재적인 위협에 대한 인식 부족으로 인해 본능적으로 이를 신뢰합니다. QR 코드는 모든 피싱 시도의 거의 12%를 차지했습니다. QR 코드를 맹목적으로 신뢰하는 것은 과거의 일이 되었습니다.
브랜드 사칭이 쉽다: 텔레그램, WhatsApp, TikTok, 아마존 등과 같은 인기 브랜드를 사칭하는 것은 쉽습니다. 대부분의 사용자는 URL이 합법적인지 확인하지 않습니다. 예를 들어 “AmazonAws.com”과 같은 사이트는 신뢰할 수 있어 보일 수 있지만, 실제로는 아마존이나 애저와는 아무런 관계가 없는 악성 웹사이트입니다. 이는 특정 상황에서 사기꾼에게 유리한 작용을 합니다.
보이지 않는 링크: 대부분의 사용자는 단축 URL이나 익숙하지 않은 링크를 방문하는 것에 주의합니다. 그러나 QR 코드의 경우 이 링크는 합법적으로 보이는 이미지 뒤에 숨겨져 있습니다. 이는 실제로 방문해서는 안 되는 링크에 불필요한 신뢰감을 줍니다.

쿼싱 공격을 피하는 방법

QR 코드는 광고판, 밀봉된 봉투, 의류, 액세서리 및 웹과 소셜 미디어 전반에 걸쳐 등장합니다. 이러한 코드 중 소수만이 악성 링크를 포함하고 있을 수 있지만, 피해자가 되는 것은 불가피하게 느껴질 수 있습니다. 하지만 반드시 그렇게 될 필요는 없습니다. 다음과 같은 예방 조치를 취함으로써 쿼싱 공격으로부터 안전할 수 있습니다.

신뢰할 수 있는 소스만 사용: 식당, 쇼핑몰 또는 콘서트 장소에서 눈에 띄게 표시된 QR 코드를 사용하는 경우, 이는 정당할 가능성이 높습니다. 이러한 QR 코드는 일반 대중 사용을 위해 설계된 것입니다. 반면에 이메일, 소셜 미디어 및 무작위 웹 링크를 통해 받은 QR 코드는 더 많은 검증이 필요합니다.
임의의 QR 코드 피하기: 광고 전단, 포장지 및 기타 장소에서 무작위로 QR 코드를 만나게 될 수 있습니다. 이는 귀하의 업무에 큰 가치를 제공하지 않습니다. 이러한 코드를 스캔하지 않도록 하십시오.
클릭하기 전에 QR 코드 미리보기: 거의 모든 QR 스캔 앱은 클릭하기 전에 QR 코드를 미리 볼 수 있습니다. 링크가 의심스러워 보이면 클릭하지 마십시오.
이중 인증 활성화: 이중 인증을 사용하는 것은 인기 있는 앱과 웹사이트에서 쿼싱 시도에 대한 훌륭한 방어 수단입니다.
지속적인 인식: QR 코드 피싱 사기가 중요한 보안 위협으로 부상함에 따라, 최신 사이버 보안 뉴스를 구독하는 것은 새로운 위협 변종에 대한 귀중한 통찰력을 제공할 수 있습니다.

이 가이드에서는 쿼싱이 무엇인지, 그리고 쿼싱 공격으로부터 자신을 어떻게 보호할 수 있는지를 살펴보았습니다. 이는 피싱 공격의 한 형태일 뿐입니다: 블랙 프라이데이 쇼핑객을 겨냥한 공격과 같은 많은 다른 형태가 있습니다. 아마존 프라임 데이 사기에 대해서도 주의해야 합니다.