인증 앱 vs 문자 인증 vs 패스키: 어떤 2단계 인증을 써야 할까요?

2단계 인증이라고 다 같은 게 아니에요. 6자리 숫자가 담긴 문자 메시지, 인증 앱의 코드, '본인이 맞습니까?' 같은 확인 알림, 패스키 모두 두 번째 인증 요소에 해당하지만, 막아 주는 공격은 서로 크게 달라요. 흔히 쓰는 방법들을 비교하고, 어떤 계정에 어떤 방법이 알맞은지 정리해 볼게요.

꼭 알아야 할 공격 유형

계정 탈취는 대부분 다음 세 가지 중 하나에서 시작돼요.

• 비밀번호 재사용. 한 사이트에서 유출된 비밀번호를 다른 모든 사이트에 대입해 봐요. 이건 어떤 두 번째 인증 요소든 그것만으로 막을 수 있어요.
• 피싱. 가짜 로그인 페이지가 비밀번호를 수집하고, 요즘은 일회용 코드까지 받아 낸 다음 몇 초 안에 진짜 사이트에 그대로 입력해요.
• 유심 복제(SIM 스와핑). 공격자가 통신사를 속여 내 번호를 자신이 가진 유심으로 옮겨요. 그때부터 내 문자와 전화가 모두 공격자에게 가요.

좋은 두 번째 인증 요소라면 뒤의 두 가지 공격에도 버틸 수 있어야 해요. 바로 여기서 방법별 차이가 드러나요.

문자 인증 코드

서비스가 문자로 코드를 보내면 그 코드를 입력하는 방식이에요.

• 장점: 어떤 휴대폰에서도 작동하고, 따로 설치할 게 없으며, 같은 번호로 새 휴대폰을 쓰더라도 그대로 유지하기 쉬워요.
• 단점: 유심 복제와 번호 이동에 취약하고, 잠금 화면 미리보기에 코드가 노출될 수 있으며, 비밀번호만큼이나 쉽게 피싱당해요. 해외에 있거나 신호가 없으면 문자가 오지 않을 수도 있어요.

이런 위험 때문에 NIST의 디지털 신원 가이드라인은 문자와 음성 인증을 제한적 인증 수단으로 분류해요(SP 800-63B). 그래도 문자 인증은 비밀번호만 쓰는 것보다 훨씬 낫고, 일부 은행은 문자 인증만 제공하기도 해요. 문자 인증에 의존하고 있다면 통신사에 계정 PIN이나 번호 이동 차단 같은 보호 기능을 추가할 수 있는지 문의해 보세요.

이메일 인증 코드

받은편지함으로 코드나 로그인 링크(매직 링크)를 보내는 방식이에요.

• 장점: 누구나 쓸 수 있고 익숙해요.
• 단점: 이메일 계정의 보안 수준을 넘지 못하고, 그 이메일 계정 자체의 두 번째 인증 요소로는 쓸모가 없어요. 누군가 내 받은편지함에 들어가면, 그 이메일에 의존하는 모든 사이트의 코드를 손에 넣게 돼요.

같은 NIST 가이드라인은 이메일이 특정 기기를 가지고 있다는 사실을 증명하지 못하기 때문에 대역 외(out-of-band) 인증에 사용해서는 안 된다고 명시해요. 이메일 코드는 진짜 2단계 인증이라기보다 계정 복구 수단으로 생각하세요.

인증 앱(TOTP)

휴대폰의 앱이 서비스와 공유한 비밀 키로 30초마다 새 코드를 만들어요. 비밀 키는 보통 QR 코드로 전달돼요. 알고리즘은 공개 표준인 TOTP라서 앱 하나로 수천 개의 서비스에서 쓸 수 있어요. 아직 설정하지 않았다면 단계별 2단계 인증 설정 가이드를 참고하세요.

• 장점: 유심 복제의 영향을 받지 않고, 오프라인에서도 작동하며, 무료이고, 2단계 인증을 제공하는 거의 모든 곳에서 지원돼요.
• 단점: 그럴듯한 가짜 사이트가 코드를 요구해 실시간으로 전달하는 공격은 여전히 가능하고, 비밀 키가 휴대폰 한 대에만 있다면 그 휴대폰을 잃어버렸을 때 계정 복구 절차를 거쳐야 해요.

Ring 같은 앱은 비밀 키를 iPhone에 암호화해 보관하고 네트워크 연결 없이 코드를 만들어요. 그래서 전송 중에 가로챌 것도 없고, 전화번호와 연결된 것도 없어요. 다만 피싱까지 완전히 막아 주지는 않으니, 코드를 입력하기 전에 주소창을 꼭 확인하세요.

푸시 승인

코드 대신 서비스가 앱이나 로그인된 기기로 알림을 보내고, 사용자가 승인을 누르는 방식이에요.

• 장점: 아주 편리하고, 잘 만든 서비스는 로그인 시도가 어디서 왔는지도 보여 줘요.
• 단점: 푸시 방식은 보통 해당 업체의 계정에서만 작동하고, 공격자는 'MFA 피로 공격'으로 이를 악용해요. 알림을 계속 보내서 사용자가 귀찮은 나머지 승인을 누르게 만드는 거예요.

로그인 화면에 표시된 숫자를 알림 창에 입력하는 숫자 일치 방식을 쓰면 무심코 승인하기가 훨씬 어려워져요. 어떤 방식이든 원칙은 간단해요. 내가 직접 시작하지 않은 요청은 절대 승인하지 마세요.

하드웨어 보안 키

기기에 꽂거나 휴대폰에 갖다 대는 작은 USB 또는 NFC 키예요. 최신 키는 FIDO2와 WebAuthn 표준을 사용해요.

• 장점: 피싱에 강해요. 키가 진짜 웹사이트의 도메인에 묶인 챌린지에 서명하기 때문에, 가짜 사이트는 재사용할 수 있는 정보를 하나도 얻지 못해요. 입력할 것도 없고, 배터리도 네트워크도 필요 없어요.
• 단점: 돈이 들고, 하나는 예비용으로 최소 두 개가 필요하며, 모든 서비스가 지원하는 건 아니에요. 두 개를 다 잃어버리면 다시 계정 복구 절차를 거쳐야 해요.

CISA의 가이드는 FIDO/WebAuthn을 널리 쓸 수 있는 피싱 방지 다중 인증(MFA)으로 꼽고, 기관들이 이 방식으로 전환하도록 권고해요(CISA 자료).

패스키

패스키는 보안 키와 같은 FIDO 표준을 기반으로 하지만, 자격 증명이 휴대폰이나 비밀번호 관리자 안에 있고 Face ID, Touch ID 또는 기기 암호로 잠금을 해제해요. 많은 사이트에서 두 번째 단계를 추가하는 대신 비밀번호 자체를 완전히 대체해요(FIDO Alliance).

• 장점: 하드웨어 키처럼 피싱에 강하고, 외우거나 입력할 것이 없으며, 동기화된 패스키는 자격 증명 관리자를 통해 새 기기로 그대로 옮겨 가요.
• 단점: 서비스마다 지원 수준이 아직 들쭉날쭉하고, 보안이 패스키를 동기화하는 계정에 달려 있으며, 여러 플랫폼과 브라우저를 오가며 쓰면 헷갈릴 수 있어요.

사이트가 패스키를 지원하고 신뢰할 수 있는 자격 증명 관리자를 쓰고 있다면, 패스키가 현재 쓸 수 있는 가장 강력하면서도 편리한 방법이에요.

계정별로 어떤 방법을 써야 할까요

각 서비스가 제공하는 가장 강력한 방법을 쓰되, 완벽을 추구하다가 충분히 좋은 방법까지 놓치지는 마세요.

• 주 이메일, 비밀번호 관리자, Apple 계정 또는 Google 계정. 다른 모든 계정을 재설정할 수 있는 계정이에요. 지원된다면 패스키나 보안 키를 쓰고, 복구 코드나 두 번째 인증 방법을 백업으로 마련해 두세요.
• 업무용 계정. 회사 정책을 따르세요. 요즘은 보안 키나 패스키를 의무화하는 조직이 많아요.
• 암호화폐 거래소와 증권사. 인증 앱이나 보안 키를 쓰세요. 선택할 수 있다면 문자 인증은 피하세요.
• 은행. 문자 인증이나 자체 앱만 제공하는 곳이 많아요. 은행 앱이 있다면 그 앱을 쓰고, 통신사를 통해 전화번호를 보호하세요.
• SNS, 개발자 도구, 클라우드 저장소, 쇼핑. 인증 앱이 가장 알맞아요.
• 문자 인증만 제공하는 서비스. 그래도 켜 두세요. 비밀번호 재사용 공격은 여전히 막을 수 있어요.

인증 앱이 현실적인 기본값인 이유

패스키와 하드웨어 키가 피싱에는 더 강하니, 가장 중요한 계정에서 지원된다면 꼭 사용하세요. 하지만 하드웨어를 사거나 특정 플랫폼에 묶이지 않고 거의 모든 곳에서 무료로 켤 수 있는 방법은 여전히 TOTP예요. 문자 인증의 유심 복제 위험을 없애 주고, 받은편지함에 의존하지 않으며, 오프라인에서도 작동해요.

대비해야 할 단점은 기기 분실이에요. 모든 계정의 복구 코드를 저장하고, 중요한 계정에는 두 번째 인증 방법을 추가하고, 필요해지기 전에 2단계 인증 코드가 담긴 휴대폰을 잃어버렸을 때 해야 할 일을 미리 읽어 두세요. 어떤 방법도 계정을 절대 뚫리지 않게 만들어 주지는 못하지만, 잘 고른 두 번째 인증 요소는 내 계정을 다른 계정보다 훨씬 공격하기 어려운 대상으로 만들어 줘요.