QR 링크에 보이는 gov.kr, 접속 호스트를 분리해보니

QR코드를 찍은 뒤 보이는 주소에 익숙한 기관 이름이 들어 있어도 접속할 호스트는 전혀 다를 수 있다. 가상 주소 https://www.gov.kr@notice.example/confirm을 URL 규칙으로 분리하면 호스트는 notice.example이다. 앞의 www.gov.kr은 이 예시에서 ‘@ 앞 사용자정보’ 자리에 놓여 있다.

이 주소는 설명을 위해 만든 가상 예시이며 실제 피싱 주소나 접속 실험 결과가 아니다. 아래 도구는 입력한 문자를 브라우저 안에서 분리해 호스트를 보여준다. 주소를 열거나 서버에 보내지 않는다. QR 이미지 자체를 해독하거나 링크의 안전성을 판정하는 기능은 없다.

기관명이 나타난 위치를 바꿔 네 주소를 비교했다

주소의 구조를 설명한 MDN의 URI authority 문서와 URL.hostname 문서를 기준으로, 브라우저의 URL 파서를 사용하는 도구를 만들었다. 같은 ‘www.gov.kr’이라는 글자도 사용자정보·호스트의 일부·경로 중 어디에 있는지에 따라 의미가 달라진다.

첫 예시는 @ 앞의 사용자정보를, 두 번째는 긴 호스트 안에 들어간 기관명처럼 보이는 글자를, 세 번째는 경로에 들어간 글자를 혼동하기 쉬운 형태다. 어느 경우든 주소 어디엔가 특정 이름이 보인다는 사실만으로 그 기관의 사이트가 되지는 않는다. 표의 예시들은 악성 여부를 검사한 결과가 아닌 문법 비교다.

위 표의 호스트 비교를 참고하세요. 도구가 작동하면 이곳에 분리 결과를 표시합니다.

호스트가 같다고 안전 판정이 끝나지는 않는다

https:는 주소의 통신 방식을 나타낸다. HTTPS 연결이더라도 사이트 이름을 확인하라는 안내는 Google Chrome 도움말에도 나온다. 연결이 비공개라는 표시만으로 QR을 붙인 사람의 신원을 알 수는 없다. 짧은 주소나 중간 페이지를 거쳐 이동하는 링크라면 이 도구가 보여준 최초 주소의 호스트와 실제로 도착할 주소도 달라질 수 있다. 이 도구는 링크를 열지 않으므로 그런 이동을 확인하지 않는다.

호스트에 xn--로 시작하는 부분이 있으면 국제화 도메인의 ASCII 표기가 포함된 것이다. 정상 사이트도 사용할 수 있어 그 표시 자체를 악성으로 분류하지 않는다. 낯선 표기이거나 공식 도메인을 확신할 수 없다면 안내 기관의 앱이나 이미 알고 있는 공식 홈페이지에서 같은 서비스를 찾아 들어가는 편이 주소의 겉모양만 판단하는 것보다 낫다.

한국인터넷진흥원은 2026년 1월 10일 정부기관·싱크탱크 사칭 큐싱 주의 권고에서 QR을 이용한 악성앱 설치와 인증정보 탈취 시도를 알렸다. 출처 불명 메일·메시지의 QR은 촬영하지 말고, QR을 통해 들어간 곳에서 민감한 정보를 입력하거나 출처 불명 앱을 설치하지 않는 예방 조치가 필요하다. 스티커의 출처가 의심되면 QR 옆 로고만 믿고 진행하지 말고 시설 담당자에게 확인할 수 있다.

이미 열었다면 입력·설치 여부에 따라 대응이 달라진다

QR 주소를 확인하는 단계와 개인정보를 입력한 단계, 앱을 설치한 단계는 나눠 보아야 한다. 가짜 로그인 화면에 비밀번호를 넣었다면 해당 서비스의 공식 앱·사이트에서 계정을 보호하고, 금융정보를 입력했다면 금융회사에 곧바로 알리는 대응이 필요하다. 악성앱 감염이 의심되면 KISA 보호나라의 대응 안내를 확인하고 118로 상담할 수 있다. 실제 피해나 계정 상태를 이 도구가 진단하지는 않는다.

예약정보가 맞는 메시지도 별도 확인이 필요하다는 점은 호텔 결제 사칭 문자 사례와 연결된다. 입력·설치까지 진행했을 때의 확인 항목은 스미싱 링크를 연 뒤의 대응 안내도 참고할 수 있다.