2단계 인증 방법 비교: SMS·인증 앱·패스키·보안 키

2단계 인증 수단을 고를 수 있다면 피싱에 강한 패스키나 물리 보안 키를 먼저 쓰고, 지원하지 않는 계정에는 인증 앱을 등록한다. SMS만 되는 서비스라면 이를 켜고 고유한 비밀번호를 함께 쓴다. 어느 방법이든 기기를 잃어도 로그인할 수 있게 예비 수단을 하나 더 준비한다.

네 방법 비교

방법	로그인 때 필요한 것	피싱 저항성	분실 전에 준비할 것
SMS 코드	비밀번호와 문자를 받는 전화번호	없음. 가짜 화면에 코드를 입력할 수 있고 번호 탈취 위험도 있음	다른 두 번째 수단, 최신 복구 연락처
인증 앱(TOTP)	비밀번호와 앱이 만든 6자리 코드	없음. 입력형 코드라 피싱될 수 있음	앱의 백업·이전 방식, 서비스 복구 코드
동기화 패스키	등록된 기기와 화면 잠금(PIN·생체 인증)	있음. 서비스 주소에 묶인 공개키 방식	다른 기기의 패스키, 제공자 계정 복구 수단
물리 보안 키	등록된 FIDO 키(USB·NFC)와 방식에 따라 PIN	있음. 키에 묶인 FIDO 자격 증명	별도 장소에 둔 예비 키

FIDO Alliance는 패스키를 피싱에 강하도록 설계된 자격 증명으로 설명한다. SMS와 인증 앱의 숫자 코드는 사용자가 화면에 직접 옮겨 적으므로, 코드를 만드는 통로가 달라도 가짜 사이트에 넘어갈 수 있다. 보안 키라도 같은 USB 장치의 OTP 기능은 입력형이라 피싱에 강하지 않다.

SMS: 없는 것보다는 낫다

SMS만 지원하는 서비스라면 켜는 편이 비밀번호 하나만 두는 것보다 낫다. 앱이나 키가 필요 없어 시작이 쉽다. 대신 수신 지연, 해외 로밍, 번호 변경, 코드를 노리는 피싱과 번호 탈취에 약하다.

복구 전화번호를 유일한 예비 수단으로 두지 않는다. 그 번호를 잃으면 주 수단과 복구 수단이 동시에 사라진다. 번호를 바꾸거나 해지하기 전에는 다른 수단부터 등록한다. 계정 잠김의 흔한 원인이 이것이다.

인증 앱: 문자보다 안정적이다

TOTP 인증 앱은 30초마다 바뀌는 코드를 기기 안에서 계산한다. 문자를 기다리지 않아도 되고 통신이 안 되는 곳에서도 코드가 나온다. 다만 코드를 가짜 로그인 화면에 입력하면 똑같이 털리니, 입력 전에 주소를 확인한다.

등록할 때는 QR 스캔으로 끝내지 말고 휴대폰을 바꿀 때 코드를 옮기는 방법부터 확인한다. Google Authenticator, Microsoft Authenticator, Apple 암호 앱의 설정과 이전 방법은 인증 앱 설정과 복구 코드 관리에 있다.

패스키와 물리 보안 키

둘 다 FIDO 공개키 인증을 쓰지만 보관 위치가 다르다. 동기화 패스키는 운영체제나 비밀번호 관리자가 암호화해 여러 기기에 나눠 주고, 물리 보안 키의 자격 증명은 그 키 안에만 남는다. (Microsoft Learn)

동기화 패스키는 휴대폰·노트북의 화면 잠금만 풀면 로그인되고 기기를 바꿔도 이어진다. 대신 어느 제공자(Google, Apple, Microsoft, 비밀번호 관리자)에 저장됐는지, 새 기기에서 그 계정을 어떻게 복구하는지 알아 둔다.

Windows 11에 저장한 패스키는 설정 → 계정 → 패스키에서 본다. 이 PC에 저장된 패스키 목록을 보고 필요 없는 것을 지울 수 있다. 같은 화면의 고급 옵션에서 어떤 패스키 서비스를 쓸지 켜고 끈다. 비밀번호 관리자에 저장한 패스키는 그 앱에서 관리한다. (저장된 패스키 관리)

물리 보안 키는 동기화와 분리된 자격 증명이 필요하거나 여러 공용 기기를 오가는 사람에게 맞다. 예비 키를 함께 등록하고 다른 장소에 둔다. 두 키를 같은 가방에 넣으면 한 번 잃어버릴 때 둘 다 사라진다. Apple 계정은 보안 키를 쓰려면 최소 두 개를 등록하도록 요구하고, 신뢰 기기와 보안 키를 모두 잃으면 계정에 영구히 접근하지 못할 수 있다고 안내한다. (Apple 보안 키)

계정마다 고르는 순서

1. 계정의 보안·로그인·2단계 인증 화면에서 실제 지원 방법을 확인한다.
2. 패스키를 지원하면 저장 위치와 새 기기 복구 방식을 확인한 뒤 등록한다.
3. 표적 공격 위험이 높으면 물리 보안 키와 예비 키를 등록한다.
4. 둘 다 없으면 인증 앱을 등록하고 복구 코드를 따로 보관한다.
5. SMS만 되면 켜고, 번호 변경 전에 복구 연락처와 다른 수단을 갱신한다.

이메일, 비밀번호 관리자, 금융·결제, 클라우드처럼 다른 계정의 복구 열쇠가 되는 계정부터 강한 수단을 건다. 계정별 고유 비밀번호는 비밀번호 관리자 처음 설정 순서를 참고한다.

인증 수단을 잃어버렸을 때

잃어버린 것	로그인할 방법	로그인한 뒤 할 일
휴대폰(SMS·인증 앱)	복구 코드, 다른 기기의 패스키, 보안 키	잃은 휴대폰 등록을 지우고 새 휴대폰에 다시 등록
패스키가 든 기기	같은 제공자로 동기화된 다른 기기	제공자 계정에서 잃은 기기 제거
보안 키 하나	예비 보안 키	잃은 키 등록 삭제, 새 예비 키 등록
모든 수단	서비스의 계정 복구 절차	복구에 시간이 걸릴 수 있다

마지막 줄을 피하려면 수단을 등록한 날 바로 예비 수단까지 만든다. 휴대폰과 노트북의 패스키가 같은 제공자 계정으로 동기화된다면 그 계정을 잃는 경우도 따로 생각해 둔다.

자주 묻는 질문

가입할 때 휴대폰 본인확인을 했으니 로그인도 SMS여야 하나? 아니다. 본인확인과 로그인 2단계 인증은 목적이 다르다. 로그인 수단은 서비스의 보안 설정에서 따로 고른다.

복구 코드는 어디에 두나? 인쇄하거나 적어서 휴대폰과 다른 곳에 둔다. 비밀번호 관리자에 넣는다면 그 관리자 계정의 복구 수단이 이 코드에 기대지 않는지 확인한다. 한 번 쓴 코드는 다시 쓸 수 없으니 남은 개수를 확인한다.

강한 수단을 추가했는데 SMS도 남겨 둬야 하나? 로그인 때 SMS와 패스키 중 하나를 고를 수 있다면 약한 SMS가 공격 경로로 남는다. 서비스가 허용하면 예비 수단은 복구 코드나 두 번째 보안 키로 두고 SMS는 끈다.