QR 코드 사기로부터 비즈니스를 보호하는 방법

QR 코드가 귀사의 비즈니스를 위험에 빠뜨리고 있습니까? 사기성 QR 코드는 모든 규모의 기업을 표적으로 삼는 사이버 범죄자들에게 점점 더 흔한 도구이며, 대부분의 직원은 이를 식별하는 방법을 모릅니다. 이 가이드는 QR 코드 사기가 어떻게 작동하는지, 어떤 경고 신호를 찾아야 하는지, 그리고 귀사가 보호를 유지하기 위해 취할 수 있는 구체적인 단계를 설명합니다.

QR 코드 사기가 증가하는 비즈니스 위협인 이유

QR 코드는 결제, 메뉴, 마케팅 자료, 이벤트 체크인 등 비즈니스의 일상적인 부분이 되었습니다. 이러한 익숙함이 바로 범죄자들이 QR 코드를 매력적으로 여기는 이유입니다.

이러한 유형의 공격은 다음과 같이 알려져 있습니다. 퀴싱 (QR 코드 피싱). 사기꾼들은 QR 코드를 생성하거나 조작하여 사람들을 사기성 웹사이트로 리디렉션합니다. 이 웹사이트는 로그인 자격 증명, 결제 정보 또는 기타 민감한 데이터를 훔치거나, 사용자 기기에 악성 소프트웨어를 몰래 설치하도록 설계되었습니다.

그 규모는 상당합니다. 2023년 5월부터 7월 사이에 Microsoft 자격 증명을 표적으로 한 QR 코드 피싱 캠페인은 2,400% 이상 증가했습니다. 2023년 4분기와 2024년 1분기 사이의 추세 분석 결과, QR 코드 피싱 언급이 433% 증가한 것으로 나타났습니다. 임원들은 회사 자원에 대한 더 넓은 접근 권한 때문에 다른 직원보다 42배 더 많은 QR 코드 공격을 받아 특히 위험에 처해 있습니다.

어떤 산업도 예외는 아닙니다. 에너지, 제조, 보험, 기술 및 금융 서비스 모두 문서화된 캠페인에서 표적이 되었습니다. 한 명의 직원이 잘못된 코드를 스캔하는 것만으로도 자격 증명 도용, 금융 사기 또는 전체 네트워크 침해로 이어질 수 있습니다.

QR 코드 사기가 비즈니스를 표적으로 삼는 방법

범죄자들이 사용하는 방법을 이해하는 것이 효과적인 방어를 구축하는 첫 번째 단계입니다. 퀴싱 공격은 일반적으로 다음 몇 가지 패턴 중 하나를 따릅니다.

QR 코드가 포함된 피싱 이메일. 공격자들은 수신자를 설득력 있는 가짜 로그인 페이지로 유도하는 QR 코드가 포함된 이메일을 보냅니다. 이 페이지는 종종 Microsoft 365, 은행 포털 또는 내부 시스템을 모방합니다. 악성 링크가 텍스트로 입력되는 대신 이미지 안에 숨겨져 있기 때문에 많은 이메일 보안 필터가 이를 감지하지 못합니다.

물리적 코드 교체. 범죄자들은 사기성 QR 코드 스티커를 인쇄하여 간판, 결제 단말기, 메뉴, 주차 미터기 또는 제품 포장에 있는 합법적인 코드 위에 붙입니다. 피해자들은 공식적인 코드로 보이는 것을 스캔하고 가짜 사이트로 리디렉션됩니다. 텍사스 오스틴에서는 경찰이 시내 주차 미터기에 부착된 29개의 가짜 QR 코드를 발견했습니다. 영국 요크에서는, 주차 표지판의 가짜 QR 코드가 운전자들을 복제된 결제 사이트로 리디렉션했습니다., 일부 피해자는 최대 400파운드를 잃었습니다.

원치 않는 소포 및 우편물. 미국 우편 검사국은 사기꾼들이 작은 선물과 QR 코드가 포함된 예상치 못한 소포를 보내 수신자에게 해당 품목을 “등록”하기 위해 코드를 스캔하도록 요청한다고 경고합니다. 스캔하면 개인 또는 금융 정보를 요청하는 위조 사이트로 연결됩니다.

신뢰할 수 있는 기관 사칭. 공격자들은 정부 기관, 은행, 배달 서비스 또는 기타 잘 알려진 회사로 위장하여 긴급성을 조성하고 QR 코드가 스캔되기 전에 대상의 경계심을 낮춥니다.

사기성 QR 코드의 경고 신호

QR 패턴 자체에는 악성 코드와 합법적인 코드를 일관되게 구별하는 신뢰할 수 있는 시각적 차이가 없습니다. 대신, 귀하의 팀은 코드 주변의 맥락과 행동을 평가해야 합니다. 직원들에게 다음 사항을 위험 신호로 간주하도록 교육하십시오.

• 물리적 변조의 징후: 코드가 스티커처럼 보이거나, 테이프로 붙여져 있거나, 긁히거나 픽셀화되어 보이거나, 정렬이 잘못되었거나, 다른 인쇄된 코드 위에 명확하게 놓여 있습니다.
• 명확한 맥락이나 브랜딩 없음: 코드가 임의의 표면에 나타나거나, 목적에 대한 설명이 없거나, 대표한다고 주장하는 조직의 일관된 브랜딩이 없습니다.
• 긴급하거나 고압적인 언어: 주변 텍스트가 명확하고 합법적인 이유 없이 즉각적인 조치, 결제 또는 로그인을 요구합니다.
• 브랜딩 불일치: 오타, 일치하지 않는 로고, 특이한 색상 또는 조직의 일반적인 모습과 일치하지 않는 디자인.
• 의심스러운 미리보기 URL: 스캔 후 표시되는 URL이 예상 도메인과 일치하지 않거나, 단축되었거나, 오타가 있거나, HTTPS가 없습니다(브라우저에 자물쇠 아이콘 없음).
• 민감한 정보에 대한 예상치 못한 요청: 페이지가 명확하고 예상되는 이유 없이 비밀번호, 결제 정보 또는 개인 데이터를 요구합니다.
• 원치 않는 배송: QR 코드가 예상치 못한 이메일, 문자 메시지 또는 소포로 도착했으며, 특히 신속하게 조치하도록 촉구하는 메시지가 포함되어 있습니다.

손상된 코드를 식별하는 방법에 대해 더 자세히 알아보려면, 사이버 방어에서 QR 코드 보안을 위한 모범 사례 가이드 탐지 및 사고 대응을 상세히 다룹니다.

비즈니스 보호 방법: 실용적인 체크리스트

QR 코드 사기로부터 조직을 보호하려면 다층 방어가 필요합니다. 단일 조치만으로는 충분하지 않습니다. FBI는 직원 교육, 기술적 통제, 강력한 인증 및 지속적인 모니터링을 결합한 다층 전략을 권장합니다.

직원들에게 퀴싱(Quishing) 인식 교육

QR 코드 공격에서 인적 오류는 가장 많이 악용되는 취약점으로 남아 있습니다. 정기적이고 실용적인 교육은 다음을 다루어야 합니다:

• 예상치 못한 이메일, 문자 메시지, 소포 또는 전단지에서 온 QR 코드는 신뢰할 수 있는 출처에서 온 것처럼 보이더라도 절대 스캔하지 마십시오.
• 스캔 후 URL을 열기 전에 항상 미리 보고, 오타, 일치하지 않는 도메인 또는 누락된 HTTPS를 확인하십시오.
• 직장에서 QR 코드를 물리적으로 검사하여 변조 흔적이 있는지 확인하십시오. 특히 결제 단말기, 간판 또는 인쇄물에서 확인하십시오.
• 자격 증명이나 결제 정보를 입력하기 전에 별도의 신뢰할 수 있는 채널을 통해 QR 코드의 출처를 확인하십시오.
• 명확한 내부 에스컬레이션 프로세스를 통해 의심스러운 QR 코드를 즉시 보고하십시오.

FBI는 의심스러운 코드 보고를 위한 공식적인 내부 프로토콜을 수립하여 사건이 신속하게 에스컬레이션되고 처리될 수 있도록 특별히 권고합니다.

강력한 인증 및 접근 제어 구현

퀴싱 공격을 통해 도난당한 자격 증명은 무제한적인 접근 권한을 부여할 경우에만 심각한 피해를 초래할 수 있습니다. FBI와 사이버 보안 당국은 다음을 권고합니다:

• 요구 피싱 방지 다단계 인증(MFA) 모든 원격 접근 및 민감한 시스템에 대해
• 직원들이 자신의 역할과 관련된 시스템 및 데이터에만 접근할 수 있도록 역할 기반 접근 제어 적용
• 포괄적인 네트워크 신뢰를 부여하는 대신 접근 요청을 지속적으로 확인하는 제로 트러스트 전략 고려

시스템 및 소프트웨어 업데이트 유지

기술적 보호 조치는 범죄자들이 이용할 수 있는 공격 표면을 줄입니다. 귀하의 조직이 다음을 유지하도록 보장하십시오:

• 모든 장치에 최신 운영 체제, 안티바이러스 소프트웨어 및 보안 패치
• 이메일 및 네트워크 시스템에 활성 스팸 및 웹 필터
• 모든 계정에 강력한 비밀번호 요구 사항

FTC는 QR 코드를 통해 전달되는 악성 코드로부터 보호하기 위해 휴대폰 운영 체제를 업데이트할 것을 특별히 권고합니다.

귀하의 비즈니스가 생성하고 배포하는 QR 코드 보안

귀하의 QR 코드가 제대로 관리되지 않으면 사기의 매개체가 될 수 있습니다. 코드 관리를 통제하는 것은 고객과 귀하의 명성을 모두 보호하는 가장 직접적인 방법 중 하나입니다.

정적 QR 코드 대신 동적 QR 코드를 사용하세요. 정적 코드와 달리, 동적 QR 코드 인쇄 후에도 편집, 모니터링 및 비활성화할 수 있습니다. 코드가 변조되거나 악성 목적지로 리디렉션된 경우, 재인쇄 없이 업데이트하거나 비활성화할 수 있습니다. 반면 정적 코드는 영구적입니다. 목적지가 손상되면 수정할 방법이 없습니다.

모든 코드에 맞춤 브랜딩을 적용하세요. 로고, 브랜드 색상 및 시각적 아이덴티티가 적용된 코드는 범죄자들이 설득력 있게 복제하기 훨씬 더 어렵습니다. 브랜드 코드는 또한 고객과 직원에게 시각적 참조점을 제공합니다. 코드가 이상해 보이면 눈에 띄게 됩니다. 이것은 다음의 핵심 권장 사항입니다. 보안 QR 코드 생성 모범 사례.

항상 HTTPS 목적지로 연결하세요. 게시하는 모든 QR 코드가 유효한 SSL 인증서가 있는 사이트로 연결되도록 하세요. 결제, 로그인 흐름 또는 데이터 수집에 사용되는 코드의 경우 HTTP 목적지를 피하세요.

스캔 활동의 이상 징후를 모니터링하세요. 실시간 분석을 통해 갑작스러운 스캔량 급증, 지리적 이상 또는 예상치 못한 장치 유형과 같은 비정상적인 패턴을 감지할 수 있으며, 이는 코드가 손상되거나 교체되었음을 나타낼 수 있습니다. QR 코드 추적 도구 심각한 피해가 발생하기 전에 이러한 신호를 알려줄 수 있습니다.

배포된 코드를 정기적으로 물리적으로 검사하세요. 대중에게 노출되는 모든 QR 코드에 대한 정기적인 점검 일정을 잡으세요. 처음 배치할 때 각 코드를 촬영하여 비교할 참조 자료를 확보하세요. 오버레이 스티커, 정렬 불량 또는 변조 징후를 찾으세요.

실시간 모니터링으로 코드를 보호하세요 심각한 문제가 되기 전에 의심스러운 스캔 활동을 감지하고 싶으신가요? 다음을 사용하세요. 동적 QR코드 생성기 내장된 분석 기능을 갖춘 편집 가능하고 추적 가능한 코드를 생성하고, 문제가 있어 보이는 경우 즉시 코드를 업데이트하거나 비활성화하세요.

스캔 시점에서 고객을 보호하세요

귀하의 비즈니스에서 결제, 메뉴 또는 고객 대면 상호작용을 위해 QR 코드를 표시하는 경우, 고객이 합법적인 코드를 스캔하고 있는지 확인할 수 있도록 다음 조치를 취하십시오:

• 모든 코드 근처에 해당 코드가 연결되는 곳과 고객에게 어떤 정보를 제공하도록 요청할 것인지 설명하는 명확한 지침을 표시하십시오
• 고객이 상호작용하기 전에 목적지를 확인할 수 있도록 눈에 띄는 브랜딩과 도메인 이름을 추가하십시오
• 고객이 불확실할 때 스캔하도록 강요받지 않도록 동일한 정보에 접근할 수 있는 대체 방법(직접 URL, 인쇄된 메뉴 등)을 제공하십시오
• 고객이 의심스러운 코드를 귀하의 팀에 보고하도록 장려하는 눈에 띄는 공지를 게시하십시오

줄이는 방법에 대한 자세한 내용은 결제 환경에서의 QR 코드 위험, 소매 및 전자상거래에 대한 산업별 지침을 포함하여 전용 결제 보안 가이드를 참조하십시오.

사고 발생 시: 대처 방법

직원이나 고객이 잠재적으로 손상된 QR 코드를 보고하는 경우, 즉시 조치하십시오:

• 영향을 받은 동적 QR 코드를 비활성화하거나 업데이트하여 더 이상 악성 목적지로 연결되지 않도록 하십시오
• 사고를 문서화하고 조사를 위한 증거를 보존하십시오
• 영향을 받은 당사자에게 통지하여 계정을 모니터링하고 비밀번호를 변경할 수 있도록 하십시오
• 관련 당국에 사고를 보고하십시오 – 비즈니스 관련 사이버 사기의 경우 FBI의 인터넷 범죄 불만 센터(IC3)에, 소비자 중심 사기의 경우 FTC에 보고하십시오
• 유사한 변조가 있는지 확인하기 위해 배포된 다른 코드들을 검토하십시오

문제가 발생하기 전에 사고 대응 계획을 마련하는 것이 압박 속에서 즉흥적으로 대처하는 것보다 훨씬 비용이 적게 듭니다.

자주 묻는 질문