2단계 인증, 문자보다 앱이 안전한 이유와 설정 순서

어딘가에서 유출된 비밀번호가 다른 사이트에서 그대로 시도됩니다. 같은 비밀번호를 여러 곳에 쓰고 있다면 한 곳만 털려도 전부 열립니다. 이걸 막는 가장 값싼 장치가 2단계 인증입니다.

방식별 안전도

방식	안전도	특징
패스키 / 보안키	가장 높음	피싱에 원리적으로 강함
인증 앱(OTP 6자리)	높음	오프라인에서도 동작
앱 푸시 승인	높음	편리, 무심코 승인하는 실수 주의
문자(SMS)	보통	없는 것보다 훨씬 낫지만 번호 탈취에 취약
이메일 코드	낮음	메일 계정이 뚫리면 함께 뚫림

SMS가 상대적으로 약한 이유는 번호 자체를 가로채는 수법(유심 재발급 사칭 등)이 존재하기 때문입니다. 선택지가 있으면 인증 앱이나 패스키를 쓰는 편이 낫습니다.

설정 순서 — 중요한 계정부터

1. 메일 계정 — 모든 비밀번호 재설정 링크가 여기로 옵니다. 1순위입니다
2. 금융·증권 앱
3. 클라우드·사진 저장소
4. 메신저·SNS
5. 쇼핑·배달 등 결제수단이 저장된 서비스

대부분 "설정 → 보안 → 2단계 인증(2차 인증)" 경로에 있습니다.

백업코드를 반드시 받아두세요

2단계 인증의 가장 흔한 사고는 해킹이 아니라 휴대폰 분실·교체로 본인이 못 들어가는 것입니다.

• 설정할 때 나오는 백업코드를 출력하거나 종이에 적어 집 안 고정된 장소에 보관
• 인증 앱은 계정 동기화(클라우드 백업)를 지원하는 앱을 쓰면 기기 교체가 수월합니다
• 복구용 대체 이메일·전화번호를 최신으로 유지
• 새 폰으로 옮긴 뒤 옛 폰을 초기화하기 전에 로그인이 되는지 먼저 확인

비밀번호 관리가 같이 가야 합니다

• 계정마다 다른 비밀번호. 외울 수 없으니 비밀번호 관리자(브라우저 내장 포함)를 쓰는 게 현실적입니다
• 길이가 복잡함보다 중요합니다. 서로 관련 없는 단어 4개 조합이 기억하기도 쉽고 강합니다
• 브라우저·OS가 제공하는 유출된 비밀번호 알림을 켜두세요

피싱은 2단계 인증도 우회합니다

가짜 로그인 페이지에 코드까지 입력하면 그대로 넘어갑니다. 다음 세 가지만 지켜도 대부분 막힙니다.

• 링크를 타고 들어가 로그인하지 말고 주소를 직접 입력하거나 앱에서 들어가기
• 내가 요청하지 않은 승인 푸시는 무조건 거부 — 반복해서 온다면 비밀번호가 이미 유출된 신호입니다
• 기관·택배·경찰을 사칭한 설치 유도 링크는 열지 않기

패스키 — 비밀번호 자체를 없애는 방식

최근 구글·애플·마이크로소프트를 비롯한 주요 서비스가 패스키를 지원합니다. 기기의 지문·얼굴 인식으로 로그인하는 방식입니다.

• 비밀번호를 서버에 보내지 않으므로 유출될 비밀번호 자체가 없습니다
• 가짜 사이트에서는 동작하지 않습니다 — 피싱에 원리적으로 강합니다
• 기기를 잃어버려도 클라우드 계정으로 다른 기기에서 복구됩니다
• 다만 아직 지원하지 않는 서비스가 많아, 당분간은 2단계 인증과 병행하게 됩니다

지원하는 서비스라면 패스키를 먼저 등록하세요. 설정하는 데 1분이 걸리고, 이후 로그인이 오히려 더 빨라집니다.

인증 앱 고를 때

기준	왜 중요한가
클라우드 백업 지원	기기를 바꿔도 계정이 그대로 넘어갑니다
여러 기기 동기화	태블릿·PC에서도 코드 확인
앱 자체 잠금	휴대폰을 뺏겨도 한 겹 더
내보내기 기능	다른 앱으로 옮길 수 있어야 잠기지 않습니다

백업을 지원하지 않는 앱을 쓰다가 휴대폰을 잃어버리면, 등록해 둔 모든 계정에 한꺼번에 못 들어가게 됩니다. 이것이 2단계 인증 최대의 사고입니다.

계정을 잃어버렸을 때 복구 순서

1. 백업코드 사용 — 이걸 보관해 뒀다면 여기서 끝납니다
2. 등록된 대체 이메일·전화번호로 본인 확인
3. 다른 기기에 이미 로그인된 세션이 있는지 확인 — PC 브라우저가 살아 있는 경우가 많습니다
4. 서비스의 계정 복구 양식 제출(며칠에서 몇 주 걸립니다)

3번이 의외로 자주 통합니다. 휴대폰을 잃어버려도 집 PC에서 로그인 상태라면, 그 화면에서 2단계 인증을 새 기기로 다시 설정할 수 있습니다. 휴대폰 분실 직후에 PC를 로그아웃하지 마세요.

가족 계정과 공용 기기

• 부모님 계정은 대체 연락처에 자녀 번호를 넣어두면 복구가 수월합니다
• 공용 PC에서는 "이 기기 기억하기"를 체크하지 마세요
• 사용 후 반드시 로그아웃하고, 가능하면 시크릿 모드로 접속
• 주기적으로 계정 설정의 로그인된 기기 목록을 확인해 모르는 기기를 제거하세요

내 계정이 이미 털렸는지 확인하기

• 구글·애플·네이버 등은 보안 진단 메뉴에서 최근 로그인 기록과 연결된 앱을 보여줍니다
• 브라우저의 비밀번호 관리자가 유출된 비밀번호를 알려줍니다. 경고가 뜨면 즉시 변경하세요
• 로그인 알림을 켜두면 다른 곳에서 접속할 때 바로 알 수 있습니다
• 연결을 허용해 둔 외부 앱 권한을 한 번씩 정리하세요. 몇 년 전 가입한 서비스가 아직 내 계정에 접근 중인 경우가 많습니다

지금 10분이면 할 수 있는 것

1. 메일 계정에 2단계 인증 켜기
2. 백업코드 출력해서 서랍에 넣기
3. 대체 이메일·전화번호 최신화
4. 브라우저 비밀번호 경고 확인 후 중복 비밀번호 두세 개만 바꾸기

전부 하지 못하겠다면 2번 하나만이라도 해두세요. 사고가 났을 때 가장 많이 구해주는 항목입니다.

분실했을 때 순서

휴대폰을 잃어버렸다면 회선 정지, 기기 찾기·원격 잠금, 주요 계정 비밀번호 변경 순으로 움직이세요. 분실물 신고와 찾는 경로는 분실물 찾는 법 글에 정리했습니다. 배터리·기기 관리는 스마트폰 배터리 관리 글을 참고하세요.

출처

• 한국인터넷진흥원(KISA) — 계정 보호와 2단계 인증 안내

2026년 10월 기준 위 기관의 공식 안내를 근거로 정리했습니다. 기준과 금액은 개정으로 바뀔 수 있으니 신청·제출 전 해당 기관에서 다시 확인하세요. 이 사이트가 근거를 확인하고 갱신하는 방식은 편집 원칙에 적어 두었습니다.