스캐머들이 링크 사진을 메일로 보내기 시작한 이유

링크 스캐너는 단순하고 집요한 도구입니다. 이메일의 텍스트 URL을 읽고, 알려진 악성 도메인 목록과 대조하고, 리디렉션을 따라가며, 나쁜 곳으로 연결되는 것들을 표시합니다. 그것은 잘 작동합니다. 그래서 스캐머들은 명백한 일을 했습니다. 링크 보내기를 멈췄습니다.

대신 링크 사진을 보내기 시작했습니다.

이것이 "quishing" — QR 코드 피싱의 트릭입니다. QR 코드는 URL을 흑백 이미지로 인코딩한 것이므로, login-verify.example처럼 보이는 주소가 메시지 본문의 텍스트에서 픽셀로 바뀝니다. 중요한 점은 주소가 암호화되었다는 게 아닙니다. 누구든 카메라로 즉시 디코딩합니다. 중요한 점은 당신이나 텍스트 파서가 실행하기 전에 읽을 수 있는 어디에도 더 이상 기록되지 않는다는 것입니다.

필터가 여전히 읽을 수 있는지는 전적으로 제품에 따라 달라집니다. 영국의 National Cyber Security Centre는 2024년 2월 QR 코드에 관한 주의 사항에서 한계를 조심스러운 말로 표현합니다: "피싱 이메일을 탐지하기 위해 설계된 모든 보안 도구가 이미지를 스캔하는 것은 아닙니다." 그것이 말하지 않는 것을 주목하세요. 어느 것도 하지 않는다고 말하지 않습니다. Microsoft는 2024년 11월에 다른 측면을 발표했습니다. Defender for Office 365는 "QR 코드에서 URL을 추출하는 능력을 개선"했으며, 메일 흐름 초기에 이미지 처리를 사용하여 "QR 코드 내에 숨겨진 URL을 추출하고 기록"하고, 이제 QR 메타데이터도 추출하며 주변 패턴 — 최소한의 본문 텍스트, 브랜드 유인, 리디렉션 체인을 찾습니다. 따라서 "필터가 읽을 수 없다"는 것은 많은 제품의 경우 한때 참이었고, 여전히 일부의 경우 참이며, 자연의 법칙이 아닙니다. 당신의 자신의 메일에 대해 그것이 참인지 알고 싶다면, 그것은 QR 코드에 관한 질문이 아니라 당신의 제공자의 제품과 설정에 관한 질문입니다.

검증 가능한 숫자들은 같은 벤더에서 나오며, 범위를 첨부하여 읽을 만한 가치가 있습니다. Microsoft의 2024년 11월 게시물은 "일부 공격이 월 270%의 성장률로 증가"하는 급증을 설명하고, "최고조에 Defender for Office 365는 매일 3백만 건의 시도를 차단했다"고 말하고, 탐지 작업이 배포된 후 "이 숫자가 매일 200,000개의 QR 코드 피싱 시도로 축소되는 것을 보았다"고 합니다. Microsoft의 Digital Defense Report 2026은 현재 규모에 대한 총계를 제시합니다: 2025년 7월부터 2026년 6월까지 Defender for Office 365에 의해 탐지된 145+백만 건의 QR 코드 피싱 공격. 이 모든 수치는 한 벤더가 자신의 제품에 대해 자가 보고한 원격 측정입니다. 이는 모든 피싱의 점유율이 아니며, 산업 전체 총계도 아닙니다. — 이 기사의 이전 버전에서는 Microsoft 발행물이 지원하는 것으로 보이지 않는 25% 점유율을 인용했으며, 그 수치는 대체되지 않고 제거되었습니다.

이 기법을 지속시키는 것은 인코딩이 아니라 전달입니다. 이메일이 노트북에 도착하면, 기업 필터, 관리 브라우저 및 비밀번호 관리자가 있습니다. 코드가 휴대폰에서 스캔되는데, 이는 보통 개인 기기입니다. NCSC는 범죄자들이 이 방법을 선호하는 이유 중 하나로 이를 나열합니다: "개인 기기는 당신의 고용주가 제공하는 컴퓨터와 동일한 보안 보호를 가지지 않을 수 있습니다." 휴대폰에서 주소 표시줄은 잘려 있고, 전체 URL은 검사하기 어렵고, 잘못된 도메인에서 자동 채우기를 거부했을 비밀번호 관리자는 전혀 관여하지 않습니다.

테마는 지루하게 예측 가능하며, 이는 그 자체로 단서이고, 소비자 경고에서 거의 그대로 나타납니다. FTC의 2023년 12월 경고는 스캐머들이 주차 미터기의 실제 QR 코드를 자신의 스티커로 덮는 것을 설명하고 명백하게 경고합니다: "예상하지 못한 이메일이나 문자 메시지의 QR 코드를 스캔하지 마세요", 특히 즉시 행동을 강요하는 것입니다. FBI의 IC3 공중 서비스 공지(2022년 1월)는 변조에 대해 동일하게 말합니다. — "사이버 범죄자들은 합법적인 코드를 악성 코드로 대체하기 위해 디지털 및 물리적 QR 코드를 모두 변조합니다" — 그리고 사람들에게 물리적 코드에서 "원래 코드 위에 붙인 스티커"를 확인하도록 말합니다. 만료되는 다중 인증을 다시 활성화하기 위한 코드, 예상하지 못한 서명 요청, 배송 확인을 요청하는 배송 알림: 설계 목표는 항상 무엇이든 확인되기 전에 휴대폰을 집어드릴 작은, 그럴듯한 이유입니다.

따라서 방어적 조치는 지루한 것들이며, 이들은 기관이 실제로 발표하는 것들입니다. IC3의 조언은, 스캔 후 결제나 로그인을 원하는 메시지의 경우입니다: "회사에 전화하여 확인하세요", "이메일에 제공된 번호보다는 신뢰할 수 있는 사이트를 통해 회사의 전화번호를 사용하여", 그리고 "QR 코드에서 탐색한 사이트를 통한 결제를 피하세요. 대신 알려진 신뢰할 수 있는 URL을 수동으로 입력하세요." 그 어느 것도 특정 사각형이 악성인지 판단하도록 요구하지 않습니다. — 이는 인간이 잘하는 부분이 아닙니다.

이메일의 QR 코드가 절대 당신에게 말해주지 않는 한 가지는 메시지가 위조되었는지 여부입니다. 도메인 인증은 완전히 다른 질문에 답하며, 현재 DMARC 사양은 명시적으로 "콘텐츠 분석"을 범위 밖에 둡니다. — 이것이 완전히 인증된 메시지가 악성 이미지를 전달할 수 있는 이유입니다. 그 메커니즘은 자신의 읽기를 할 가치가 있으며, 이 시리즈의 동료 기사의 주제입니다.

정정, 2026년 10월 20일. 이 기사의 이전 버전에서는 스팸 필터가 QR 코드를 읽을 수 없고 스캐너가 인코딩된 주소에 맹목적이라고 말했습니다. 이는 일부 이메일 보안 제품에 대해 참이고 다른 제품에 대해서는 거짓입니다: Microsoft는 2024년 11월 Defender for Office 365에서 QR 코드의 URL 추출을 문서화했으며, NCSC의 표현은 모든 도구가 이미지를 스캔하는 것은 아니라는 것입니다. 이 기사는 또한 이메일 피싱의 약 25%가 QR 코드를 사용한다는 수치를 인용했으며, 이를 Microsoft에 귀속시켰습니다. 그 점유율을 지지하는 Microsoft 발행물을 찾을 수 없었으므로, 그 수치는 제거되고 Microsoft가 직접 발표하는 수치로 대체되었으며, 해당 제품과 기간이 명시되어 있습니다. 라이브 링크로 렌더링되던 시연 피싱 도메인은 예약된 .example 네임스페이스의 클릭할 수 없는 예제로 대체되었으며, CISA 홈페이지로의 인용은 특정 FBI IC3 및 FTC 권고로 대체되었습니다.

@@END@@