스캔 전 QR 코드 내용을 먼저 확인하세요

다음 두 상황에서 이 방법을 사용하세요. 완전히 신뢰할 수 없는 코드를 스캔하려는 경우와, 다른 곳에서 생성한 코드를 인쇄하려는 경우입니다. 같은 방법으로 두 상황 모두 확인할 수 있습니다.

1단계 — 열지 말고 페이로드 읽기

QR 코드에는 텍스트가 들어 있습니다. 스캐너는 그 텍스트를 디코드한 즉시 실행합니다. URL을 열고, Wi-Fi 네트워크에 연결하고, 전화를 걸기 시작합니다. 디코더는 같은 텍스트를 디코드해 여러분에게 보여주기만 합니다. 이 차이가 안전을 위한 전체 여유입니다.

코드를 사진으로 찍거나 스크린샷한 뒤 QR 리더에서 이미지를 디코드하세요. 이 도구는 브라우저에서 전부 실행되므로 이미지가 업로드되지 않고 아무것도 열리지 않습니다. 원본 페이로드를 텍스트로 확인할 수 있습니다.

2단계 — 페이로드 유형 확인하기

QR 페이로드는 알아보기 쉬운 형식을 따릅니다. 접두사를 읽으면 스캐너가 어떤 동작을 했을지 알 수 있습니다.

정상적인 형식이 어떻게 구성되는지 알아보려면 각 유형 페이지를 확인하세요: Wi-Fi, vCard, 이메일, 전화, 일반 텍스트.

3단계 — 도메인 판단하기

URL 페이로드에서는 도메인이 중요합니다. 첫 번째 단일 슬래시부터 오른쪽에서 왼쪽으로 읽으세요. https://pay.cityparking.gov/meter/44에서 도메인은 cityparking.gov입니다. https://cityparking.gov.pay-now.click/meter/44에서는 pay-now.click이며, 알아보기 쉬운 부분은 장식에 불과합니다.

단축 서비스에 대해서는 한 가지 주의가 필요합니다. 서비스를 알아본다고 해서 목적지를 알 수 있는 것은 아닙니다. Unit 42는 이를 직접적으로 설명합니다. "보안에 신경 쓰는 사람이라도 스캔하기 전에 URL 미리보기를 확인하면, 단축 링크가 제시되었을 때 최종 목적지를 확인할 수 없습니다". 이들이 가장 악용된다고 지목한 세 서비스는 일반적인 QR 생성기 리디렉션 도메인입니다. 익숙한 단축 서비스라고 안심할 수 없습니다.

4단계 — 리디렉션 경로 따라가기

페이로드가 단축 링크이고 실제로 어디에서 끝나는지 알아야 한다면, 페이지를 로드하지 않고 확인하세요. 터미널에서 다음을 실행합니다.

curl -sIL "https://short.example/abc" | grep -i "^location:"을 실행하면 페이지 콘텐츠를 실행하지 않고 각 단계의 Location 헤더를 출력합니다. 몇 단계가 나타나는지 확인하세요. 예상한 목적지로 한 번 이동하는 것은 일반적이지만, 관련 없는 호스트를 여러 번 거치면 분석 또는 광고 중개자가 있다는 뜻인 경우가 많습니다. 이들은 각각 요청을 볼 수 있습니다. QR 프록시가 기록하는 정보에서 이러한 단계가 수집하는 내용을 설명합니다.

두 가지 주의점이 있습니다. 리디렉션은 IP, 사용자 에이전트 또는 시간에 따라 여러분에게는 한 목적지를, 다른 사람에게는 다른 목적지를 보여줄 수 있습니다. 따라서 깨끗한 결과가 증명하는 것은 바로 그때 여러분에게 일어난 일이지, 다른 나라의 고객이 보게 될 내용이 아닙니다. 또한 동적 코드의 목적지는 나중에 언제든 바뀔 수 있으며, 바로 이것이 동적 코드가 판매되는 이유입니다.

이메일로 받은 코드는 어떻게 확인하나요?

이 경우는 별도로 다뤄야 하며 더 위험합니다. NCSC는 QR 코드가 피싱 이메일에 사용되는 이유가 모든 보안 도구가 이미지를 검사하는 것은 아니기 때문이라고 설명합니다. 따라서 텍스트로 표시했다면 필터가 잡았을 악성 링크가 코드를 통해 필터를 통과할 수 있습니다. 또한 스캔하면 보호 수준이 업무용 컴퓨터보다 낮은 개인 휴대전화로 이동하게 됩니다.

확인 방법은 간단합니다. 화면에서 이메일 속 이미지를 바로 스캔하지 말고 파일로 저장한 뒤, 그 파일을 디코드하고 도메인을 읽으세요. 보호된 기기에서 벗어나지 않도록 휴대전화가 아니라 컴퓨터에서 하세요. 도메인이 이메일을 보낸다고 주장하는 조직과 정확히 일치하지 않으면 중단하세요. 메시지에 있는 수단이 아니라 평소 사용하는 방법으로 해당 조직에 연락하세요.

주의할 신호는 긴급함과 코드가 함께 제시되는 경우입니다. 배송 문제, 세금 고지, 저장 용량이 찬 메일함, 오늘 안에 확인해야 하는 계정 등이 여기에 해당합니다. 정상적인 조직은 긴급한 계정 문제를 해결하라며 인쇄된 사각형을 스캔하라고 요구하는 일이 거의 없습니다. 큐싱에서 공격 패턴을 자세히 설명합니다.

디코더로 알 수 없는 것은 무엇인가요?

확인의 한계를 분명히 알아야 판단을 정확하게 유지할 수 있습니다.

• 목적지가 안전한지 여부. 디코더는 주소를 보여줄 뿐 콘텐츠를 보여주지 않습니다. 알아보기 쉬운 도메인이라도 해킹된 페이지를 호스팅할 수 있습니다.
• 다른 사람이 보게 될 내용. 리디렉션은 IP, 사용자 에이전트 또는 시간대에 따라 다른 목적지를 보여줄 수 있습니다. 깨끗한 결과는 그 순간 여러분의 요청에 대한 결과일 뿐입니다.
• 내일 무엇을 하게 될지 여부. 동적 코드의 목적지는 확인한 뒤 언제든 바뀔 수 있습니다. 이것이 동적 코드가 판매되는 이유이며, "한 번 확인했다"는 말이 동적 코드에 대해 지속적으로 유효한 판단이 될 수 없는 이유입니다.
• 인쇄본이 파일과 일치하는지 여부. 위에 덧붙인 스티커 때문에 승인한 디자인과 벽에 붙은 실제 물체가 다를 수 있습니다. 실제 인쇄본을 디코드해야만 실제 인쇄본을 확인할 수 있습니다.

첫 번째와 마지막 한계 때문에 이 블로그의 사업자용 조언은 계속 같은 지점으로 돌아옵니다. 자신의 도메인에 정적 코드를 사용하는 방식만이 한 번의 확인을 계속 유효하게 유지하는 유일한 구성입니다.

5단계 — 인쇄하기 전에 직접 만든 디자인 확인하기

1분이면 할 수 있으며, 비용이 큰 문제를 통째로 예방할 수 있습니다.

1. 인쇄될 최종 디자인을 실제 인쇄물과 똑같이 내보냅니다.
2. 생성기 미리보기 파일이 아니라 내보낸 파일을 디코드합니다.
3. 페이로드가 여러분이 의도한 URL이며, 소유한 도메인에 있는지 확인합니다.
4. 다른 사람이 소유한 도메인의 단축 링크라면 인쇄하지 마세요. 정적 코드로 다시 생성합니다.
5. 인쇄 교정본이 도착하면 한 번 스캔하고, 여전히 올바른 곳으로 연결되는지 확인합니다.

코드가 이미 인쇄되어 이 확인이 늦었다면 인질 복구 가이드에서 남은 선택지를 확인하세요. 작동을 멈췄지만 아직 이유를 모른다면 QR 코드가 작동을 멈춘 이유부터 확인하세요.

여기에서 생성하는 코드는 입력한 내용과 정확히 일치하는 것으로 항상 디코드됩니다: URL QR 코드. 더 자세한 내용은 QR 코드 사기의 진실에서 확인하세요.