파일 전송 QR에는 무엇이 들어 있나

"QR을 찍으면 파일이 넘어온다"는 표현 때문에, QR 이미지 안에 사진이나 문서가 압축되어 들어 있다고 생각하기 쉽습니다. 반대로 QR은 그냥 그림이니 캡처해서 아무에게나 보내도 무해하다고 여기는 경우도 있습니다. 둘 다 절반만 맞습니다. 이 가이드는 저희가 운영하는 서비스의 실제 세션에서 QR을 직접 디코딩해 확인한 결과로 이 오해를 정리합니다.

QR에 들어 있는 것은 연결 주소 한 줄입니다

Vibe Share의 PC 화면에 표시되는 QR에 담기는 내용은 아래 형태의 짧은 주소가 전부입니다. 사진, 문서, 파일 내용은 단 1바이트도 들어가지 않습니다.

https://app.getvibeshare.com/j/(6자리 코드)?v=(빌드 버전)

/j/ 뒤의 6자리 숫자가 연결 코드입니다. 세션을 만들 때마다 100000~999999 범위에서 새로 뽑고, 사용 중인 다른 코드와 겹치지 않는지 확인한 뒤 발급합니다. 뒤에 붙는 버전 값은 휴대폰이 오래된 캐시 화면을 여는 것을 막기 위한 것이라 파일과는 무관합니다. 이 주소 구조는 제품 화면에서도 숨기지 않고 보여 줍니다. 연결 화면의 "고급 정보"를 펼치면 지금 QR에 인코딩된 주소를 그대로 확인할 수 있습니다.

정말 주소뿐인지 디코더로 직접 확인했습니다

이 글을 쓰면서 실제 라이브 세션의 QR을 오픈소스 디코더 라이브러리(jsQR)로 읽어 확인했습니다. 디코딩 결과는 위 형태의 주소 텍스트 한 줄이 전부였고, 주소 속 6자리 숫자는 같은 화면에 표시된 연결 코드와 정확히 일치했습니다. 특별한 도구가 없어도 브라우저에서 동작하는 QR 디코더라면 어떤 것으로든 같은 확인을 재현할 수 있습니다. 다른 QR 전송 서비스들도 주소 형식만 다를 뿐, "주소를 QR에 담고 파일은 네트워크로 보내는" 기본 구조는 같습니다.

애초에 파일은 QR에 들어갈 수 없습니다

QR 규격에서 가장 큰 버전(버전 40)이 담을 수 있는 데이터가 약 3KB 수준입니다. 요즘 휴대폰 사진 한 장이 보통 수 MB이니, 사진 한 장의 1,000분의 1도 담지 못하는 크기입니다. 그래서 QR로 파일을 보낸다는 서비스는 예외 없이 QR을 "파일이 오가는 방의 입장권"으로만 사용합니다.

또 하나, QR에는 L/M/Q/H 네 단계의 오류 보정이 있어 일부가 가려지거나 손상돼도 복원됩니다. Vibe Share는 약 15% 손상까지 복원되는 M 레벨을 사용합니다. 화면 반사나 모니터 얼룩 정도로는 스캔이 실패하지 않는 이유가 이것이고, 반대로 스캔이 계속 실패한다면 QR 자체보다 화면 밝기나 카메라 초점을 먼저 의심하는 것이 빠릅니다.

"주소만 들어 있다"에서 나오는 보안 상식 두 가지

첫째, 유효한 QR 화면을 캡처해 공유하면 안 됩니다. QR이 입장권이라는 말은, 유효 시간 안에 그 QR을 본 사람이라면 누구나 같은 전송방에 들어올 수 있다는 뜻입니다. Vibe Share의 세션은 만든 시점부터 기본 30분 뒤 만료되며, 이번 확인에서도 화면의 유효 시간이 생성 시각 기준 정확히 30분 뒤로 표시되는 것을 확인했습니다. 원격 화면 공유나 방송 중이라면 QR을 띄우지 않는 것이 안전합니다.

둘째, 만료된 QR은 더 이상 아무것도 아닙니다. 세션이 끝나면 같은 주소로 접속해도 전송방이 존재하지 않으므로, 예전에 찍힌 QR로 파일에 접근당할 걱정은 이 구조에서는 성립하지 않습니다. 다만 유효 시간과 만료 방식은 서비스마다 다르니, 다른 서비스를 쓸 때는 해당 서비스의 안내를 확인하세요.

정리

• QR 안에 파일이 있다? → 연결 주소 한 줄만 있습니다. 디코더로 누구나 확인할 수 있습니다.
• QR을 보관하면 파일도 보관된다? → 세션이 만료되면 QR은 무효가 됩니다.
• QR 캡처 공유는 무해하다? → 유효 시간 안에는 입장권을 건네는 것과 같습니다.
• 스캔 실패는 QR 손상 탓? → 오류 보정이 있어 대개 화면 밝기나 초점 문제입니다.

연결 이후 파일이 실제로 어떤 경로로 이동하는지는 동작 방식에서, 전송 데이터의 보관과 삭제 기준은 보안 안내에서 이어서 설명합니다.