2단계 인증(2FA)은 로그인할 때 서로 다른 두 가지를 요구해 계정을 보호합니다. 비밀번호처럼 내가 아는 것과, 휴대폰 인증 앱의 6자리 코드처럼 내가 가진 것입니다. 누군가 비밀번호를 훔치더라도 두 번째 요소가 없으면 로그인할 수 없습니다.
일반 사용자가 할 수 있는 가장 효과적인 보안 조치 중 하나이며, 설정은 대개 몇 분이면 끝납니다. 이 글에서는 2FA의 작동 방식, 어떤 방법을 골라야 하는지, 그리고 내 계정에서 스스로 잠기지 않는 방법을 설명합니다.
비밀번호만으로는 부족한 이유
비밀번호는 여러 경로로 유출됩니다. 사람들은 같은 비밀번호를 여러 사이트에서 재사용하고, 웹사이트는 해킹을 당하며, 피싱 페이지는 가짜 양식에 로그인 정보를 입력하도록 속입니다. 비밀번호가 한번 알려지면 누구든 그것으로 이메일, SNS, 쇼핑몰 계정에 로그인을 시도할 수 있습니다.
2FA는 두 번째 자물쇠를 더합니다. 공격자는 내 기기의 코드까지 필요하므로, 훔친 비밀번호만으로는 더 이상 충분하지 않습니다. 덕분에 흔한 계정 탈취, 특히 재사용되거나 유출된 비밀번호를 이용한 공격이 훨씬 어려워집니다.
두 번째 인증 요소의 주요 종류
모든 두 번째 요소가 똑같이 강력한 것은 아닙니다. 흔한 선택지는 다음과 같습니다.
- 인증 앱(OTP 앱). Google Authenticator, Microsoft Authenticator 등 호환되는 앱이 30초마다 새로운 6자리 코드를 만듭니다. 코드가 휴대폰 안에서 생성되므로 통신망을 거쳐 전송되지 않습니다.
- 문자(SMS) 인증번호. 코드가 문자 메시지로 옵니다. 2FA를 안 쓰는 것보다는 훨씬 낫지만, 문자는 가로채이거나 다른 곳으로 돌려질 수 있습니다. 예를 들어 범죄자가 통신사를 속여 내 번호를 자신의 유심(SIM)으로 옮기는 심 스와핑(SIM swap) 사기가 있습니다.
- 푸시 알림. 일부 서비스는 휴대폰 앱으로 "본인이 맞습니까?"라는 알림을 보냅니다. 편리하지만, 예상하지 못한 요청은 절대 승인하지 마세요.
- 보안 키와 패스키. 물리적 보안 키나 기기에 저장된 패스키는 피싱에 강하도록 설계되어 가장 강력한 선택지에 속합니다. 지원 여부는 서비스마다 다릅니다.
대부분의 사람에게는 인증 앱이 강력하면서도 실용적인 선택입니다. 서비스가 문자 인증만 제공한다면 그래도 켜 두세요. 비밀번호만 쓰는 것보다 훨씬 낫습니다.
인증 앱의 작동 원리
인증 앱으로 2FA를 켜면 웹사이트가 QR코드를 보여 줍니다. 이 QR코드에는 비밀 키가 들어 있습니다. 인증 앱으로 한 번 스캔하면, 그 뒤로는 앱과 웹사이트가 이 공유된 비밀 키와 현재 시각을 이용해 똑같은 6자리 코드를 계산합니다.
코드는 30초마다 바뀌므로 누가 어깨너머로 본 코드는 곧 쓸모가 없어집니다. 또 코드가 휴대폰 안에서 계산되기 때문에 인터넷 연결 없이도 앱이 작동합니다.
한 가지 중요한 점이 있습니다. 설정용 QR코드는 민감한 정보입니다. 누구든 이 코드를 스캔하면 내 인증 코드를 만들어 낼 수 있습니다. 캡처하거나 공유하거나 다른 사람이 볼 수 있는 화면에 띄워 두지 마세요.
2FA 설정 방법 단계별 안내
메뉴는 서비스마다 다르지만 과정은 대개 같습니다.
- 휴대폰에 인증 앱을 설치합니다.
- 보호하려는 계정에 로그인해 보안 설정을 엽니다.
- '2단계 인증', '2단계 확인', '2차 인증' 같은 항목을 찾아 인증 앱 방식을 선택합니다.
- 화면에 표시된 QR코드를 인증 앱으로 스캔합니다.
- 앱에 표시된 6자리 코드를 입력해 제대로 작동하는지 확인합니다.
- 서비스에서 제공하는 백업 코드를 저장합니다(다음 섹션 참고).
- 로그아웃한 뒤 다시 로그인해 모든 것이 잘 되는지 확인합니다.
가장 중요한 계정부터 시작하세요. 다른 비밀번호를 재설정할 수 있는 메인 이메일, 인터넷뱅킹, SNS, 클라우드 저장소, 결제 정보가 저장된 모든 계정이 우선입니다. QR-TH에서도 계정 설정에서 인증 앱을 이용한 2단계 로그인을 켤 수 있으며, 이를 통해 다른 사람이 내 QR코드와 단축 링크를 바꾸지 못하도록 보호할 수 있습니다.
백업 코드: 다시 들어가는 비상 열쇠
2FA에서 가장 흔한 문제는 해킹이 아니라 휴대폰 분실입니다. 휴대폰을 잃어버리거나, 도난당하거나, 고장 나거나, 바꾸게 되면 다른 로그인 방법이 필요합니다.
그럴 때 쓰는 것이 백업 코드입니다. 대부분의 서비스는 2FA를 켤 때 일회용 코드 목록을 줍니다. 각 코드는 앱 코드 대신 한 번씩 쓸 수 있습니다.
안전하게 보관하세요.
- 인쇄해서 집 안의 안전한 곳에 종이로 보관하거나,
- 믿을 수 있는 비밀번호 관리자에 저장하고,
- 인증 앱이 있는 그 휴대폰에만 보관하지는 마세요.
백업 코드는 한 번만 쓸 수 있습니다. 사용한 코드는 지워 두세요. 남은 코드가 적어지면 대부분의 서비스에서 새 코드 세트를 만들 수 있으며, 이때 기존 코드는 무효가 됩니다.
계정이 잠기지 않게 휴대폰 바꾸기
기존 휴대폰을 초기화하거나, 팔거나, 보상 판매하기 전에 인증 코드를 새 휴대폰으로 옮기세요. 일부 인증 앱은 이전 기능이나 클라우드 백업을 제공하고, 그렇지 않은 앱은 계정마다 2FA를 다시 설정해야 합니다.
안전한 방법은 다음과 같습니다.
- 모든 계정이 새 휴대폰에서 확인될 때까지 기존 휴대폰을 사용할 수 있는 상태로 두세요.
- 이전할 수 없는 계정은 로그인해 2FA를 껐다가 다시 켜고, 새 휴대폰으로 새 QR코드를 스캔하세요.
- 기존 기기를 초기화하기 전에 계정마다 로그인을 테스트하세요.
피해야 할 흔한 2FA 실수
- 코드 공유하기. 진짜 은행, 쇼핑몰, 고객센터는 절대 2FA 코드를 불러 달라고 하지 않습니다. 이를 요구하는 사람은 사기범일 가능성이 매우 높습니다.
- 예상하지 못한 요청 승인하기. 내가 시작하지 않은 로그인 요청이 오면 거부하고 비밀번호를 바꾸세요.
- 메시지 속 링크로 들어간 페이지에 코드 입력하기. 피싱 사이트도 코드를 요구할 수 있습니다. 웹사이트에 직접 접속하세요.
- 백업 코드 저장 건너뛰기. 저장하는 데는 1분이면 되지만, 며칠씩 걸리는 계정 복구를 막아 줄 수 있습니다.
일상적인 보안을 더 강화하려면 모바일 보안 팁을 읽어 보고, 로그인 정보를 노리는 QR코드 사기를 알아보는 방법도 익혀 두세요.
자주 묻는 질문(FAQ)
2단계 인증이 정말 필요한가요?
이메일, 인터넷뱅킹, SNS처럼 중요한 계정이라면 그렇습니다. 도난당하거나 재사용된 비밀번호에 의존하는 많은 공격을 막아 줍니다.
인증 앱이 문자 인증보다 안전한가요?
대체로 그렇습니다. 인증 앱 코드는 휴대폰에서 생성되지만, 문자 코드는 가로채이거나 심 스와핑 사기로 다른 곳에 전달될 수 있습니다. 그래도 문자 인증은 2FA가 없는 것보다는 낫습니다.
휴대폰을 잃어버리면 어떻게 하나요?
저장해 둔 백업 코드로 로그인한 뒤 새 휴대폰에서 2FA를 다시 설정하세요. 백업 코드가 없다면 해당 서비스의 계정 복구 절차를 거쳐야 합니다.
누군가 내 2FA 코드를 알면 계정을 해킹할 수 있나요?
코드는 짧은 시간 동안만 유효하지만, 사기범이 실시간으로 코드를 알려 달라고 속인다면 이를 사용할 수 있습니다. 누구에게도 코드를 알려 주지 마세요.
2단계 인증은 몇 분만 투자하면 계정을 훨씬 뚫기 어렵게 만들어 줍니다. 오늘 이메일과 인터넷뱅킹에 먼저 켜고, QR-TH 계정도 2단계 로그인으로 보호하세요. 더 궁금한 점은 자주 묻는 질문에서 확인할 수 있습니다.