QR(Quick Response)코드의 편리성과 악용 가능성?

1. 개 요

손쉽게 다양한 정보를 함축하여 담을 수 있는 QR(Quick Response)코드가 여러 분야에서 널리 사용되고 있다. 하지만 대부분의 사용자들은 QR코드가 무엇이며, 어떠한 방식으로 사용되고 있는지 편리성에 따른 악용의 소지는 없는지 정확하게 알지 못한다. 예전에 게재한 글을 통해 잠시 QR코드의 악용 가능성에 대해 언급한 바 있지만 최근 해외 보안 관련 커뮤니티에 관련 글이 게재된 만큼 다시 한번 해당 내용에 대해 살펴본 후 혹여 있을지 모를 보안 위협에 대비 해야할 필요가 있을것 같다.

[ 참고 : QR Code: a channel to spread malware? ]
http://community.ca.com/blogs/securityadvisor/archive/2011/02/14/qr-code-a-channel-to-spread-malware.aspx?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+CS_CASecurityAdvisorResearchBlog+%28CA+Security+Advisor+Research+Blog+%28CS%29%29

[ 참고 : Android 용 스마트 폰 악성코드에 대한 최근 이슈 정리. ]
http://www.nprotect.com/v7/nsc/sub.html?mode=report_view&subpage=3&no=95&page=&field=&field_value=

2. QR코드 정의, 악용 가능성

QR코드란 2차원(매트릭스) 형식의 코드이다. "Quick Response" 코드의 약자이며, 어떠한 요구에 빠르게 응답할 수 있는 정보란 의미를 가지고 있다. 기존의 1차원 바코드는 20자 내외의 숫자 정보만 한정적으로 저장이 가능했으며, 전용 단말기를 통해 읽을 수 있어 상품 판매자 등만 확인이 가능했다.

반면, QR코드는 다양하고 방대한 정보를 함축적으로 저장할 수 있으며, 스마트폰의 스캔 어플리케이션을 통해 해당 정보를 누구나 손쉽게 얻을 수 있다.

그럼 QR코드는 어떤 방법으로 만들 수 있을까? 아래와 같이 특정 URL 정보를 담은 QR코드 제작 방법의 예를 통해 설명하도록 하겠다.

㉮ 우선 하기의 URL과 같은 QR코드 제작 사이트에 접속 후 아래의 그림과 같이 QR코드에 저장하고 싶은 URL을 기재한다.

※ QR코드 제작 사이트 : http://www.bit.ly/

위 그림의 적색박스를 살펴보면 아래와 같이 해당 URL에 대한 단축주소가 생성된 것을 알 수 있다.
 
※ http://www.nprotect.com/ -> http://bit.ly/cSNgWa

㉯ 위 과정을 통해 생성된 단축주소(http://bit.ly/cSNgWa) 끝에 아래의 그림과 같이 ".qr"
(http://bit.ly/cSNgWa.qr)을 붙인 후 접속하면 해당 URL의 정보가 담긴 QR코드 제작이 완료된다.

위와 같은 방법을 통해 QR코드 제작을 진행해보면 어떠한 정보든 QR코드로 손쉽게 함축적 저장이 가능하다는 것을 알 수 있으며, 악성파일 제작자나 유포자 또한, QR코드의 편의적 기능을 이용할 수 있다.

또한, QR코드가 악성파일에 대한 어떤 정보를 담고 있다 하더라도 일반 사용자들은 보통 단축주소와 QR코드에 대한 악의적 정보의 유/무 판단을 내리기가 쉽지 않다.

함축적 정보에 대한 저장과 함께 최근 주목을 받기 시작한 QR코드를 마케팅 측면에서 활용하기 위해 TV 광고 등 여러 분야에서 사용하고 있다. 위에서 설명한 바와 같이 단축주소와 같은 변환주소나 QR코드 등에 실제 어떠한 정보가 담겨 있는지 일반 사용자들은 크게 주의를 기울이지 않는다. 여기에 더해 각종 매체에서 QR코드 사용을 일반화할 경우 QR코드의 악용 가능성에 대한 주의는 더욱 느슨해질 것이 분명하다.

이러한 점을 노려 악성 어플리케이션 제작자들은 사회공학 기법 등 다양한 방법을 기반으로 QR코드를 악용할 계획을 세우고 또한, 악성 어플리케이션에 대한 유포 등을 위해 QR코드 제작을 병행할 수 있을 것이다. 만약 사용자들이 이렇게 악용된 QR코드 정보를 이용한다면 어떻게 될까? 우리가 원하는 편리성은 결국 양날의 칼이 되어 우리에게 돌아올 것이다.

3. 예방 조치 방법

스마트폰을 통해 우리는 많은 일들을 처리하며, 즐기고 활용한다. 여러 가지 용도로 활용되는 스마트폰이 널리 보급화 되면서 최근 모바일용 악성 어플리케이션이 봇물 터지듯 제작 되고 있다. 이러한 상황에서 현재 QR코드는 제작 의도에 따라 편리성에 의해 악용될 수 있으며, 이미 제작 및 유포 중인 악성 어플리케이션과 함께 새로운 보안 위협의 트랜드가 될 가능성이 있다.

이러한 보안 위협으로부터 안전하기 위해서는 ▶신뢰할 수 있는 보안 업체 제공의 모바일 백신을 반드시 스마트폰에 설치하고 업데이트를 통해 최신 엔진 및 패턴 버전으로 유지해 사용해야 하며, ▶사용자 스스로 단축주소, QR코드 등을 통한 보안 위협에 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있다.

※ 잉카인터넷 대응팀에서는 이러한 모바일 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.