📸 내 개인정보 QR 속에 저.장.

출처: 연합뉴스

구독자님 안녕하세요! 🐣

요즘은 QR 코드가 없으면 생활이 안 될 정도죠. 카페 메뉴판, 출입 인증, 설문조사, 행사 등록.. “찍는 게 자연스러운 행동”이 되어버렸어요. 📷✨

그런데 바로 이 익숙함을 노린 공격이 최근 ‘주의보’급으로 올라왔습니다. 북한 연계 해킹 조직으로 알려진 김수키(Kimsuky)가 악성 QR코드를 이용한 새로운 피싱 수법을 실제로 써먹고 있고, 미국 FBI가 공식 경고를 낸 데 이어 국내에서도 KISA 등에서 주의를 당부했거든요!👻

이번 뉴스레터에서는 사건의 전말과 퀴싱 수법이 무엇인지, 또 김수키가 왜 하필 QR 퀴싱을 사용했는지 알아보겠습니다!

 📰 김수키 ‘QR 퀴싱’ 경고, 무슨 일이 있었나요?

출처: ASEC

2026년 1월 8일, 미국 연방수사국(FBI)은 사이버보안 속보(FLASH)를 발표하며, 북한과 연계된 해킹 조직 ‘김수키(Kimsuky)’가 악성 QR 코드를 이메일에 포함해 표적 공격을 벌이고 있다고 공식 경고했습니다.

보안 기관에 따르면 김수키는 싱크탱크, 학술기관, 외교·정책 관련 NGO, 정부 관계자 등을 겨냥해 사회공학적 이메일을 보내고, 이메일 본문이나 첨부에 QR 코드를 삽입해 사용자가 스캔하도록 유도했습니다. 스캔 이후에는 공격자가 통제하는 피싱 사이트로 연결되어 계정 자격증명 탈취, 악성 파일 설치 유도, 세션 토큰 탈취 등 다양한 피해로 이어졌어요.

특히 이 공격은 훨씬 전통적인 이메일 보안과 PC 기반 보호를 우회하고, 보안 정책이 적용되지 않는 모바일로 피해 흐름을 유도한다는 점에서 위험성이 높다고 평가되고 있어요. 국내에서도 한국인터넷진흥원(KISA)이 정부기관·싱크탱크 직원을 사칭한 큐싱 공격이 포착됐다며 공식 경고를 발표했습니다.

공격자는 QR 스캔을 유도한 이후악성 앱 설치 유도 피싱 로그인 페이지 연결 등을 통해 인증 정보를 탈취하려 했다고 분석됐습니다.🔍

 📌 퀴싱(Quishing)이란?

출처: ESTsecurity

퀴싱(Quishing)은 QR Code Phishing이라고 할 수 있는데요, 정의 자체는 단순합니다.

공격자가 악성 URL을 QR 코드 안에 숨겨서, 사용자가 스캔하면 피싱 페이지 또는 악성 앱 설치로 이어지게 만드는 방식이에요. 🔐 방식 자체는 단순하지만, QR 코드가 가진 특성 때문에 기존 피싱보다 인지와 탐지가 훨씬 어렵다는 점이 문제로 지적되고 있어요.

퀴싱과 기존 피싱의 가장 큰 차이는 사용자가 공격에 노출되는 행위 방식에 있습니다. 기존 피싱은 문자나 이메일에 포함된 링크를 클릭하는 구조로, URL이 텍스트 형태로 노출됩니다. 이 경우 메일 보안 솔루션이나 URL 필터링 장비가 링크를 분석·차단할 기회를 가질 수 있어요.😨

반면 QR 퀴싱은 링크가 QR 이미지 안에 숨겨져 있습니다. 사용자는 링크를 클릭했다는 인식 없이, 단순히 카메라로 QR을 스캔했을 뿐이라고 느끼기 쉽습니다. 특히 모바일 환경에서는 연결된 URL을 길게 확인하지 않고 그대로 접속하는 경우가 많아, 피싱 여부를 인지하지 못한 채 다음 단계로 넘어가게 됩니다!

이로 인해 QR 퀴싱은 사용자뿐 아니라 보안 솔루션의 경계도 동시에 우회할 수 있는 공격 방식으로 평가됩니다. 이메일 본문에 URL이 직접 노출되지 않기 때문에, 전통적인 이메일 보안 체계가 이를 정상 이미지로 처리하고 통과시키는 사례도 발생할 수 있습니다.

결과적으로 QR 퀴싱은 ‘링크를 숨긴 채 사용자의 행동을 바꾸는 방식’으로, 사람의 경계심과 기존 보안 체계 사이의 빈틈을 동시에 노리는 공격 기법이라고 볼 수 있습니다.

 ❓김수키는 왜 ‘QR 피싱’을 했을까?

하지만 “QR 코드”는 새로운 기술이라기엔 오래됐습니다. 왜 하필 지금 이 방식이 먹히는 걸까요? FBI와 국내 보도를 합쳐보면, 이유가 꽤 명확해요. 😶

1) 보안 솔루션 우회를 ‘구조적으로’ 노린다

FBI는 퀴싱을 기업 PC에서 모바일로 피벗(pivot)시키는 공격이라고 설명합니다. 즉, 회사 PC는 보통 보안 정책이 잘 되어 있지만, 개인 스마트폰은 상대적으로 관리 밖인 경우가 많다는거죠!💡

보안 뉴스에서도 QR을 찍는 순간, 공격 흐름이 PC 보안 정책 밖(개인 모바일)에서 시작되니 방어자 입장에서는 더 치명적이라고 말합니다.

2) 이미지(QR)은 메일 보안을 더 잘 통과한다

기존 피싱은 URL이 본문에 노출되거나 첨부 링크로 들어가서, 메일 보안이 URL 검사 및 차단을 할 여지가 있어요. 그런데 퀴싱은 URL이 QR 이미지 안에 숨어 있죠.

FBI는 이런 방식이 URL inspection/rewrite/sandboxing 같은 전통적인 이메일 보안 통제를 회피하는 데 유리하다고 설명합니다.

3) 가짜 로그인에서 끝이 아닌, MFA(2차 인증) 우회까지 간다

여기서 끝나는 것이 아니라, 더 무서운 포인트가 있는데요! FBI는 퀴싱이 단순 계정 및 비밀번호 탈취로 끝나지 않고, 경우에 따라 세션 토큰 탈취 및 재사용으로 이어져 MFA를 우회할 수 있다고 설명합니다.

즉, ‘2차 인증 켜놨으니 안전하겠지’라는 믿음까지 노리는 공격이 될 수 있다는 것이죠. 😨

 🌊년도 별 김수키의 공격 흐름

앞서 말한 것처럼, 김수키는 갑자기 QR 퀴싱을 사용하기 시작한 조직은 아닙니다. 기존에도 이메일 기반 스피어 피싱, 문서 첨부형 공격, 가짜 로그인 페이지를 활용한 자격증명 탈취 등 전통적인 피싱 수법을 지속적으로 활용해 왔어요. 🤐

1) 2024년 - 표적형 사회공학 공격의 확산

2024년에는 김수키가 SNS와 메신저 기반 공격을 통해 표적형 침투를 시도한 사례가 포착됐어요.

출처: Genians

예를 들어, 북한인권 분야 공직자를 사칭해 페이스북 메신저를 통해 접근한 뒤 신뢰 관계를 형성하고, 악성 URL 클릭을 유도해 악성코드를 유포한 정황이 보안뉴스에 보고됐습니다. 이 공격은 페이스북 메신저를 초기에 활용하고, 악성 URL과 문서 파일을 통해 클라우드 서비스 접근으로 이어지게 하는 방식이었습니다.

2) 2025년 - 모바일·QR 기반 캠페인의 등장 정황

2025년에는 사이버 공격 유형 중 QR 코드 기반 공격(큐싱/Quishing)이 보안 업계의 핵심 이슈로 거론됐어요. 국내 보안뉴스는 2025년 보안 핫 키워드로 큐싱(Qshing)을 포함해, QR 코드와 피싱이 결합된 공격이 비대면 금융사기 및 악성 앱 설치 등으로 이어질 수 있다고 소개했습니다. 👿

특히 2025년 말에는 김수키가 QR 코드를 악용해 모바일 악성코드를 유포한 사례가 외신과 보안 리서치 그룹을 통해 확인됐습니다.

이 공격은 택배 배송 조회를 가장한 스미싱 문자로 유도된 사이트에 QR 코드를 게시해 스캔을 유도하고, 결과적으로 악성 안드로이드 앱 설치로 연결하는 방식이었습니다. 최신 변종 악성 APK는 네이티브 복호화 기능과 다양한 디코이(미끼) 동작을 포함해 공격 효율을 높였습니다.

이처럼 2025년은 QR 기반 침투 수법이 실전 공격에 적용된 정황이 명확히 드러난 시기라고 볼 수 있습니다.

결과적으로 2026년은 퀴싱이 기존 피싱의 연장선이 아니라, 모바일 중심 공격 벡터로 자리 잡았다는 사실이 공신력 있는 기관에 의해 공식화된 해라고 할 수 있죠!

🚨정부/KISA가 “주의보”까지 낸 이유

국내에서 KISA가 큐싱(Quishing)에 대해 공식 주의보를 낸 이유는, 이 공격이 단순한 개인 피해를 넘어 기관·업무 환경을 직접 겨냥하고 있기 때문이에요.

KISA는 최근 포착된 공격 사례에서, QR 코드를 스캔한 이후 스마트폰 권한 탈취형 악성앱 설치, 정상 서비스와 유사한 로그인 페이지로 이동 등의 흐름이 확인됐다고 밝혔습니다. 📰

특히 주목되는 점은 공격의 시작점이 ‘개인 스마트폰’이라는 점입니다. 업무용 PC는 메일 보안, 네트워크 차단, 접근 통제 등 다양한 보호 장치가 적용돼 있지만, 개인 스마트폰은 상대적으로 관리 범위 밖에 놓여 있는 경우가 많습니다. 공격자는 QR 스캔을 통해 의도적으로 이 보안 공백을 노립니다.

또한 정부·연구기관·싱크탱크를 사칭한 사례가 확인되면서, 단순 무차별 공격이 아닌 명확한 표적 공격으로 판단된 점도 주의보 발령의 배경입니다.

QR 퀴싱은 “업무상 필요한 절차”로 위장되기 쉬워, 피해자가 의심 없이 대응할 가능성이 높습니다. 즉 이번 주의보는, 새로운 기술이 등장해서가 아니라 기존 보안 체계가 가장 약한 지점을 정확히 찌르는 공격이 실제로 사용되고 있기 때문에 나온 경고라고 볼 수 있습니다.

마무리

QR 코드는 이제 우리 일상에서 너무나 자연스러운 도구가 됐어요. 편리함에 익숙해질수록, 그 이면의 위험은 잘 보이지 않게 되죠. 이번 김수키의 QR 퀴싱 사례는 기술 자체보다 ‘익숙한 행동’이 어떻게 공격에 악용될 수 있는지를 보여준 사건이라고 볼 수 있습니다.

한 번의 QR 스캔은 가볍게 느껴질 수 있지만, 그 결과는 계정 탈취, 정보 유출, 장기적인 침투로 이어질 수 있습니다. 특히 업무와 일상이 섞여 있는 모바일 환경에서는, “한 번쯤은 괜찮겠지”라는 방심이 가장 큰 취약점이 되기도 합니다.

정부와 보안 기관의 조사와 경고는 지금도 이어지고 있습니다. 하지만 모든 공격을 사전에 차단하는 것은 현실적으로 어렵고, 결국 사용자 한 사람, 한 사람의 경계심이 마지막 방어선이 됩니다.

오늘 뉴스레터가 “이 QR, 정말 찍어도 되는 걸까?”한 번쯤 다시 생각해보는 계기가 되었기를 바랍니다! 다음 주에도 생활 속에서 놓치기 쉬운 보안 이야기를 더 흥미롭게 전해드릴게요.

읽어주셔서 감사합니다! 🐣

구독자님, 오늘 뉴스레터는 어떠셨나요?
해킹/보안 관련 콘텐츠를 계속 받아보고 싶으시다면 구독 부탁드려요! 🙌