요약
2단계 인증(2FA)은 비밀번호 다음에 두 번째 신원 증명을 요구합니다[4]. 어떤 2FA든 없는 것보다 훨씬 낫습니다. Microsoft의 연구에 따르면 2FA는 계정 침해 위험을 99.22% 줄였습니다[8]. 가장 안전한 방식은 피싱에 강한 FIDO 보안 키와 패스키입니다[1][2]. SMS 코드는 가장 약한 선택지입니다[1].
핵심 정리
- 2FA는 2단계 확인(2SV) 또는 다중 인증(MFA)이라고도 하며, 본인만 완료할 수 있는 두 번째 확인을 추가합니다[4].
- Microsoft Research의 연구에 따르면 MFA는 침해 위험을 전체적으로 99.22%, 자격 증명이 유출된 계정에서는 98.56% 줄였습니다[8].
- CISA는 MFA를 강한 것부터 약한 것 순으로 FIDO/WebAuthn과 PKI, 앱 기반 코드 또는 번호 일치가 적용된 푸시, 번호 일치가 없는 푸시, SMS 또는 음성 순으로 평가합니다[1].
- 보안 키와 패스키 같은 FIDO 기반 방식만 피싱에 강하며, 인증 앱 코드는 여전히 피싱당할 수 있습니다[2].
- SMS 코드는 SIM 스와핑이나 SS7 네트워크 결함을 통해 탈취될 수 있습니다[1]. FBI는 2021년 SIM 스와핑 관련 신고 1,611건을 접수했으며, 피해액은 6,800만 달러가 넘었습니다[6].
- 휴대폰을 잃어버려도 계정에서 잠기지 않도록 백업 코드를 저장하고 두 번째 수단을 설정해 두십시오[4].
이 페이지의 내용 12개 섹션
2단계 인증이란 무엇인가요?
2단계 인증(2FA)은 비밀번호 다음에 이루어지는 두 번째 확인으로, 로그인하는 사람이 정말 본인인지를 증명합니다[4]. 영국 국가사이버보안센터(NCSC)는 이를 2단계 확인(2SV) 또는 다중 인증(MFA)이라고도 부른다고 설명합니다[4]. 두 번째 단계에서는 휴대폰이나 보안 키처럼 본인만 접근할 수 있는 수단을 사용합니다[4].
MFA는 서로 다른 유형의 요소를 두 가지 이상 결합합니다. 알고 있는 것(비밀번호나 PIN), 가지고 있는 것(휴대폰이나 키), 그리고 본인 자체인 것(지문이나 얼굴)입니다[1]. 범죄자가 비밀번호를 훔치더라도 두 번째 요소가 없으면 로그인할 수 없습니다[1].
2FA는 실제로 효과가 있나요?
있습니다. 의심스러운 활동이 나타난 Azure Active Directory 계정을 대상으로 한 2023년 Microsoft Research 연구에 따르면, MFA는 전체 대상에서 침해 위험을 99.22% 줄였습니다. 자격 증명이 이미 유출된 계정에서는 그 감소 폭이 98.56%였습니다[8]. 연구 기간 동안 MFA를 사용한 계정의 99.99% 이상이 안전하게 유지되었습니다[8]. NCSC는 문자 메시지라도 어떤 2SV든 없는 것보다 낫다고 말합니다[4].
비밀번호 공격의 규모를 보면 그 이유를 알 수 있습니다. Microsoft는 2024년에 초당 약 7,000건의 비밀번호 공격을 관측했다고 보고했으며, 이는 2023년의 두 배가 넘는 수준입니다[11].
어떤 2FA 방식이 가장 안전한가요?
모든 2FA가 똑같이 강력한 것은 아닙니다. 미국 사이버보안 기관인 CISA는 흔한 공격에 얼마나 잘 견디는지를 기준으로 방식들을 강한 것부터 약한 것 순으로 평가합니다[1].
- 피싱 저항 MFA: FIDO/WebAuthn(보안 키와 패스키)과 PKI 기반 스마트 카드입니다. CISA는 이를 최고 표준이라고 부릅니다[1].
- 앱 기반 코드 또는 번호 일치 푸시: 인증 앱이나 하드웨어 토큰이 생성하는 일회용 코드, 또는 로그인 화면에 표시된 숫자를 입력하는 푸시 알림입니다[1].
- 번호 일치가 없는 푸시: 단순히 “승인하시겠습니까?”라고 묻는 알림으로, 푸시 폭탄 공격에 노출됩니다[1].
- SMS 또는 음성 코드: CISA는 이를 최후의 수단으로만 사용해야 한다고 말합니다[1].
CISA는 FIDO/WebAuthn이 널리 쓸 수 있는 유일한 피싱 저항 인증이라고 밝힙니다[1]. 2025년 모바일 지침에서도 같은 내용을 반복합니다. 인증 앱 코드는 SMS보다 낫지만 여전히 피싱에 취약하며, FIDO 인증만이 피싱에 강하다는 것입니다[2]. NCSC도 2026년 4월 같은 결론에 이르렀습니다. NCSC는 SMS 코드, 이메일 코드, 앱 코드, 푸시 승인을 포함한 기존의 모든 MFA 방식이 본질적으로 피싱에 취약하다고 평가했습니다[5].
무엇이 피싱에 강한 방식을 만드나요?
NIST는 피싱 저항성을 사용자의 경계심에 의존하지 않고도 로그인 프로토콜이 비밀 값이 사칭 사이트에 노출되는 것을 막는 능력으로 정의합니다[3]. 코드를 읽고 직접 입력하는 방식은 가짜 사이트에도 입력할 수 있으므로 이 기준을 충족할 수 없습니다[3]. FIDO 방식은 진짜 웹사이트에 묶여 있어 비슷하게 꾸민 사이트가 이를 사용할 수 없습니다[5].
주요 2FA 방식은 어떻게 비교되나요?
아래 표는 CISA의 평가와 NIST의 지침을 바탕으로 각 방식이 주요 공격을 얼마나 막아 주는지 요약한 것입니다. CISA는 공격을 네 가지 유형으로 나눕니다[1].
SMS 코드는 왜 약한 방식으로 여겨지나요?
문자 메시지 코드는 가장 흔한 형태의 2FA이며, NCSC에 따르면 대부분의 서비스에서 기본값입니다[4]. 동시에 가장 훔치기 쉬운 방식이기도 합니다.
- 메시지가 암호화되지 않습니다. CISA는 통신사 네트워크에 접근할 수 있는 사람이 SMS 메시지를 가로채면 그 내용을 읽을 수 있다고 지적합니다[2].
- 번호를 탈취당할 수 있습니다. SIM 스와핑에서 범죄자들은 피해자를 사칭하거나, 통신사 직원을 매수하거나, 통신사 시스템을 해킹해 번호를 자신들의 SIM으로 옮깁니다[6]. 그러면 2FA 코드와 비밀번호 재설정 메시지를 포함해 피해자에게 오는 문자를 받게 됩니다[6].
- 피싱당할 수 있습니다. 직접 입력하는 다른 코드와 마찬가지로 SMS 코드도 가짜 사이트에 입력될 수 있습니다[3].
피해는 실제로 발생하고 있습니다. FBI 인터넷 범죄 신고 센터는 2018년 1월부터 2020년 12월까지 SIM 스와핑 신고 320건을 접수했으며, 조정된 피해액은 약 1,200만 달러였습니다. 2021년 한 해에만 1,611건의 신고가 접수되었고 피해액은 6,800만 달러가 넘었습니다[6].
NIST의 2025년 지침은 SMS와 음성 코드를 제한적 인증기로 분류합니다. 이를 사용하는 서비스는 제한되지 않는 대안을 최소 하나 제공해야 하며, 최근의 SIM 변경이나 번호 이동 같은 위험 신호를 확인해야 합니다[3]. NIST는 또한 이메일을 대역 외 인증에 사용해서는 안 된다고 말합니다[3]. 개인에 대해서는 NCSC가 더 관대합니다. 비밀번호 재설정에 쓰는 계정과 다른 계정이라면 이메일도 두 번째 단계로 쓸 수 있다고 안내합니다[4].
SMS밖에 선택지가 없다면 그래도 써야 하나요?
그렇습니다. NCSC는 문자 메시지가 가장 안전한 2SV는 아니지만 비밀번호만 쓰는 것보다는 크게 개선된 방식이라고 말합니다[4]. CISA는 SMS를 최후의 수단으로 보지만, 임시 단계로는 쓸 수 있다고 봅니다[1].
인증 앱과 푸시 알림은 어떻게 작동하나요?
대부분의 인증 앱은 인터넷 표준 RFC 6238에 정의된 시간 기반 일회용 비밀번호(TOTP)를 생성합니다[7]. 앱을 설정하면 앱과 서비스가 비밀 키를 공유합니다. 그다음 앱은 이 키와 현재 시각을 결합해, 일정한 시간 간격(기본값 30초)마다 바뀌는 짧은 코드를 만들어 냅니다[7]. 코드가 휴대폰에서 계산되므로 인증 앱은 이동통신 신호가 필요하지 않습니다[4]. 그래서 이동통신 수신이나 SMS 전송이 불안정한 곳에서 유용합니다.
인증 앱은 SIM 스와핑과 SS7 공격에 강하며[1], Microsoft의 연구에서도 Microsoft Authenticator 같은 전용 앱이 SMS보다 나은 결과를 보였습니다[8]. 약점은 피싱입니다. 가짜 사이트가 코드를 요구해 곧바로 중계할 수 있습니다[1][2].
번호 일치란 무엇인가요?
푸시 2FA는 휴대폰으로 승인 알림을 보냅니다. 번호 일치가 없으면 수락만 누르면 되므로 푸시 폭탄 공격이 가능해집니다. 번호 일치를 사용하면 로그인 화면에 표시된 숫자를 앱에 입력해야 하므로, 무심코 승인하는 것을 막는 확인 절차가 추가됩니다[1]. CISA는 아직 피싱 저항 MFA를 쓸 수 없는 조직에 번호 일치를 권장합니다[1].
보안 키와 패스키는 어디에 해당하나요?
보안 키와 패스키는 모두 FIDO 표준과 공개 키 암호 방식을 사용합니다[10]. 보안 키는 USB나 NFC로 연결하는 작은 물리적 기기입니다. 패스키는 휴대폰이나 컴퓨터에 저장해 두고 지문, 얼굴 또는 PIN으로 잠금을 해제해 사용할 수 있습니다[10].
표적 공격을 받을 위험이 큰 사람들에 대해 CISA는 가능하다면 하드웨어 FIDO 보안 키가 가장 효과적인 선택이고, FIDO 패스키는 수용 가능한 대안이라고 말합니다[2]. NCSC는 실제로 관측되는 모든 일반적인 자격 증명 공격에 대해 패스키가 기존 MFA와 같거나 그보다 더 안전하다고 말합니다[5]. NCSC는 서비스가 패스키를 제공하는 곳이라면 어디서든 이를 첫 번째 선택으로 권합니다[12].
패스키를 쓰면 별도의 두 번째 단계가 필요 없을 수도 있습니다. Google 계정의 경우 패스키로 로그인하면 2단계 인증 단계를 건너뜁니다[9]. NCSC는 기기가 사용자를 확인한다면 FIDO2 자격 증명은 그 자체로 다중 요소 인증이라고 말합니다[5].
2FA는 어떻게 안전하게 설정하나요?
- 이메일부터 시작합니다. NCSC는 중요한 계정, 특히 이메일에 2SV를 켜라고 권합니다. 받은편지함에 접근하면 범죄자가 다른 비밀번호들을 재설정할 수 있기 때문입니다[4].
- 제공되는 가장 강력한 방식을 고릅니다. 패스키나 보안 키를 우선하고, 다음으로 인증 앱을 쓰며, SMS는 다른 방법이 없을 때만 사용합니다[1][2].
- 더 약한 대체 수단을 없앱니다. CISA는 인증 앱을 등록해도 계정에서 SMS가 자동으로 제거되지 않아 약한 대체 수단이 남는다고 지적합니다. 더 강력한 방식이 작동하면 SMS를 비활성화하십시오[2].
- 백업 코드를 저장합니다. 일회용 백업 코드는 안전한 곳에 보관하고, 사용한 뒤에는 새로 발급받으십시오[4].
- 두 번째 수단을 추가합니다. NCSC는 주 2단계 수단을 쓸 수 없을 때를 대비해 백업 수단을 마련하라고 권합니다[4].
- 전화번호를 보호합니다. CISA는 이동통신사에 통신사 PIN을 설정하라고 권합니다[2]. FBI는 원치 않는 전화를 건 사람에게 PIN이나 비밀번호를 절대 알려 주지 말라고 조언합니다[6].
- 직접 시작하지 않은 요청은 절대 승인하지 않습니다. 예상치 못한 푸시 알림은 푸시 폭탄 공격 시도일 수 있습니다[1].
경고 신호에 주의하십시오. FBI는 이동통신 신호나 SMS 서비스가 갑자기 끊기면 SIM 스와핑의 징후일 수 있다고 말합니다. 그런 일이 생기면 즉시 통신사에 연락하고 계정 비밀번호를 바꾸십시오[6].
2FA는 어떻게 바뀌고 있나요?
공식 지침은 코드에서 벗어나 피싱 저항 방식으로 옮겨 가고 있습니다. NIST의 2025년 지침은 AAL2 보증 수준의 서비스가 피싱 저항 선택지를 최소 하나 제공하도록 요구합니다[3]. NIST는 위협이 바뀌면 전화망 기반 코드의 제한적 지위를 조정할 수 있다고도 밝힙니다[3]. 2026년 4월 NCSC는 서비스가 패스키를 지원하는 곳에서는 패스키를, 지원하지 않는 곳에서는 2SV를 권하겠다고 말했습니다[5].
2026년 11월 3일 현재 대부분의 사람들에게 현실적인 경로는 세 단계입니다. 제공되는 모든 곳에서 2FA를 켭니다. 가능한 곳에서는 SMS를 인증 앱으로 바꿉니다. 그런 다음 가장 중요한 계정을 패스키나 보안 키로 옮깁니다. 각 단계는 더 약한 방식이 열어 둔 공격 유형 하나씩을 막아 줍니다[1][5].
| 방식 | 피싱 | 푸시 폭탄 | SIM 스와핑 / SS7 | 공식 평가 |
|---|---|---|---|---|
| FIDO 보안 키 또는 패스키 | 강함 [1] | 해당 없음 [1] | 해당 없음 [1] | 최고 표준 [1] |
| 인증 앱 코드(TOTP) | 취약 [1] | 해당 없음 | 해당 없음 [1] | SMS보다 낫지만 피싱 가능 [2] |
| 번호 일치 푸시 | 취약 [1] | 강함 [1] | 해당 없음 [1] | 수용 가능한 임시 선택지 [1] |
| 번호 일치가 없는 푸시 | 사용자 실수에 노출 [1] | 취약 [1] | 해당 없음 [1] | 더 약한 앱 방식 [1] |
| SMS 또는 음성 코드 | 취약 [1] | 해당 없음 | 취약 [1] | 최후의 수단 [1], NIST는 제한적 인증기로 분류 [3] |
| 이메일 코드 | 취약 [3] | 해당 없음 | 해당 없음 | NIST 기준 대역 외 인증에 사용 불가 [3] |
흔한 실수
인증 앱을 추가한 뒤에도 SMS를 켜 두는 것
올바른 방법: CISA는 앱을 등록해도 SMS가 제거되지 않아 약한 대체 수단이 남는다고 지적합니다. 더 강력한 방식이 작동하면 SMS를 비활성화하십시오[2].
백업 코드를 저장하지 않는 것
올바른 방법: NCSC의 권고대로 일회용 백업 코드를 안전한 곳에 보관하고 두 번째 수단을 설정하십시오[4].
직접 시작하지 않은 로그인 요청을 승인하는 것
올바른 방법: 예상치 못한 요청이 반복된다면 푸시 폭탄 공격의 징후입니다[1]. 거부하고 비밀번호를 바꾸십시오.
링크를 눌러 들어간 페이지에 2FA 코드를 입력하는 것
올바른 방법: 앱과 SMS로 받은 코드는 가짜 사이트가 중계할 수 있습니다[1]. 사이트에 직접 접속하거나, 피싱당할 수 없는 패스키를 사용하십시오[5].
보안 질문을 두 번째 요소로 사용하는 것
올바른 방법: NCSC는 기억용 정보와 보안 질문이 2SV와 같은 수준의 보호를 제공하지 않는다고 말합니다[4].
자주 묻는 질문
2단계 인증은 쓸 가치가 있나요?
네. Microsoft 연구진은 MFA가 계정 침해 위험을 99.22% 줄였다는 사실을 확인했으며[8], NCSC는 SMS라도 어떤 2SV든 없는 것보다 낫다고 말합니다[4].
가장 안전한 2FA 유형은 무엇인가요?
하드웨어 보안 키와 패스키 같은 FIDO 기반 방식입니다. CISA는 피싱 저항 MFA를 최고 표준이라고 부르며[1], 위험도가 높은 사용자에게는 하드웨어 키가 가장 효과적이라고 평가합니다[2].
SMS 2단계 인증은 안전한가요?
2FA가 없는 것보다는 낫지만[4] 흔히 쓰이는 방식 가운데 가장 약합니다. SMS는 SIM 스와핑과 SS7 공격으로 가로채이거나 다른 곳으로 전달될 수 있어[1], CISA는 이를 최후의 수단이라고 부릅니다[1].
인증 앱이 SMS보다 나은가요?
네. SIM 스와핑과 SS7 공격에 강하고[1] Microsoft 연구에서도 SMS보다 나은 결과를 보였습니다[8]. 이동통신 신호 없이도 작동하지만[4], 코드는 여전히 피싱당할 수 있습니다[2].
인증 앱이 깔린 휴대폰을 잃어버리면 어떻게 되나요?
저장해 둔 백업 코드나 미리 설정한 두 번째 수단을 사용하십시오[4]. 그런 수단이 없다면 서비스의 계정 복구 절차를 거쳐야 합니다.
용어집
- 2단계 인증(2FA)
- 비밀번호 다음에 두 번째 확인이 필요한 로그인 방식으로, 2SV 또는 MFA라고도 합니다[4].
- TOTP
- 시간 기반 일회용 비밀번호: 공유된 비밀 값과 현재 시각으로 생성하는 코드로, RFC 6238에 정의되어 있습니다[7].
- SIM 스와핑
- 범죄자들이 이동통신사를 통해 피해자의 번호를 자신들이 통제하는 SIM 카드로 옮기는 사기 수법입니다[6].
- SS7
- 신호 방식 7(Signalling System 7): 결함이 있으면 SMS와 음성 코드가 노출될 수 있는 전화망 신호 프로토콜입니다[1].
- 푸시 폭탄
- 사용자가 결국 하나를 수락할 때까지 로그인 승인 요청을 쏟아붓는 공격으로, 푸시 피로 공격이라고도 합니다[1].
- 번호 일치
- 승인하기 전에 로그인 화면에 표시된 숫자를 앱에 입력하도록 요구하는 푸시 2FA 기능입니다[1].
- 피싱 저항 MFA
- 가짜 사이트를 통해 중계될 수 없는 인증으로, 실제로는 FIDO/WebAuthn 또는 PKI를 말합니다[1].
출처
- Implementing Phishing-Resistant MFA (fact sheet) US Cybersecurity and Infrastructure Security Agency (CISA)
- Mobile Communications Best Practice Guidance, version 2.0 US Cybersecurity and Infrastructure Security Agency (CISA) · 2025-11-24
- NIST SP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management US National Institute of Standards and Technology (NIST)
- Setting up 2-Step Verification (2SV) UK National Cyber Security Centre (NCSC) · 2018-08-07
- Passkeys are more secure than traditional ways to log in UK National Cyber Security Centre (Dave Chismon) · 2026-04-23
- Criminals Increasing SIM Swap Schemes to Steal Millions of Dollars from US Public (Alert I-020822-PSA) FBI Internet Crime Complaint Center (IC3) · 2022-02-08
- RFC 6238: TOTP: Time-Based One-Time Password Algorithm Internet Engineering Task Force (IETF)
- How effective is multifactor authentication at deterring cyberattacks? Microsoft (Meyer, Romero, Bertoli, Burt, Weinert, Lavista Ferres), arXiv · 2023-05-01
- Sign in with a passkey instead of a password Google Account Help
- Passkeys: passwordless authentication FIDO Alliance
- Pushing passkeys forward: Microsoft's latest updates for simpler, safer sign-ins Microsoft Security Blog · 2025-05-01
- NCSC: Leave passwords in the past - passkeys are the future UK National Cyber Security Centre (NCSC) · 2026-04-23
댓글
인기 댓글