QR 결제 표준(고정형·변동형) 완전 정리 2026 — 매장 QR과 내 앱 QR이 다르게 작동하는 이유

편의점·카페 계산대 옆 스티커 QR을 앱 카메라로 스캔해 결제하는 경험과, 반대로 내 스마트폰 화면을 점주 단말기에 대어 읽히는 경험은 둘 다 'QR 결제'라 불립니다. 그러나 이 두 방식은 코드 생성 주체·금액 입력 방향·보안 구조·정산 경로가 완전히 다릅니다.

특정 페이 서비스를 추천하지 않습니다. QR 결제의 두 가지 유형—가맹점 제시형(고정형)과 사용자 제시형(변동형)—이 구조적으로 어떻게 다른지 이해하면, 어떤 앱을 사용하더라도 결제 실패·보안 사고를 예방하는 데 도움이 됩니다.

고정형 QR(Static QR / MPM: Merchant Presented Mode)은 가맹점이 사전에 생성된 QR 코드를 인쇄물이나 화면으로 전시하고, 고객이 본인의 스마트폰 앱으로 이를 스캔해 결제하는 방식입니다. QR 코드 자체는 바뀌지 않으며, 수취인(가맹점) 식별 정보와 연결된 계좌·서비스 정보가 인코딩되어 있습니다.

금액은 고객이 앱 화면에서 직접 입력하거나, 일부 POS 연동 서비스에서는 POS가 앱으로 금액을 전달하는 형태로 처리됩니다. 국내에서는 소규모 자영업 가맹점·무인 판매기·제로페이 스티커 가맹점에서 자주 볼 수 있습니다.

1. QR 스캔: 고객이 앱 카메라로 가맹점 QR을 촬영합니다. QR에는 가맹점 ID·결제 서비스 정보·수취 계좌(또는 가상계좌) 정보가 담겨 있습니다.
2. 금액 입력: 앱 화면에서 고객이 결제할 금액을 직접 입력합니다. POS 연동 방식이라면 POS가 금액 정보를 앱에 전달합니다.
3. 본인 인증: 생체인증·PIN 등으로 본인을 확인합니다.
4. 이체 승인: 결제 서비스사가 고객 계좌·포인트에서 가맹점 수취 계좌로 이체를 처리합니다.
5. 완료 알림: 고객 앱에 결제 완료 화면이 표시되고, 가맹점에도 입금 알림이 전달됩니다.

핵심 특징: QR 코드가 변하지 않으므로 스티커·인쇄물로 항구 사용할 수 있습니다. 대신 금액을 고객이 직접 입력해야 하므로, 혼잡한 환경에서 잘못된 금액이 입력될 가능성을 주의해야 합니다.

변동형 QR(Dynamic QR / CPM: Consumer Presented Mode)은 고객이 앱에서 실시간으로 생성된 QR 코드를 화면에 띄우고, 가맹점의 스캐너(POS·PDA 등)가 이를 읽어 결제를 처리하는 방식입니다. QR 코드는 결제 요청마다 새롭게 생성되며, 보통 30초~수 분 이내에 자동 만료됩니다.

카드사·간편결제 앱의 오프라인 매장 결제 기능과, 제로페이의 사용자 제시 모드에서 이 방식이 쓰입니다. 바코드 결제도 토큰 원리는 동일합니다.

1. QR 생성 요청: 고객이 앱에서 결제 화면을 열면 결제 서비스사 서버(또는 단말 내부 보안 영역)에서 일회성 토큰이 발급됩니다.
2. QR 표시: 토큰을 인코딩한 QR이 화면에 표시되며, 유효 시간 카운트다운이 시작됩니다.
3. 가맹점 스캔: POS·단말기가 QR을 읽고 토큰을 결제 서비스사 서버로 전송합니다. 금액은 가맹점 POS에서 미리 입력되어 있습니다.
4. 토큰 검증·승인: 서버가 토큰의 유효성과 중복 여부를 확인하고, 연결된 카드·계좌에서 결제를 승인합니다.
5. 결과 동시 통보: POS와 고객 앱 양쪽에 승인 결과가 실시간으로 전달됩니다.

핵심 특징: 토큰이 매 거래마다 달라지기 때문에 코드 복사·재사용이 구조적으로 차단됩니다. 고객이 금액을 직접 입력하지 않아도 되므로 혼잡한 매장에서 빠르게 결제할 수 있습니다.

QR 결제는 결제 서비스사(PG사·결제망 운영사)가 중간 정산 노드로 동작합니다. 고객과 가맹점이 직접 돈을 주고받는 것이 아니라, 결제 서비스사가 수취한 뒤 가맹점에 약정된 주기로 정산하는 구조입니다.

카드 기반 QR 정산: 간편결제 앱에 신용·체크카드를 등록해 QR을 생성하면, 내부 결제 경로는 기존 카드 결제와 동일합니다. 카드사 → 카드 네트워크(비자·마스터·국내 망) → VAN사 → 가맹점 순으로 흐르며, QR은 카드번호 대신 쓰이는 입력 채널에 불과합니다. 정산 주기와 수수료는 카드사·VAN사 계약 조건을 따릅니다.

계좌 이체형 QR 정산: 제로페이처럼 실시간 계좌 직이체 방식은 가맹점 수수료가 낮고 익영업일(T+1) 내 정산이 이루어지는 경우가 많습니다. 결제 서비스사가 에스크로 역할을 하는 모델도 있습니다. 정산 주기·수수료 세부 조건은 각 서비스사와의 가맹점 계약을 확인해야 합니다.

QR 결제의 글로벌 기술 기반은 EMVCo(유로페이·마스터카드·비자 합작 표준 기구)가 제정한 'QR Code Specification for Payment Systems'입니다. 이 표준이 앞서 설명한 MPM(고정형)·CPM(변동형) 용어의 출처이기도 합니다.

국내에서는 금융위원회·여신금융협회 주도로 EMVCo 기반의 QR 결제 상호 운용성 가이드라인을 수립하여 운용하고 있습니다. 제로페이는 MPM 기반, 카드사 간편결제 앱의 현장 QR은 주로 CPM 기반으로 설계되어 있습니다.

다만 각 결제 서비스사가 공통 표준 위에 자체 확장 필드(서비스 식별자·암호화 방식 등)를 추가하기 때문에, 같은 EMVCo 표준을 따르더라도 A 앱의 QR을 B 서비스 단말이 바로 인식하지 못하는 경우가 일반적입니다. 완전한 상호 운용성은 사업자 간 별도 제휴·망 연동 협약으로 확보됩니다.

두 방식은 서로 다른 보안 위협에 노출되므로 단순 우열을 가리기보다 특성을 이해하는 것이 중요합니다.

고정형 QR의 주요 위협 — 물리적 바꿔치기: QR 이미지 자체는 누구나 볼 수 있고 복사도 가능합니다. 악의적 제3자가 가맹점 QR 스티커 위에 다른 QR을 덮어 붙이는 QR Overlay(바꿔치기)가 실제로 보고된 수법입니다. 고객이 금액도 직접 입력하므로, 입력 과정의 부주의가 과다 결제로 이어질 수 있습니다. 금융 앱은 스캔 직후 가맹점 등록 명칭을 반드시 표시하도록 안내하고 있으니, 화면에 뜨는 수취인명을 실제 상호와 반드시 대조해야 합니다.

변동형 QR의 주요 위협 — 스크린샷 복사: 화면을 그대로 스크린샷으로 복사하면 만료 시간 이내에 타인이 사용할 이론적 가능성이 있습니다. 그러나 토큰 유효 시간이 짧고(통상 30초 내외), 결제 서비스사 서버가 동일 토큰의 중복 사용을 실시간으로 차단합니다.

정리: 가맹점 스캐너를 갖춘 환경에서는 변동형 QR이 구조적으로 더 안전합니다. 고정형 QR은 편의성이 높지만 사용 전 QR 상태·가맹점명을 반드시 확인하는 습관이 필요합니다.

• 결제 전 금액 최종 확인: 고정형 QR은 고객이 직접 입력하므로 자릿수 오입력에 주의하세요. 변동형 QR은 가맹점 POS 화면의 금액과 앱 승인 금액이 일치하는지 확인하세요.
• 가맹점 명칭 대조: 고정형 QR 스캔 직후 앱에 표시되는 수취인 가맹점명이 실제 상호와 다르면 즉시 취소하고 점주에게 알리세요. 바꿔치기 피해를 예방하는 가장 효과적인 방법입니다.
• 통신 환경 확인: 두 방식 모두 결제 서비스사 서버와 실시간 통신이 필요합니다. 지하 공간·음영 지역 등 연결이 불안정하면 승인이 지연되거나 실패할 수 있으므로, 앱에 완료 화면이 표시될 때까지 자리를 뜨지 마세요.
• 카드 실적 인정 여부: 페이 앱에 등록된 카드로 QR 결제를 하면 카드사 기준 실적으로 인정되는 경우가 많습니다. 다만 결제 서비스사의 MCC(가맹점 업종 코드) 처리 방식에 따라 예외가 생길 수 있으니, 해당 카드의 혜택 조건을 카드사 공식 페이지에서 미리 확인하는 것이 좋습니다.
• QR 결제 영수증 보관: 분쟁 발생 시 앱 내 거래 내역(승인번호·가맹점명·금액·시각)이 증거가 됩니다. 중요 거래는 스크린샷이나 앱 내 저장 기능으로 보관해 두세요.