금융감독원은 수요일 추석 여행 경보를 내고 고속도로 휴게소 주유기·화장실 문·피크닉 테이블에 붙은 가짜 기프트카드 QR 스티커를 경고했다. 보너스 명절 크레딧을 약속하는 코드를 스캔하면 결제 앱 정보가 털린다. 한국도로공사 유지보수팀이 경부·호남 휴게소 신고 후 경찰과 단속을 시작했지만, 벗기는 속도보다 복제 스티커가 빨리 붙을 것으로 본다.
사기 작동 방식
범인은 대형 유통·모바일 월렛 합법 프로모를 흉내 낸 컬러 스티커를 인쇄해 로그인·카드 정보를 묻는 피싱 URL을 심는다. 피해자는 주유 할인·추석 쿠폰을 연다고 믿지만, 셀 복귀 전 비접촉 결제를 돌린다. 일부 스티커는 진짜 주차 결제 QR을 덮는다. 급한 운전자는 도메인 불일치를 못 본다.
경찰청 사이버는 최근 도메인을 48시간마다 돌리는 해외 호스트로 추적해, 인력이 얇은 긴 명절에 테이크다운이 어렵다.
스티커가 나타나는 곳
서울 북동 고트래픽 휴게소에서 화요일 밤 첫 제거가 있었다. 호남·영동도 수요일 아침 비슷했다. 주유하는 운전자가 보는 펌프·쓰레기함·EV 충전기 옥외 면을 겨냥한다. 직원이 있는 편의점 계산대는 아니다.
도로공사 하청은 페인트 손상 없는 제거 키트를 쓰고 경찰 사건 파일용으로 증거 사진을 찍는다.
공식 안내
FSS 공지는 기프트카드를 발급사 앱·은행 지점·봉인 소매 포장으로만 받고 고속도로 인프라 임시 QR은 스캔하지 말라고 한다. URL이 등록된 한국 금융 도메인인지 확인하고 “활성화”용 전체 카드 PIN을 요구하면 닫는다. 의심 스티커는 휴게소 관리자나 1332 금융사기 핫라인에 마일표지를 알려 신고한다.
한국소비자원은 합법 프로모가 “처리 수수료” 선납을 요구하지 않는다고 병행 경고했다. 범인이 일부 신원을 얻은 뒤 2차 사기다.
결제업 대응
주요 카드사는 추석 외출 피크 전 앱 경고를 밀어 휴게소 주차 QR은 서명된 운영자 포털에서 온다고 상기시켰다. 네이버페이·카카오페이는 알 수 없는 유니버설 링크 핸들러 딥링크를 잠시 껐다. 정당한 제휴 캠페인을 깨는 둔기지만 리다이렉트 공격 한 클래스를 막는다.
스티커에 브랜드가 위조된 유통사는 도메인 등록기관에 중지를 보냈다. 브랜드 보호팀은 FSS 명절 태스크포스와 협력한다.
운전자 체크리스트
고속도로 QR 스캔 전 비닐 스티커만이 아니라 도로공사 공식 금속 안내를 확인한다. 불확실하면 유인 주유 부스 비접촉 결제를 쓴다. 이미 스캔했으면 발급사 앱으로 카드를 동결하고, 월렛 비밀번호를 바꾸고, 부정사용 환급용 경찰 신고를 한다.
고령 운전자 가족은 합법 주유 로열티 앱을 미리 넣고 도메인 미리보기를 건너뛰는 브라우저 QR 자동 열기를 끄자.
단속 한계
휴게소는 수백 킬로미터다. 붙이기는 초 걸리고 제거는 차로 통제와 안전 조끼가 필요하다. 경찰 순찰은 늘리지만 모든 펌프를 볼 수 없다. 신형 휴게소 CCTV는 사후 붙임 순간을 잡는다.
조직은 체포 없으면 벌금을 사업비로 본다. FSS는 검찰과 누적 손실 임계로 중형 기소를 조율한다. 지역 지사는 스티커 사진 해시를 채팅에 공유해 운전자가 스캔 전 하류에서 반복 그림을 본다.
보험 사기팀은 일부 피해자가 원래 QR 도난을 인용한 가짜 환급 전화를 나중에 받아, 여행 후 경계가 낮은 주에 사기 사슬이 이어진다고 적었다.
추석 이후
태스크포스는 익명 손실 통계를 내고 펌프 영구 방조 QR 마운트를 검토한다. 하드웨어는 스티커보다 느리다. 이번 주 메시지는 운영적이다. 낯선 고속도로 QR은 차창으로 밀봉 선물을 건네는 낯선 사람처럼 다루고, 멈춘 뒤 공식 채널을 쓴다.