2단계 인증 (Two-Factor Authentication, 2FA)

2단계 인증(2FA, two-factor authentication)은 비밀번호 외에 OTP·보안 키처럼 성격이 다른 두 번째 인증 요소를 함께 요구해 계정 탈취를 어렵게 하는 보안 방식입니다. 비밀번호가 유출되더라도 두 번째 요소가 없으면 로그인할 수 없습니다.

자세히 알아보기

인증 요소는 세 종류로 나뉩니다. 아는 것(비밀번호·PIN), 가진 것(휴대폰·보안 키), 나 자신(지문·얼굴)입니다. 2FA는 이 중 서로 다른 두 종류를 조합해야 의미가 있으며, 비밀번호 두 개를 묻는 것은 2FA가 아닙니다.

방식마다 안전성이 다릅니다.

• SMS·이메일 코드: 은행과 온라인 서비스에서 가장 흔히 쓰이지만 가장 약합니다. 유심 복제·번호 이동(SIM 스와핑)이나 이메일 계정 탈취로 우회될 수 있습니다.
• TOTP 앱(Google Authenticator 등): 휴대폰 앱이 30초마다 바뀌는 6자리 코드를 생성합니다(RFC 6238). SMS보다 안전하지만, 가짜 사이트에 코드를 입력하게 하는 실시간 피싱에는 취약합니다.
• FIDO2/패스키·하드웨어 보안 키(YubiKey 등): 사이트 도메인에 묶인 공개 키 서명을 사용하므로 피싱에 강합니다. 현재 가장 권장되는 방식입니다.

복구 코드(백업 코드)는 휴대폰을 잃어버렸을 때를 대비해 오프라인으로 안전하게 보관해야 합니다. 두 번째 요소를 잃으면 계정을 되찾기 어려울 수 있고, 로그인할 때마다 단계가 하나 늘어나는 불편도 있지만, 그 대가로 얻는 보안 효과가 훨씬 큽니다.

2단계 인증을 켤 때 함께 챙길 것이 있습니다. 인증 앱을 새 휴대폰으로 옮기기 전에 기존 기기에서 계정을 이전하거나 복구 코드를 확보해야 하며, 그렇지 않으면 계정에 접근하지 못할 수 있습니다. 가능하다면 하드웨어 보안 키를 두 개 등록해 하나를 예비로 보관하는 것이 좋습니다.

블록체인·암호화폐에서는

거래소 계정 보호에 2FA는 사실상 필수입니다. 업비트·빗썸 등 국내 거래소도 로그인과 출금 시 추가 인증을 요구합니다. 주의할 점은 2FA가 거래소 '계정'을 지킬 뿐, 개인 지갑의 개인 키나 시드 구문을 보호하지는 않는다는 것입니다. 비수탁형 지갑의 안전은 시드 구문 보관, 하드웨어 지갑, 멀티시그로 확보해야 합니다. 또한 "2FA 인증을 도와주겠다"며 코드를 요구하는 연락은 거의 확실히 사기입니다.

출금 주소 화이트리스트, 출금 지연, 새 기기 로그인 알림처럼 거래소가 제공하는 추가 보안 기능을 2단계 인증과 함께 켜 두면 계정이 탈취되더라도 자산이 빠져나가기 전에 대응할 시간을 벌 수 있습니다.

쉽게 말하면

현관문 열쇠(비밀번호)에 더해, 내 휴대폰으로만 받을 수 있는 일회용 출입증까지 보여 줘야 들어갈 수 있는 구조입니다.