계정이 지원한다면 패스키나 보안키처럼 피싱 저항성이 있는 방식을 우선 고려하고, 지원하지 않으면 OTP 앱과 계정 복구 수단을 함께 준비하세요. OTP 코드도 가짜 로그인 페이지에 직접 입력하면 탈취될 수 있으므로 완벽한 보호 수단은 아닙니다. SMS는 편리하지만 유심 교체·번호 이동 공격에 취약할 수 있어 가능한 경우 유일한 인증 수단으로 두지 않는 편이 낫습니다.
2단계 인증이 막아주는 것
2단계 인증의 핵심 원리는 간단합니다. 비밀번호(아는 것)만으로는 로그인이 되지 않게 하고, 내 손에 있는 기기나 물건(가진 것)으로 한 번 더 확인하는 절차를 추가하는 것입니다. 비밀번호가 유출 사고로 인터넷에 떠돌더라도, 공격자가 추가 인증 수단까지 손에 넣지 못하면 로그인이 막힙니다. 문제는 이 ‘추가 인증 수단’이 방식에 따라 뚫리는 경로가 다르다는 점입니다.
문자(SMS) 인증 — 가장 익숙하지만 가장 약한 편
문자로 인증번호를 받는 방식은 설정이 간단해 여전히 익숙한 방식입니다. 하지만 통신망을 거치는 구조 자체가 약점입니다. 대표적인 것이 ‘심 스와핑(SIM swapping)’으로, 공격자가 통신사를 속여 피해자의 번호를 자기 유심으로 옮기면 문자 인증번호도 고스란히 가로챌 수 있습니다. 이 때문에 CISA(미국 사이버보안·기반시설보안국)는 SMS·음성 기반 인증을 ‘가장 약한 형태의 다중 인증’으로 분류하고, 더 나은 대안이 없을 때의 최후 수단으로만 권고합니다. NIST(미국 국립표준기술연구소) 역시 관련 기술 지침에서 SMS를 ‘제한된 인증수단’으로 분류하며, 서비스 제공자에게 번호 이식·유심 변경 등 위험 신호를 확인하도록 권장하고 있습니다. Microsoft Entra의 Microsoft 네이티브 SMS·음성 인증은 일반 대상에 2027년 2월 1일, 전역 관리자·외부 사용자 등에는 2027년 7월 1일 중단 일정이 안내되어 있습니다. 외부 전화 통신 제공자를 이용하는 방식은 별도로 구분해야 하며, 모든 서비스의 문자 인증이 이 날짜에 중단되는 것은 아닙니다.
인증 방식별 비교
OTP 인증 앱 — 네트워크를 거치지 않는다는 차이
구글 OTP(Google Authenticator), 마이크로소프트 Authenticator 같은 앱은 ‘TOTP(시간 기반 일회용 비밀번호)’ 방식을 씁니다. 앱을 처음 등록할 때 서버와 내 기기가 비밀키를 하나 공유하고, 이후에는 그 비밀키와 현재 시각을 조합해 보통 30초마다 새 숫자 코드를 생성합니다. 이 계산이 기기 안에서만 이루어지고 통신망이나 문자메시지를 거치지 않기 때문에, 심 스와핑이나 문자 가로채기 같은 통신망 기반 공격에서 자유롭다는 게 SMS 대비 가장 큰 차이입니다. 다만 가짜 로그인 페이지에 코드를 그대로 입력하게 유도하는 ‘실시간 피싱’에는 여전히 취약할 수 있습니다.
보안키·패스키 — 피싱에 가장 강한 이유
FIDO2/WebAuthn 표준을 따르는 보안키나 패스키는 접근 방식이 아예 다릅니다. 등록 과정에서 특정 사이트(도메인) 주소와 암호학적으로 묶인 인증 정보를 만들어내는데, 이를 ‘도메인 바인딩’이라 부릅니다. 가짜 사이트 주소는 원래 등록된 주소와 다르기 때문에, 사용자가 속아서 가짜 사이트에 접속하더라도 인증 자체가 성립하지 않습니다. 코드를 눈으로 보고 옮겨 적는 과정이 없어 실시간 피싱 공격 구조 자체가 통하지 않는다는 점에서, CISA는 이 방식을 ‘피싱 저항형(phishing-resistant)’의 대표 사례로 꼽습니다.
실제로 뭘 써야 할까
피싱 저항성 기준에서는 WebAuthn/FIDO2 방식의 보안키·패스키가 유리하지만, 사용 가능한 서비스와 기기·복구 방식에 따라 선택이 달라집니다. OTP 앱은 SMS 통신망 기반 공격을 피할 수 있지만 코드를 가짜 로그인 페이지에 입력하는 실시간 피싱에는 취약합니다. 기기를 분실하면 OTP 백업·계정 복구 절차가 필요하고, 보안키는 예비 키를 마련하지 않으면 복구가 번거로울 수 있습니다. 동기화·백업 지원은 앱과 계정마다 다르므로 등록 전에 확인하세요.
현실적인 절충안은 최소한 SMS 한 가지에만 의존하지 않는 것입니다. 이미 SMS 인증을 쓰고 있다면 OTP 앱을 2차 수단으로 추가하는 것만으로도 심 스와핑 같은 통신망 공격에 대한 노출을 크게 줄일 수 있습니다. 은행, 이메일, 클라우드 저장소처럼 중요도가 높은 계정은 지원 여부를 확인해 보안키나 패스키까지 등록해두는 것이 가장 안전한 조합입니다.
2026-10-13 해당 설명 교정 확인: 공식 근거 1