QR 코드 피싱: 비즈니스를 보호하는 방법

귀사는 어떤 QR 코드가 변조되었는지 모른 채 사용하고 있습니까? 일반적으로 “퀴싱(quishing)”이라고 불리는 QR 코드 피싱은 일상적인 편의를 자격 증명 탈취 함정으로 바꾸며, 기존 보안 필터는 이를 완전히 놓치는 경우가 많습니다. 이 가이드는 이러한 공격이 어떻게 작동하는지, 기업에 어떤 비용을 초래하는지, 그리고 이를 막기 위해 어떤 특정 제어 장치를 마련할 수 있는지 다룹니다.

QR 코드 피싱 작동 방식

QR 코드 피싱은 근본적인 약점을 악용합니다. 바로 QR 코드는 사람이 읽을 수 없다는 점입니다. 기존 URL의 경우, 훈련된 눈은 종종 스푸핑된 도메인이나 의심스러운 문자열을 잡아낼 수 있습니다. QR 코드는 이 모든 것을 숨깁니다. MobileIron의 글로벌 부사장인 Alex Mosher는 다음과 같이 설명합니다.

“QR 코드는 본질적으로 목적지를 숨깁니다. 따라서 감지되지 않고 QR 코드를 변경하여 다른 리소스를 가리키도록 하는 능력은 간단하고 매우 효과적입니다.”

공격자는 QR 코드 내부에 악성 URL을 삽입하여 피해자를 자격 증명 탈취를 목적으로 하는 가짜 로그인 페이지나 악성 프로그램 다운로드를 유발하는 사이트로 리디렉션합니다. 문제를 더욱 복잡하게 만드는 것은, 많은 이메일 보안 시스템이 QR 코드 이미지를 디코딩할 수 없다는 점입니다. 이들은 링크가 아닌 그림으로 인식하므로, 일반 피싱 URL을 잡아낼 필터를 페이로드가 통과하게 됩니다.

2023년, QR 코드 피싱은 전체 피싱 공격의 22%를 차지했습니다. 한 대규모 퀴싱 캠페인은 몇 달 만에 2,400% 증가했으며, 기업을 대상으로 한 작전 분석 결과 악성 이메일의 약 29%에 QR 코드가 포함된 것으로 나타났습니다.

공격자가 악성 QR 코드를 심는 곳

이메일 및 문서 공격 가장 일반적인 전달 방법입니다. 공격자는 이메일 보안 필터를 우회하기 위해 PDF 또는 Word 첨부 파일 내부에 QR 코드를 삽입합니다. 2023년, 퀴싱 공격의 82%는 신뢰할 수 있는 브랜드를 사칭했습니다. 관찰된 사례의 51%에서 Microsoft가 표적이 되었고, DocuSign이 31%, Adobe가 15%를 차지했습니다. 2024년 중반부터 2024년 말까지 연구원들은 PDF에 삽입된 QR 코드를 포함하는 500,000개 이상의 피싱 이메일을 발견했습니다.

물리적 변조 마찬가지로 위험합니다. 공격자는 식당, 주차 미터기, 공항, 소매점 등 유동 인구가 많은 장소의 합법적인 코드 위에 사기성 QR 코드 스티커를 붙입니다. 샌프란시스코에서는 범죄자들이 주차 위반 딱지에 위조 QR 코드를 부착하여 사용자를 신용 카드 정보를 훔치기 위해 설계된 가짜 교통 페이지로 유도했습니다. 사회보장국은 공식 표지판의 합법적인 QR 코드는 일반적으로 스티커가 아니며, 스티커 형태로 부착된 코드는 의심스럽게 취급해야 한다고 특별히 경고합니다.

사회 공학적 유인 상황을 완성합니다. 피해자는 할인 혜택을 받거나, 무료 Wi-Fi에 연결하거나, 설문 조사를 완료하기 위해 QR 코드를 스캔하도록 유도됩니다. 싱가포르에서 기록된 한 사례에서는 한 여성이 버블티 가게에서 로열티 보상을 기대하며 코드를 스캔했습니다. 대신 악성 앱이 그녀의 휴대폰에 다운로드되었고, 공격자들은 그녀의 은행 계좌에서 2,000달러를 빼냈습니다.

이러한 공격이 기업에 미치는 비용

자격 증명 및 데이터 도난

퀴싱 공격의 거의 90%는 로그인 자격 증명과 민감한 데이터를 훔치기 위해 특별히 설계되었습니다. 공격자는 피해자를 Microsoft 365, SharePoint 또는 은행 포털의 설득력 있는 복제본으로 리디렉션합니다. 임원들은 그들의 자격 증명이 중요한 시스템과 특권 데이터를 잠금 해제하기 때문에 불균형적으로 표적이 됩니다.

개인 기기는 상황을 더욱 악화시킵니다. 직원들이 기업 관리 시스템에 등록되지 않은 휴대폰으로 QR 코드를 스캔하면, IT 팀은 무슨 일이 일어났는지 또는 무엇에 접근했는지 전혀 알 수 없습니다.

재정적 손실

2023년 데이터 유출의 평균 비용은 $445만 달러에 달했으며, 비즈니스 이메일 침해(BEC) 사기는 규제 벌금 및 법적 비용을 고려하기 전 평균 $489만 달러였습니다. 직접적인 피싱 손실은 전년 대비 76% 급증했습니다. 개별 사건들은 그 규모를 보여줍니다: 영국 철도역 사기로 한 피해자는 13,000파운드의 빚을 지게 되었고; 캘거리의 한 가족은 페이스북 마켓플레이스 QR 코드 사기로 $10,000달러를 잃었습니다.

중소기업은 피해의 불균형적인 부분을 흡수합니다. 영국에서는 중소기업이 매일 약 65,000건의 사이버 공격에 직면하며, 성공적인 공격을 해결하는 평균 비용은 약 $33,700달러입니다.

운영 중단 및 명성 손상

도난당한 자격 증명은 랜섬웨어 배포의 진입점으로 자주 사용됩니다. 2023년에 조직들은 랜섬웨어 사고로부터 복구하는 데 평균 $182만 달러를 지출했습니다. 건설 및 엔지니어링 회사는 평균보다 19.2배 높은 QR 코드 공격 위험에 직면하며; 전문 서비스 회사는 18.5배 높은 위험에 직면합니다.

운영 중단 외에도, 기업은 고객 데이터가 노출될 경우 고객 이탈, 더 높은 사이버 보안 보험료, 그리고 규제 조사를 겪게 됩니다. 유출 후 신뢰를 재구축하는 것은 기술적 사고 자체를 해결하는 것보다 훨씬 더 오래 걸립니다.

QR 코드 피싱 방지 방법: 다층적 접근 방식

단일 제어만으로는 퀴싱을 제거할 수 없습니다. 보안 연구원, 연방 기관 및 기업 보안 팀의 일관된 권장 사항은 이메일 필터링, ID 제어, 엔드포인트 보호, 직원 교육 및 보고 워크플로우를 결합한 다층 방어입니다.

이메일 보안 제어

표준 링크 스캐닝을 넘어선 기능을 갖춘 이메일 보안 시스템을 구성하십시오. 효과적인 제어에는 다음이 포함됩니다:

• OCR(광학 문자 인식) 가능 필터링 이메일 내 QR 코드 이미지를 디코딩하고 위협 인텔리전스에 대해 포함된 URL을 분석하는 기능
• 안티피싱 정책 이미지 기반 페이로드, 특히 PDF 또는 Office 문서 첨부 파일에 포함된 QR 코드를 플래그 지정하도록 조정된 정책
• 이메일의 원치 않는 QR 코드를 기본적으로 고위험으로 처리하는 엄격한 스팸 게이트웨이 규칙

특히 Microsoft 365 환경의 경우, Microsoft Defender for Office 365는 평판 확인 및 안전 링크 평가를 위해 포함된 URL을 표면화하기 위한 QR 코드 이미지 디코딩을 포함합니다.

ID 및 액세스 제어

도난당한 자격 증명은 사용될 수 있을 때만 유용합니다. 계층화된 ID 제어는 이러한 위험을 크게 줄입니다:

• 다단계 인증 (MFA) 모든 계정에 걸쳐, 고권한 사용자 및 임원에 대해서는 더 강력한 인증 요구 사항 적용
• 피싱 방지 MFA 방법 하드웨어 보안 키 또는 패스키와 같이 합법적인 도메인에 연결되어 사기성 사이트에 의해 가로채질 수 없는 방법
• MFA를 지원하지 않는 레거시 인증 프로토콜 차단으로 일반적인 우회 경로 제거
• 관리되지 않는 장치에서의 로그인 시도를 플래그 지정하거나 차단하는 조건부 액세스 정책

QR 코드가 인증 워크플로와 어떻게 교차하는지에 대한 더 깊은 맥락은 다음을 참조하십시오. QR 코드가 다단계 인증을 간소화하는 방법.

엔드포인트 및 장치 보호

최신 엔드포인트 보안이 적용된 관리 장치는 중요한 안전망을 제공합니다:

• 모든 관리 장치에 엔드포인트 탐지 및 대응(EDR) 배포
• 알려진 피싱 도메인에 도달하기 전에 사용자에게 경고하는 브라우저 평판 확인(예: Microsoft SmartScreen) 활성화
• 업무용 QR 코드 스캔에 사용되는 휴대폰에 보안 기준을 적용하는 모바일 장치 관리(MDM) 정책 적용
• 회사 네트워크에서 관리되지 않는 장치로부터의 다운로드 제한

FTC는 기기 운영 체제를 최신 상태로 유지하고 계정 전반에 걸쳐 강력하고 고유한 비밀번호를 사용하는 것이 성공적인 피싱 시도의 영향을 줄이는 기본적인 위생 수칙이라고 조언합니다.

직원 교육 및 인식

귀사의 직원들은 큐싱에 대한 가장 직접적인 방어선이며, 교육은 명확해야 합니다. 일반적인 피싱 인식은 QR 코드 위협으로 자동적으로 전이되지 않습니다.

효과적인 교육 프로그램은 다음을 다룹니다:

• QR 코드가 위험한 이유: 스캔하기 전까지는 목적지가 숨겨져 있음
• QR 코드를 포함한 이메일의 위험 신호: 긴급성, 일반적인 인사말, 알려진 브랜드로부터의 원치 않는 메시지, 로그인 자격 증명 요청
• 물리적 변조 징후: 인쇄물 위에 스티커로 부착된 코드, 비공식 표지판의 코드
• 확인 습관: 예상치 못한 이메일로 QR 코드가 도착하면, 코드를 스캔하는 대신 알려진 전화번호나 공식 웹사이트를 통해 발신자에게 연락하기
• URL 검사: 스캔 후, 자격 증명을 입력하기 전에 브라우저 바의 URL을 확인하세요. 오타, 글자 뒤바뀜 또는 익숙하지 않은 도메인을 찾아보세요.

미국 보건복지부는 최종 사용자가 건전한 회의론을 유지하고 의심스러운 발신자 주소, 스푸핑된 링크, 부적절한 문법과 같은 지표를 인식하도록 교육할 것을 권장합니다. 이 모든 것은 텍스트 기반 피싱 캠페인과 마찬가지로 QR 기반 피싱 캠페인에서도 나타납니다.

표준 피싱 시뮬레이션과 함께 시뮬레이션된 큐싱 훈련을 실행하세요. 임원, 재무팀, 관리자 권한을 가진 모든 사람과 같은 고위험 그룹을 대상으로 더 빈번하고 현실적인 시나리오를 적용하세요.

더 넓은 관점에서 사이버 방어의 QR 코드 보안 모범 사례, 암호화 및 인증 페어링을 포함하여, 해당 가이드는 기술적 통제에 대해 더 깊이 다룹니다.

보고 및 사고 대응

직원들은 이메일과 물리적 공간 모두에서 의심스러운 QR 코드를 보고할 수 있는 명확하고 마찰 없는 방법이 필요합니다. 이메일 클라이언트의 피싱 보고 버튼은 디지털 보고의 마찰을 줄여줍니다. 물리적 코드의 경우, 의심스러운 스티커나 변조된 자료를 표시하고 사진 찍는 방법에 대한 지침을 제공하세요.

귀사의 사고 대응 계획은 퀴싱 시나리오를 구체적으로 다루고 명확한 단계를 포함해야 합니다:

• 악성 QR 코드를 통해 자격 증명을 제출했을 수 있는 모든 계정을 격리하십시오
• 활성 세션을 취소하고 즉시 비밀번호를 재설정하십시오
• 스캔과 응답 사이의 시간 동안 무단 액세스 또는 데이터 이동이 있었는지 확인하십시오
• 귀사의 침해 통지 정책에 따라 영향을 받은 개인에게 통지하십시오
• QR 코드가 기존 통제를 어떻게 우회했는지 파악하기 위해 사후 사고 검토를 수행하십시오

공격자가 발견하기 전에 취약점을 찾기 위해 퀴싱 시나리오를 포함하는 침투 테스트를 실행하십시오.

귀사가 배포하는 QR 코드: 자체 코드 보안

퀴싱을 방지하는 것은 또한 귀사가 발행하는 QR 코드가 고객이나 직원을 상대로 무기화될 수 없도록 보장하는 것을 의미합니다.

정적 QR 코드 대신 동적 QR 코드를 사용하세요. 정적 코드는 대상 URL을 영구적으로 인코딩합니다. 만약 그 대상이 손상되면, 코드는 재인쇄 없이는 수정할 수 없는 책임이 됩니다. 동적 QR 코드 귀사가 제어하는 짧은 리디렉션 URL을 가리키도록 하십시오 – 인쇄물을 건드리지 않고도 관리 대시보드에서 대상을 업데이트하거나, 새 페이지로 리디렉션하거나, 코드를 완전히 비활성화할 수 있습니다.

발행된 QR 코드를 통제하십시오 배포된 코드 중 하나가 변조되었거나 안전하지 않은 곳을 가리키고 있다고 의심되면 즉시 업데이트하거나 비활성화할 수 있습니다. 다음을 사용하십시오 동적 QR코드 생성기 실시간 스캔 분석 기능을 갖춘 중앙 집중식 대시보드에서 모든 코드를 관리하십시오.

코드에 일관된 브랜딩을 적용하십시오. 사람들의 71%는 가짜 QR 코드와 합법적인 QR 코드를 확실하게 구별할 수 없습니다. 로고, 회사 색상, 대상 URL의 사용자 지정 도메인이 포함된 브랜드 QR 코드는 사용자에게 코드가 진짜라는 시각적 신호를 제공합니다. 불투명한 짧은 URL을 가진 일반적인 흑백 QR 코드는 그러한 확신을 제공하지 않습니다.

스캔 분석에서 이상 징후를 모니터링합니다. 동적 QR 코드는 타임스탬프, 장치 유형, 지리적 위치를 포함한 스캔 데이터를 수집합니다. 예상치 못한 지역에서의 갑작스러운 스캔 급증 또는 정상 업무 시간 외의 스캔 활동은 코드 중 하나가 악의적으로 복사되어 재배포되었음을 나타낼 수 있습니다. Pageloot의 분석 대시보드는 이러한 패턴을 표면화하여 신속하게 조사하고 대응할 수 있도록 합니다.

코드에서 어떤 스캔 데이터를 수집하고 이를 책임감 있게 해석하는 방법에 대한 자세한 내용은 다음을 참조하십시오. 동적 QR 코드가 추적하는 데이터 이해하기.

정기적인 물리적 감사를 수행합니다. 식당 테이블, 이벤트 안내판, 차량 디스플레이 또는 소매점 창문과 같이 공개 또는 반공개 공간에 표시된 모든 QR 코드에 대해 정기적으로 물리적으로 코드를 검사하십시오. 원본 코드 위에 붙여진 스티커가 있는지 확인하고 고객이 접하기 전에 각 코드의 목적지를 테스트하십시오.

HTTPS 목적지만 사용하십시오. QR 코드가 연결하는 모든 URL은 HTTPS를 사용해야 합니다. 사용자를 암호화되지 않은 HTTP 목적지로 보내는 것은 신뢰를 훼손하고 전송 중인 데이터를 노출시킵니다.

추가 지침은 다음을 참조하십시오. QR 코드 개인 정보 보호 위험 및 피하는 방법, 사용자 개인 정보 보호와 분석의 균형을 맞추는 방법을 포함하여, 해당 자료는 기업이 종종 간과하는 데이터 고려 사항을 다룹니다.

탐지 도구 평가

직원 교육 및 플랫폼 제어는 위험의 상당 부분을 해결하지만, 특히 이메일 양이 많거나 복잡한 QR 코드 배포를 하는 조직의 경우 전용 탐지 도구가 또 다른 계층을 추가합니다. 옵션을 평가 중이라면, QR 코드 피싱 탐지용 도구 엔터프라이즈 행동 분석 플랫폼부터 이메일 게이트웨이 애드온 및 내장된 평판 확인 기능이 있는 모바일 스캔 앱에 이르기까지 다양합니다.

올바른 조합은 기존 보안 스택, 배포하는 QR 코드의 양과 수신하는 QR 코드의 양, 그리고 물리적 변조가 해당 위치에 중요한 문제인지 여부에 따라 달라집니다. 퀴싱은 가상의 위협이 아닙니다. 이는 실제 피싱 활동의 상당 부분을 차지하며, 대부분의 조직이 이미 갖추고 있는 제어를 우회하고, 이를 인식할 준비가 가장 덜 된 기업과 사용자를 불균형적으로 표적으로 삼습니다. 이러한 격차를 해소하려면 이메일 보안, ID 제어, 직원 교육 및 직접 게시하는 QR 코드 전반에 걸쳐 의도적인 조치가 필요합니다.

MFA, 직원 인식, 게시된 코드를 동적 관리로 전환하는 등 즉시 구현할 수 있는 제어부터 시작하여, 퀴싱 공격이 조직에 대해 지속적으로 실패하도록 만드는 다층 방어를 구축하십시오.

자주 묻는 질문