명절 대목을 노려 전통시장과 소규모 매장의 QR 결제판에 가짜 QR 스티커를 몰래 붙이는 '물리적 큐싱(Physical Qshing)' 범죄가 늘고 있습니다. 소비자가 해당 QR을 스캔하면 피싱(사기) 결제 페이지로 연결되거나 악성 앱이 설치되어, 결제 금액이 상인이 아닌 범죄 조직의 대포통장으로 빠져나갑니다. 이 공격은 인터넷 네트워크가 아닌 오프라인 물리 환경을 노리기 때문에 일반적인 방화벽이나 보안 솔루션으로는 사전에 막기가 어렵습니다. 결제 전 QR판 표면을 손으로 만져 스티커가 붙어 있는지 확인하고, 수취인 이름이 가게 상호와 일치하는지 상인에게 직접 확인하는 습관이 중요합니다.
공격자가 전통시장·소규모 매장의 QR 결제 안내판 위에 사기 계좌와 연결된 QR 스티커를 몰래 부착하는 '물리적 큐싱' 공격이 명절 성수기에 확산되고 있다.
소비자가 위조 QR을 스캔하면 피싱 결제 페이지 또는 악성 앱으로 유도되어 결제 대금이 범죄 조직의 대포통장으로 송금된다. 상인도 대금을 수령하지 못하는 피해를 입는다.
디지털 시스템을 직접 침해하지 않고 오프라인 물리 표면을 변조하는 방식이므로 네트워크 방화벽·보안 솔루션으로 탐지가 불가능하다.
결제 전 QR판 표면을 촉각으로 점검해 스티커 덧붙임 여부를 확인하고, 모바일 송금 화면의 수취인 명의를 상인 상호명과 구두로 대조하는 현장 교차 확인 절차를 상시화해야 한다.
기업 임직원 대상 생활 보안 교육 및 소상공인 결제 환경 점검 캠페인에 물리적 QR 변조 시나리오를 추가할 필요가 있다. 네트워크 보안 솔루션만으로는 이 유형의 공격을 방어할 수 없음을 인지해야 한다.
본문
전통시장 및 로컬 매장의 비대면 간편결제(QR 결제)가 보편화됨에 따라, 물리적 표면에 악성 코드를 덧붙여 결제 대금을 편취하는 '물리적 큐싱(Physical Qshing)' 범죄가 확산되고 있다. 공격자들은 매장의 혼잡한 틈을 타 아크릴 결제 안내판 상단에 정교하게 제작된 사기 계좌 연동 QR 스티커를 부착하는 수법을 사용한다.
소비자가 이를 촬영할 경우 육안 검증 없이 피싱 결제 웹페이지로 리디렉션(연결)되거나 악성 앱 다운로드가 유도되어, 결제 대금이 상인이 아닌 범죄 조직의 대포통장으로 직결된다. 디지털 시스템 자체를 해킹하지 않고 오프라인 물리 환경의 틈새를 노리는 변조 공격이기에 기존 네트워크 방화벽으로는 사전 탐지가 불가능하다.
이러한 물리적 큐싱 공격을 예방하기 위해서는 소비자와 상인 간의 대면 교차 확인(Cross-Verification) 절차가 필수적이다. 결제 전 단말기 표면의 요철이나 덧붙임 유무를 촉각으로 점검하고, 모바일 뱅킹 송금 화면에 출력되는 수취인 명의와 가게 상호명이 일치하는지 상인에게 구두로 확인하는 현장 절차를 상시화해야 한다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
