들어가며
"2단계 인증 켜세요"는 이제 다들 아는 말입니다. 그런데 어떤 2단계 인증인지는 잘 안 나옵니다.
문자로 받는 인증번호, 인증 앱(OTP)이 만드는 6자리, 그리고 패스키. 이 셋은 막을 수 있는 공격이 서로 다릅니다. 같은 "2단계 인증 켰어요"가 아니라는 뜻이죠.
결론부터 놓고 가겠습니다.
1. 결론 — 등급이 있습니다
아무것도 안 켠 것보다는 문자라도 켜는 게 훨씬 낫습니다. 다만 문자가 최선이라고 생각하고 멈추는 것이 문제입니다.
되는 것부터 위에서 아래로 가시면 됩니다. 그리고 메인 이메일부터 하세요. 메일은 다른 모든 계정의 비밀번호 재설정 통로라, 여기가 뚫리면 나머지는 순서대로 열립니다.
2. 문자가 약한 이유
문자 인증은 "내가 가진 것" 을 증명하려는 수단입니다. 그런데 그 "가진 것"이 전화번호라서, 번호가 넘어가면 인증도 함께 넘어갑니다.
유심에는 가입자 식별키(IMSI)와 인증키가 들어 있어서, 유출되면 같은 번호를 쓰는 기기가 하나 더 생길 수 있습니다. 2025년 4월 SK텔레콤 침해사고가 정확히 그 사안이었고, 개인정보보호위원회 처분(2025.8.27) 기준 유출 9.82GB, IMSI 등 2,696만 건, 중복 제거 2,324만 명분입니다.
⚠️ SK텔레콤은 이 처분에 불복해 취소 소송을 제기했습니다(2026.1.19).
번호 이동은 msafer.or.kr 의 가입제한으로 막습니다.
3. 인증 앱 — 통신망을 안 탑니다
인증 앱은 폰 안에서 30초마다 6자리 숫자를 계산합니다. 서버와 앱이 같은 규칙으로 같은 숫자를 만들 뿐, 그 숫자가 통신망을 오가지 않습니다.
그래서 유심을 복제하든 번호를 가져가든 인증 앱의 숫자는 따라오지 않습니다.
설정
각 서비스의 계정 보안 설정 → 2단계 인증 → 인증 앱을 고르면 QR코드가 나옵니다. 인증 앱으로 그 QR을 찍으면 등록이 끝납니다.
특정 앱을 지정해 권하지 않습니다. 표준이 같아서 어떤 앱이든 동작하고, 앱마다 화면이 달라 "계정 보안 설정에서 인증 앱을 고른다"가 더 정확한 안내니까요.
⚠️ 여기서 계정을 잃는 분이 가장 많습니다
백업 코드를 반드시 받아 두세요.
인증 앱을 켜면 로그인할 때마다 그 폰이 필요합니다. 폰을 잃어버리거나 초기화하면 내 계정에 내가 못 들어갑니다. 등록할 때 함께 나오는 백업 코드 8~10개가 그때 쓰는 열쇠입니다.
백업 코드를 그 폰 안에 저장하면 아무 의미가 없습니다. 종이에 적어 두거나 다른 기기에 보관하세요.
4. 패스키 — 가짜 사이트에서는 아예 안 나옵니다
여기가 이 글의 핵심입니다.
인증 앱까지 켜도 못 막는 공격이 하나 남습니다. 가짜 로그인 화면에 아이디·비밀번호를 넣고 인증번호까지 그대로 입력해 버리는 경우입니다. 공격자는 그 값을 실시간으로 진짜 사이트에 옮겨 넣습니다(중간자 피싱).
문자든 인증 앱이든 내가 손으로 옮겨 적는 값이라 이 공격에는 똑같이 뚫립니다.
패스키는 다릅니다.
패스키는 주소(도메인)에 묶여 있습니다. secure-login.example 같은 가짜 주소에서는 그 열쇠가 꺼내지지도 않습니다. 사용자가 아무리 속아도 넘길 값 자체가 없습니다.
비밀번호도 인증번호도 '내가 입력하는 것' 이라 속을 수 있습니다.
패스키는 입력할 게 없습니다.
스미싱도, 기관 사칭도, 가짜 다운로드 사이트도 전부 "속아서 입력하는" 문제였습니다. 패스키는 그 고리 자체를 끊습니다.
어디서 쓸 수 있나
2026년 현재 구글 · 애플 · 마이크로소프트 · 네이버 · 카카오가 모두 지원합니다. 각 서비스의 계정 보안 메뉴에서 등록하고, 등록 후에는 지문·얼굴 또는 폰 잠금번호로 로그인합니다.
비밀번호를 없애는 게 아닙니다. 더 안전한 문을 하나 더 만드는 거고, 기존 비밀번호는 그대로 두셔도 됩니다.
5. 번호 자체를 지키는 법 — 유심보호서비스
통신 3사가 모두 제공하고 무료입니다. 신청하면 무단 기기변경이 차단됩니다. 유심을 교체하지 않고도 걸 수 있어서, 2단계 인증과 별개로 켜두시면 됩니다.
📄 신청 경로와 알뜰폰까지 따로 다룬 글이 있습니다 → [유심보호서비스, 통신사별로 이렇게 신청합니다]
'재설정'과 '교체'는 다릅니다
2026년 1월 보도로 이 차이가 확인됐습니다. 복제 위험을 확실히 끊으려면 물리적 교체입니다.
6. 오늘 저녁 순서
통신사 유심보호서비스는 이와 별개로 켜두시면 됩니다. 무료입니다.
자주 묻는 것
Q. 패스키를 등록한 폰을 잃어버리면요?
패스키는 대개 계정(구글·애플 등)에 동기화되어 새 기기에서도 복구됩니다. 인증 앱보다 오히려 안전한 부분이죠. 다만 서비스마다 다르니 등록할 때 다른 기기 하나에 더 등록해두면 확실합니다.
Q. 회사 계정이나 은행은 패스키가 안 되는데요?
아직 지원하지 않는 곳이 많습니다. 그되는 곳부터 순서대로 올리는 게 현실적입니다.
Q. 인증 앱을 새 폰으로 어떻게 옮기나요?
앱마다 다릅니다. 폰을 바꾸기 전에 각 서비스에서 2단계 인증을 새 폰으로 다시 등록하시는 게 가장 확실하고, 그게 번거로우면 백업 코드로 들어가 재등록하시면 됩니다. 폰을 초기화하기 전에 하세요.
Q. 문자 인증이 그렇게 위험하면 왜 아직 쓰나요?
지원이 가장 넓고 사용자가 따로 설정할 게 없어서입니다. 안 켠 것보다는 확실히 낫습니다. 다만 메인 이메일과 금융 계정만큼은 위 등급으로 올리시는 걸 권합니다.
마무리
"2단계 인증 켰어요"는 이제 충분한 대답이 아닙니다.
무엇을 켰는지가 무엇을 막을 수 있는지를 정합니다. 그리고 그 차이는 오늘 저녁 3분이면 좁혀집니다.
메인 이메일 하나만 패스키로 바꿔 보세요. 거기서부터입니다.
근거 자료
- 개인정보보호위원회 SK텔레콤 처분(2025.8.27) — 유출 9.82GB · IMSI 등 2,696만 건 · 중복 제거 2,324만 명. SK텔레콤은 2026.1.19 처분 취소 소송 제기
- 통신 3사 유심보호서비스 — 무료. 무단 기기변경 차단
- 유심 '재설정'은 인증키를 변경하지 않는다는 2026년 1월 보도
- 패스키 지원 현황(2026) — 구글 · 애플 · 마이크로소프트 · 네이버 · 카카오
- 명의도용방지
msafer.or.kr· 개인정보 침해신고 118
#보안로그 #생활보안 #2단계인증 #패스키 #OTP #인증앱 #계정보안 #유심보호서비스 #백업코드 #유심복제 #피싱예방 #정보보안
댓글
댓글 쓰기