2단계 인증의 한계 — 두 번째 문은 어떤 손님 앞에서 열리나

휴대폰에 뜬 「로그인을 승인하시겠습니까」

월요일 아침, 회사 메일에 로그인하자 휴대폰에 알림이 뜹니다. 「로그인을 승인하시겠습니까?」 승인을 누르면 메일함이 열립니다. 점심때 은행 앱에서는 비밀번호를 넣은 뒤, 문자로 온 여섯 자리 숫자를 한 번 더 넣습니다.

회사와 은행의 안내는 대개 같은 말을 합니다. 비밀번호가 새어 나가도 두 번째 확인이 있으면 남이 들어오지 못한다는 것입니다. 이 말은 그럴듯합니다. 비밀번호는 머릿속의 글자라 어딘가에서 새도 나는 모릅니다. 휴대폰은 내 주머니에 있습니다. 비밀번호를 손에 넣은 사람도 내 휴대폰은 쥐고 있지 않으니, 두 번째 문 앞에서 멈춥니다.

뉴스에는 반대쪽 이야기도 나옵니다. 누군가 통신사를 속여 남의 전화번호를 자기 유심으로 옮기고, 문자로 오는 숫자를 대신 받아 계좌와 계정을 털었다는 이야기입니다. 그 뒤로 「문자 인증은 쓸모없다」는 말도 흔히 들립니다.

두 말은 반대 방향을 가리킵니다. 하나는 두 번째 확인을 켜면 끝이라고 하고, 다른 하나는 가장 흔한 방식 하나가 아무것도 못 막는다고 합니다. 이 글은 근거를 따라 두 말이 맞는 범위와 틀리는 범위를 나눕니다. 물음은 켜느냐 끄느냐보다 좁습니다. 어떤 방식이 어떤 공격을 막는가, 그리고 어떤 공격 앞에서는 두 번째 문도 함께 열리는가입니다.

arXiv·Zenodo 같은 공개 서버에 올라온 글은 「공개 서버 판본」으로 표기했습니다.

훔친 비밀번호만 쥔 사람은 두 번째 문에서 거의 멈춘다

2016년 3월부터 1년 동안 암시장 게시판에서 거래된 아이디와 비밀번호는 1,900,000,000개였습니다. 구글 계정을 사례로 맞춰 보니, 유출된 비밀번호의 7~25%가 피해자의 구글 계정 비밀번호와 같았습니다 (DOI: 10.1145/3133956.3134067). 다른 사이트에서 샌 비밀번호가 메일 계정의 맞는 비밀번호이기도 했다는 뜻입니다. 한 곳에서 훔친 비밀번호로 피해자의 다른 계정에 로그인하는 이 공격이 크리덴셜 스터핑입니다(「비밀번호와 패스키 — 내가 나라는 걸 어떻게 증명하나」).

이 공격 앞에 두 번째 문을 다는 것이 다중 인증, 곧 아는 것·가진 것·몸의 특징 가운데 종류가 다른 증거를 둘 이상 함께 요구하는 방식입니다. 그 효과를 큰 자료로 잰 결과가 있습니다. 마이크로소프트 연구진이 자사 기업용 계정 서비스(Azure Active Directory)에서 수상한 활동이 보인 사용자들을 분석한 2023년 연구(공개 서버 판본)입니다. 다중 인증을 켠 계정은 조사 기간 동안 99.99% 넘게 안전하게 남았습니다 (arXiv:2305.00945).

같은 연구에서 다중 인증은 전체에서 계정이 뚫릴 위험을 99.22% 줄였고, 비밀번호가 샌 것으로 알려진 계정에서도 98.56% 줄였습니다 (arXiv:2305.00945). 비밀번호가 이미 남의 손에 있어도, 두 번째 문이 있으면 원래의 침입 위험이 2%도 남지 않았다는 뜻입니다. 이 수치는 당사자가 자기 서비스에서 잰 결과로 독립 측정은 아니고, 대상은 이미 수상한 활동이 보인 계정들이었습니다. 저자들은 이 결과를 근거로 상업용 계정에 다중 인증을 기본으로 켜 두자고 강하게 권합니다.

두 번째 통념에 대한 답도 같은 자료에 있습니다. 전용 인증 앱이 문자 인증보다 나았지만, 두 방식 모두 다중 인증을 쓰지 않을 때보다 보안을 크게 높였습니다 (arXiv:2305.00945). 「문자 인증은 쓸모없다」는 말은 적어도 이 자료가 잰 상황, 곧 남이 내 계정에 로그인하려 한 상황에서는 맞지 않습니다.

비밀번호만 쥔 공격자 앞에서는, 문자를 포함한 두 번째 확인이 문을 거의 닫습니다.

매번 묻지 않고, 낯설 때만 묻는다

사용자가 평소 접속하던 장소와 쓰던 기기 같은 위험 신호를 로그인 확인에 더하면, 유출된 비밀번호로 계정을 빼앗길 위험을 줄이는 데 도움이 됩니다. 앞의 구글 사례 분석이 보인 결과입니다 (DOI: 10.1145/3133956.3134067).

이 생각을 하나의 방식으로 만든 것이 위험 기반 인증입니다. 위험 기반 인증(risk-based authentication)은 로그인할 때 접속한 곳이나 기기 같은 특징을 지켜보다가, 평소 보던 값과 크게 다를 때만 한 번 더 확인을 요구하는 방식입니다. 여러 나라의 보안 기관이 이 방식을 권하고, 사용자들은 같은 수준의 2단계 인증보다 쓰기 편하고 똑같이 안전하다고 여깁니다. 그런데도 이 방식을 쓰는 온라인 서비스는 아주 적고, 설정과 구현에 관한 검증된 공개 자료가 모자란 것이 그 이유의 하나입니다 (DOI: 10.1145/3546069).

그 빈자리를 채우려 한 연구진은 실제 대규모 온라인 서비스에서 1년 넘게 사용자 3,300,000명의 로그인 기록을 모았습니다. 이 자료로 설정을 맞추면, 사용자는 로그인 몇 번 만에 이 방식의 덕을 볼 수 있었습니다 (DOI: 10.1145/3546069). 평소처럼 로그인하는 사람은 대개 한 번만 확인받고, 낯선 접속만 한 번 더 확인받는다는 뜻입니다.

어디까지 묻느냐가 왜 중요한지는 한 대학의 현장 연구가 보여 줍니다. 한 큰 공립대학이 교직원과 학생에게 2단계 인증을 단계적으로 의무화하는 동안, 연구진은 여러 차례 설문을 하고 몇 달 치 인증 기록을 살폈습니다. 민감한 정보를 다루는 일부 시스템에만 의무로 했을 때는 사용 경험과 수용도에 의미 있는 변화가 없었습니다. 대학의 모든 자원에 로그인할 때마다 강제하자 둘 다 나빠졌습니다 (DOI: 10.1145/3313831.3376457). 카네기멜런대학의 도입을 관찰한 연구에서는 2단계 인증을 쓴 사람들은 그것을 귀찮아하면서도 꽤 쓰기 쉽다고 했고, 계정이 더 안전해졌다고 믿었습니다 (DOI: 10.1145/3173574.3174030).

이 대학의 설문에서 두 번째 확인의 비용은 켜느냐보다 어디까지 매번 묻느냐에서 커졌습니다. 이 점은 뒤에서 승인 알림을 볼 때 다시 돌아옵니다.

문자는 그 번호를 쥔 사람에게 간다

문자로 오는 일회용 코드, 곧 한 번 쓰거나 짧은 시간이 지나면 더는 통하지 않는 숫자는 그 전화번호로 문자를 받는 사람에게 갑니다. 유심 교체 공격은 공격자가 통신사를 움직여 피해자의 전화번호를 공격자가 쥔 유심으로 옮기게 하는 공격입니다. 번호가 넘어가면 공격자는 그 번호에 묶인 비밀번호를 바꿔, 은행과 소셜미디어 계정에 들어갈 수 있게 됩니다 (DOI: 10.1109/ic3iot60841.2024.10550217).

통신망 쪽의 길도 있습니다. 통신사끼리 주고받는 옛 신호 체계로 문자를 가로챌 수 있다는 사실은 2014년부터 알려져 있었습니다. 2017년 연구는 새 LTE 망의 연결 체계에서도 기기나 운영체제와 상관없이 문자를 가로챌 수 있음을 보이고, 구글·마이크로소프트·트위터 같은 회사의 서비스에 미치는 실제 영향을 보였습니다 (DOI: 10.1109/icc.2017.7997246). 이런 가로채기는 통신사 사이의 연결망에 접근할 수 있는 공격자를 전제합니다. 그런 공격자 앞에서는 사용자가 아무리 조심해도, 문자가 오가는 통로 자체가 샙니다.

문자의 약점은 전화번호라는 통로에 있습니다. 휴대폰 안에서 코드를 만드는 인증 앱은 그 통로를 쓰지 않습니다. 앞의 마이크로소프트 자료에서도 전용 인증 앱이 문자보다 나았고, 초록은 그 차이의 원인을 따로 밝히지 않습니다 (arXiv:2305.00945). 다만 앱이 만든 코드도 결국 사람이 보고 옮겨 넣습니다. 다음 공격은 바로 그 자리를 노립니다.

문자 코드는 비밀번호만 쥔 공격자는 막지만, 전화번호 자체를 빼앗은 사람에게는 증거도 함께 넘어갑니다.

진짜 사이트로 말을 전해 주는 가짜 사이트

2019년 보안 업계 잡지의 한 기사는 이렇게 적었습니다. 다중 인증이 비밀번호 하나보다 대개 더 강하다는 데는 보안 전문가들이 동의하지만, 많은 사람이 다중 인증을 거의 뚫리지 않는 것으로 여기게 됐고 그것은 사실과 거리가 멀다는 것입니다. 기사는 보안 교육 회사 노비포(KnowBe4)의 로저 그라임스의 말을 빌려, 단순한 피싱 메일 하나로 많은 다중 인증 방식을 우회할 수 있다고 전합니다 (DOI: 10.1016/s1353-4858(1930107-2). 피싱은 믿을 만한 곳에서 온 것처럼 꾸민 메시지로 비밀번호 같은 정보를 받아 내거나 해로운 링크·파일을 열게 하는 속임수입니다(「피싱과 사회공학 — 문을 부수는 대신 초인종을 누른다」). 그 피싱이 다중 인증을 넘는 대표적인 길이 중계형 피싱입니다.

중계형 피싱(adversary-in-the-middle phishing)은 가짜 사이트가 나와 진짜 사이트 사이에 서서, 진짜 화면을 그대로 비춰 보여 주는 한편 내가 넣는 비밀번호와 코드를 진짜 사이트로 넘기는 피싱입니다. 이런 도구는 진짜 서비스의 화면을 실시간으로 비춰 주면서, 오가는 길에 로그인 정보와 세션 쿠키를 빼냅니다. 2021년 연구는 이것을 10년 넘게 공격을 자동화해 온 피싱 도구 묶음의 가장 새로운 형태로 보았습니다 (DOI: 10.1145/3460120.3484765). 세션 쿠키(session cookie)는 로그인을 마친 브라우저에 사이트가 건네는 출입증으로, 그 출입증이 유효한 동안 사이트는 대개 비밀번호도 코드도 다시 묻지 않습니다.

한 번의 로그인을 따라가 봅니다. 메일 속 링크를 누르자 늘 보던 로그인 화면이 뜹니다. 다른 것은 주소창의 주소뿐입니다. 화면이 진짜와 똑같은 것은 가짜 사이트가 진짜 사이트의 화면을 그대로 비춰 주기 때문이고, 이것이 가짜 페이지를 훨씬 그럴듯하게 만듭니다 (DOI: 10.1145/3460120.3484765). 비밀번호를 넣으면 가짜 사이트는 그것을 진짜 사이트로 넘깁니다. 진짜 사이트가 코드를 묻는 화면도 그대로 비쳐 보이고, 내가 넣은 코드도 같은 길로 넘어갑니다. 로그인이 끝나면 진짜 사이트는 출입증을 건네고, 가짜 사이트는 그 출입증도 오가는 길에 챙깁니다. 이 도구들은 2단계 인증을 마친 접속을 거두어 가는 일까지 자동으로 합니다 (DOI: 10.1145/3460120.3484765). 공격자가 그 출입증을 내밀면, 사이트는 비밀번호도 코드도 다시 묻지 않습니다.

일회용 코드의 짧은 수명은 이 공격 앞에서 힘을 쓰지 못합니다. 코드는 내가 넣는 바로 그 순간 넘어가기 때문입니다. 여러 다중 인증 방식을 점수 모형으로 견준 2026년 Zenodo 공개 서버 판본의 저자도 같은 쪽으로 평가했습니다. 문자나 메일로 받는 일회용 코드는 오늘날의 피싱 공격 앞에서 충분한 보호를 주지 못하고, 앱이 만드는 시간 기반 코드는 더 안전하지만 실시간 공격에는 여전히 약하다는 것입니다 (DOI: 10.5281/zenodo.20812491).

이런 가짜 사이트를 미리 걸러 내는 일도 쉽지 않습니다. 2026년의 한 실험(공개 서버 판본)은 이런 도구 하나를 기본 설정으로 띄웠습니다. 한 회사의 로그인 화면을 흉내 낸 가짜 사이트는 4주 실험 기간 내내 공개 웹 검사기 대부분에 걸리지 않았습니다. 다른 회사의 화면을 흉내 낸 쪽은 일곱 곳에서만 들쭉날쭉 잡혔고, 어느 곳도 차단 목록에 올리지 않았습니다 (DOI: 10.5281/zenodo.18830957). 그 실험에서는 공개 검사기가 가짜 사이트를 미리 막아 주리라 기대하기 어려웠다는 뜻이고, 저자는 이것을 지금의 피싱 탐지 체계에 난 큰 빈틈으로 봅니다.

사람이 보고 옮겨 넣는 코드는, 사람이 속은 바로 그 자리에서 그대로 중계됩니다.

습관이 된 「승인」

휴대폰에 뜬 알림에서 승인을 누르는 방식은 숫자를 옮겨 적을 필요가 없어 편합니다. 그 대신 사람의 확인에 기댑니다. 사우디아라비아의 한 대학이 내는 학술지에 실린 2026년 단독 저자 논문(지면 품질 불명)에 따르면, 푸시 승인은 공격자가 사용자와 같은 때 로그인을 시도하는 공격에도 약합니다 (DOI: 10.63908/kpgnt990). 공격자는 그 편함도 노립니다. 승인 요청을 받아들이게 속이는 수법, 예컨대 요청을 여러 번 보내 사용자가 하나를 받아들일 때까지 기다리는 수법으로 공격자들이 여전히 흔히 침입한다고, 2024년의 한 제안 논문(공개 서버 판본)은 배경에서 적습니다 (arXiv:2401.11599). 승인 피로(MFA fatigue)는 로그인 승인 알림이 거듭 오면서, 사람이 확인하지 않고 반사적으로 승인을 누르게 되는 일입니다.

이에 맞선 장치가 번호 맞추기입니다. 번호 맞추기(number matching)는 로그인 화면에 뜬 숫자를 휴대폰의 승인 화면에 옮겨 넣어야 승인되게 한 방식입니다. 이 방식은 실수로 누르는 승인을 줄입니다. 그러나 그 안전은 사용자가 승인하기 전에 숫자를 실제로 확인한다는, 시험된 적 없는 가정에 기대고 있습니다 (DOI: 10.63908/kpgnt990).

앞의 단독 저자 논문은 그 가정을 시험했습니다. 통제된 실험에서 나온 참가자별 자료, 곧 공격 시도 73,829번을 다시 들여다본 것입니다. 「늘 확인한다」고 답한 참가자들의 잘못된 승인 비율이 53.7%로 어느 집단보다 높았고, 그들의 3분의 1은 모든 공격을 승인했습니다. 보안에 대한 자신감은 실제로 공격을 버티는 정도와 반대로 움직였습니다 (DOI: 10.63908/kpgnt990). 확인한다고 믿는 것과 실제로 확인하는 것이 다른 일이었다는 뜻입니다.

같은 자료에서 참가자의 26%는 모든 공격을 승인했고 13.7%는 모두 거절했습니다. 사람 사이의 꾸준한 차이가 기기 종류나 숫자 길이보다 훨씬 컸습니다. 빨리 반응한 사람들의 잘못된 승인 비율은 58.4%로, 그렇지 않은 사람들의 38.7%보다 높았습니다. 저자는 이것이 따져 보고 누르는 승인보다 반사적인 승인과 맞아떨어진다고 해석합니다 (DOI: 10.63908/kpgnt990). 이 수치는 통제된 실험 자료에서 나왔고, 실제 회사의 로그인 기록으로 잰 것은 아닙니다.

저자는 대안으로, 승인 알림을 로그인한 사이트의 주소와 짧은 시간 창에 묶는 규칙을 제안했습니다. 그 효과는 가정을 넣은 모의 계산으로만 보였고, 저자는 이것을 기존 푸시 승인과 피싱에 강한 방식 사이의 현실적인 다리로 자리매김합니다 (DOI: 10.63908/kpgnt990).

푸시 승인은 사람이 알림을 확인한다는 가정 위에 서 있고, 실험에서는 그 가정이 사람마다 크게 갈렸습니다.

두 번째 열쇠를 잃어버린 날

휴대폰을 바꾸거나 잃어버린 날, 두 번째 문의 열쇠도 함께 사라집니다. 2020년의 한 석사학위 논문은 사용자의 60%가 두 번째 증거로 쓸 기기를 하나만 등록해 둔다고 적습니다. 이 수치가 어떤 표본에서 나왔는지는 초록에 없습니다 (DOI: 10.25777/3dhq-pj49). 그 기기 하나를 잃으면 다른 길로 들어가야 합니다. 계정 복구(account recovery)는 비밀번호를 잊었거나 두 번째 증거를 잃은 사람이 다른 방법으로 자신임을 보이고 계정을 되찾는 절차입니다.

사용자들은 그날을 대비하지 않습니다. 독일에서 16명을 인터뷰하고 95명에게 설문한 2025년 연구에서, 대부분은 두 번째 증거를 잃으면 어떻게 계정에 들어갈지 생각해 본 적이 없었고 백업 계획이 있는 사람은 몇 명뿐이었습니다. 그 대신 사이트의 고객 지원에 기대며, 자기 개인정보가 계정을 되찾는 데 도움이 되리라 여겼습니다 (DOI: 10.1145/3706598.3714245). 「내가 계속 쓸 수 있게 하는 건 그들의 책임이다」라는 한 참가자의 말이 이 연구의 제목입니다.

앞의 석사학위 논문은 계정 복구가 본질적으로 시스템의 주된 보안 절차를 우회하는 길이라, 또 하나의 인증 절차로 다뤄야 한다고 적습니다. 그 논문은 자체 평가식으로 네 복구 방식을 따져, 예비 전화번호 복구가 공격에 가장 강하고 그다음이 시스템이 만들어 주는 복구 코드라고 판정했습니다. 설문에 답한 103명 가운데 45%도 예비 전화번호 복구를 가장 좋아했습니다. 그런데 사용자들이 설정 안내를 무시하고 비상 연락처 대신 자기 전화번호를 넣을 가능성이 크다는 것도 그 논문이 찾은 점입니다 (DOI: 10.25777/3dhq-pj49). 그 평가식이 유심 교체를 따로 셈했는지는 초록에 없습니다. 복구의 길이 내 전화번호로 다시 이어지면, 앞에서 본 유심 교체의 약점도 그 길로 들어올 수 있습니다.

일부 서비스는 복구 절차에도 위험 신호를 봅니다. 최근 공격들이 로그인 절차 밖, 계정 복구 기능의 약점을 드러내면서 이 물음이 생겼습니다. 위험 기반 인증을 쓰는 것으로 알려진 다섯 서비스를 조사한 2024년 연구(공개 서버 판본)는 구글·링크드인·아마존에서 복구 단계에도 같은 방식이 쓰인다는 것을 확인했습니다 (arXiv:2403.11798).

비밀번호 없는 로그인에서도 이 문제는 남습니다. 보안키를 영영 쓸 수 없게 됐을 때의 계정 복구 방식 12가지를 따져 본 2021년 평가(공개 서버 판본)는, 지금 쓰이는 방식들에 단점이 많고 일부는 비밀번호에 다시 기대어 비밀번호 없는 로그인을 무색하게 만든다고 결론지었습니다. 같은 평가는 유망한 복구 방식도 몇 가지 찾았습니다 (arXiv:2105.12477). 기업에서 이 방식을 다뤄 본 실무자 118명에게 물은 연구에서도, 60% 넘는 응답자가 계정 복구를 심각한 빈틈으로 골랐습니다 (arXiv:2308.08096, 공개 서버 판본).

문을 아무리 튼튼하게 바꿔도, 열쇠를 잃은 사람을 들여보내는 옆문이 그 집의 실제 문턱이 됩니다.

주소를 확인하는 일을 사람에게서 뺀다

중계형 피싱과 승인 피로에는 공통점이 있습니다. 가짜 주소를 알아보는 일도, 알림을 확인하는 일도 사람에게 맡겨져 있습니다. 보안키와 패스키는 그 일을 기계로 옮깁니다. 개인키, 곧 주인만 갖고 어디로도 보내지 않는 열쇠(「열쇠와 자물쇠 — 공개키는 왜 공개해도 안전한가」)가 그 중심에 있습니다. 보안키는 개인키를 안에 간직한 채 컴퓨터에 꽂아 로그인에 쓰는 작은 장치이고, 패스키는 사이트마다 따로 만든 키 쌍으로, 공개키는 그 사이트에 맡기고 개인키는 로그인하는 사이트로 보내지 않는 로그인 수단입니다. 둘 다 FIDO2라는 표준에 기댑니다.

피싱 저항성(phishing resistance)은 사용자가 가짜 사이트에 속아 넘어가도, 그 자리에서 진짜 사이트에 쓸 수 있는 로그인 증거가 나오지 않는 성질입니다. 이 방식에서 로그인 증거는 진짜 사이트의 주소에 묶여 만들어지고, 지금 접속한 주소가 맞는지는 사람 대신 브라우저가 확인합니다. 가짜 사이트에서는 진짜 사이트용 서명이 나오지 않으니, 넘겨줄 코드도 없습니다. 앞의 점수 모형을 세운 Zenodo 판본의 저자는 로그인 정보를 서비스의 도메인에 암호로 묶는 이 설계가 피싱과 중계 공격에 대한 타고난 방어를 준다고 보고, 견준 방식 가운데 가장 높은 점수를 매겼습니다 (DOI: 10.5281/zenodo.20812491). 승인 피로를 분석한 단독 저자도 이 표준을 피싱에 강한 방식으로 꼽았습니다 (DOI: 10.63908/kpgnt990).

그 성질은 그 방식으로 로그인하는 동안에만 성립합니다. 같은 계정에 문자·앱 코드·푸시 같은 다른 로그인 길이 함께 열려 있으면, 가짜 사이트는 그 길을 띄워 그대로 중계할 수 있습니다. 진짜 사이트 쪽의 틈도 남습니다. 2025년의 한 연구는 이 표준이 그때까지 사실상 어떤 피싱 기법에도 뚫리지 않은 유일한 인증 방법이었다고 적습니다. 같은 연구는 진짜 사이트에 남아 있던 다른 종류의 틈과 엮으면, 하드웨어 보안키를 쓰는 경우까지 포함해 이 방식도 뚫을 수 있음을 보였습니다 (DOI: 10.1007/s11416-025-00556-2).

틈은 표준의 둘레에도 남습니다. 2026년의 한 분석(공개 서버 판본)은 암호 계산 자체가 멀쩡해도 브라우저나 운영체제, 하드웨어가 장악되면 이 방식의 안전이 무너질 수 있다고 보였고, 실제 배포에서 가장 약한 곳은 대개 암호 층보다 그것을 둘러싼 믿고 쓰는 환경이라고 결론지었습니다 (arXiv:2609.03789). 2023년 연구(공개 서버 판본)는 브라우저 확장 프로그램이 장악되거나 공격자가 보안키를 손에 넣은 경우를 따져, 인기 웹 서버 10곳에서 공격 일곱 가지가 실현 가능함을 보였습니다. 사용자 실험의 참가자들은 지금의 오류 메시지와 알림만으로는 그 공격을 알아채지 못했습니다. 같은 연구는 현재의 브라우저 확장들을 분석해 그런 공격이 실제로 쓰인 증거는 찾지 못했다고 적었습니다 (arXiv:2308.02973).

기기가 악성코드, 곧 사용자 몰래 해를 끼치려고 만든 프로그램(「보안 — 남이 못 보고, 몰래 바뀌지 않고, 필요할 때 열리는 것」)에 감염된 경우도 남습니다. 지금의 2단계 방식 대부분은 개별 거래는 확인하지 않고 접속 하나만 확인해서, 기기가 감염되면 효과가 없다고 한 2022년 논문(공개 서버 판본)은 지적합니다 (arXiv:2206.13358). 로그인을 마친 뒤 감염된 기기 안에서 벌어지는 일은 두 번째 문 너머의 일입니다.

편의를 위해 들여온 동기화도 무게중심을 옮깁니다. 패스키를 내 여러 기기에 동기화하면 기기를 잃을 걱정이 줄지만, 그 대신 동기화된 패스키의 보안은 주로 패스키를 보관해 주는 제공자에게 모입니다 (arXiv:2501.07380, 공개 서버 판본). 앞 절의 계정 복구 문제를 덜어 주는 장치가, 지켜야 할 자리를 제공자 한 곳으로 모읍니다.

쓰는 사람 쪽의 비용도 있습니다. 스마트폰에서 이 방식을 써 본 87명의 실험실 연구에서 대부분은 비밀번호 없는 로그인을 받아들일 뜻이 있었지만, 계정을 남에게 맡겨 쓰는 일이나 여러 기기에서 쓰는 일 같은 지금의 사용 방식을 받쳐 주지 못하는 것이 장벽으로 남았습니다 (arXiv:2302.07777, 공개 서버 판본). 2022년의 한 입장 논문은 가까운 미래에 웹에서 비밀번호를 없애기는 어렵다고 주장했습니다 (arXiv:2211.07161, 공개 서버 판본).

사이트 주소에 묶인 방식은 그 방식으로 로그인하는 한 중계형 피싱의 문을 닫지만, 같은 계정에 함께 열린 더 약한 길, 진짜 사이트에 남은 다른 틈, 기기와 브라우저의 장악, 열쇠를 잃었을 때의 길은 그대로 남습니다.

공격마다 다른 답

지금까지의 근거를 한 장에 모으면 이렇습니다. 칸의 내용은 각 근거가 잰 조건 안에서만 성립합니다.

표를 위에서 아래로 읽으면 두 번째 확인이 하는 일이 달라집니다. 첫 줄의 공격은 비밀번호를 쥔 사람이 아무 데서나 로그인해 보는 일이라, 종류가 다른 증거를 하나 더 물으면 대부분 막혔습니다. 마이크로소프트 연구진이 자사 계정에서 잰 자료에서 그 감소 폭은 전체 99.22%, 비밀번호가 샌 계정 98.56%였습니다. 둘째 줄부터는 공격자가 두 번째 증거 자체를 노립니다. 전화번호를 빼앗거나, 내가 넣는 코드를 그 자리에서 넘겨받거나, 내 손으로 승인을 누르게 하거나, 복구의 옆문으로 돌아옵니다. 주소에 묶인 방식은 그 방식으로만 로그인할 때 그중 중계의 문을 닫고, 마지막 두 줄은 어떤 방식을 골라도 따로 남습니다.

근거가 엇갈려 보이는 이유와 아직 모르는 것

한쪽에는 「99% 넘게 안전했다」는 자료가 있고, 다른 쪽에는 「다중 인증을 뚫었다」는 논문이 줄지어 있습니다. 두 쪽은 서로 다른 것을 쟀습니다. 마이크로소프트 자료는 실제 서비스에서 수상한 활동이 보인 계정이 실제로 뚫렸는지를 쟀습니다. 현장 자료이지만 당사자가 자기 계정에서 잰 결과이고, 초록은 그 침입 시도가 어떤 종류였는지를 나눠 적지 않습니다 (arXiv:2305.00945). 우회를 다룬 연구들은 도구를 분석하고, 공격을 시연하고, 통제된 실험을 했습니다. 이런 연구는 무엇이 가능한지를 보여 주지만, 그 일이 실제 계정에서 얼마나 자주 일어나는지는 재지 않습니다.

그래서 이 글의 근거로 답할 수 없는 물음이 남습니다. 실제 계정 탈취 가운데 중계형 피싱이나 승인 피로로 뚫린 것이 얼마나 되는지를 현장 자료로 잰 연구는 이 글의 근거 안에 없습니다. 승인 피로의 수치는 실험에서 나왔고, 실제 회사 직원의 알림 앞에서도 같은 비율이 나오는지는 확인되지 않았습니다.

얼마나 자주 물을지도 열린 물음입니다. 위험 기반 인증의 현장 자료는 낯선 접속만 골라 묻는 일이 가능함을 보였고 (DOI: 10.1145/3546069), 한 대학의 설문은 모든 자원에 강제했을 때 사용 경험이 나빠졌음을 보였습니다 (DOI: 10.1145/3313831.3376457). 여기서 한 걸음 더 나간 모형도 있습니다. 확인을 요구받을 때마다 사람의 주의력이 줄고 쉬면 회복된다고 놓은 이 모형(공개 서버 판본)은, 가상의 직원들을 두고 돌린 모의실험에서 모든 요청마다 묻는 정책이 가장 나빴다고 보고합니다. 위험에 맞춰 묻는 정책은 중간 정도로 엄격할 때 위험이 가장 낮았고, 그보다 엄격하면 위험이 다시 올라갔습니다. 저자는 이 결과가 자신이 가정한 값에서 나왔으므로 작동 원리를 보여 줄 뿐 실제 직장에 대한 근거가 아니라고 스스로 적었습니다 (DOI: 10.5281/zenodo.22849044). 묻는 횟수와 사람의 주의 사이의 관계는 아직 현장에서 재지 않은 가설입니다.

패스키 쪽의 논쟁도 재는 것이 다릅니다. 피싱 저항성의 우위는 설계 분석과 점수 모형에서 나왔고, 남은 틈은 시연과 위협 분석에서 나왔으며, 복구와 사용성의 비용은 설문과 실험실 연구에서 나왔습니다. 세 종류의 근거는 서로를 반박하기보다 같은 방식의 다른 면을 봅니다.

의의 — 두 번째 문이 닫히는 곳과 열리는 곳

「2단계 인증을 켜면 안전하다」는 말은 훔치거나 재사용한 비밀번호로 남이 로그인하려는 상황에서는 강한 근거를 가집니다. 마이크로소프트 연구진이 자사 계정에서 잰 자료에서 위험이 98% 넘게 줄었습니다. 그 말이 틀리는 곳은 공격자가 두 번째 증거 자체를 노릴 때입니다. 전화번호를 빼앗는 공격, 내가 넣는 코드를 그 자리에서 넘겨받는 가짜 사이트, 습관처럼 누르는 승인, 허술한 계정 복구 앞에서는 두 번째 문도 열릴 수 있습니다.

「문자 인증은 쓸모없다」는 말은 너무 멀리 갔습니다. 같은 자료에서 문자도 안 쓸 때보다 보안을 크게 높였습니다. 한 공개 서버 판본의 저자가 평가했듯 문자 코드가 오늘날의 피싱 앞에서 충분한 보호를 주지 못한다는 비판은, 코드를 그 자리에서 넘겨받는 공격과 전화번호 자체를 노리는 공격 앞에서 맞습니다. 앱보다 못하다는 점도 같은 자료에 있습니다.

두 번째 확인은 무엇을 더 묻느냐에 따라 막는 공격이 다르고, 어떤 방식도 계정 복구와 기기 장악까지 대신 지켜 주지는 않습니다.

다중 인증과 일회용 코드, 보안키와 패스키가 무엇인지는 「비밀번호와 패스키 — 내가 나라는 걸 어떻게 증명하나」에 있습니다. 「늘 확인한다」고 믿는 사람이 가장 많이 잘못 승인한 실험은, 사람의 주의에 기대는 방어가 어디까지 버티는지를 묻는 「모의 피싱 훈련 — 가짜 초인종을 울려 보면 무엇이 달라지나」와 이어집니다. 두 번째 문이 막아 주는 첫 번째 문, 곧 비밀번호 규칙이 실제로 무엇을 바꾸는지는 「비밀번호 만료 규칙 — 자주 바꾸게 하면, 사람은 무엇을 바꾸나」가 다룹니다.

근거 논문

• "How effective is multifactor authentication at deterring cyberattacks?" (2023, 공개 서버 판본) — arXiv:2305.00945 — 마이크로소프트 연구진(저자 전원 소속)이 자사 Azure Active Directory에서 수상한 활동이 보인 사용자 자료. 다중 인증 계정의 99.99% 넘게 안전, 위험을 전체 99.22%·유출 계정 98.56% 줄임. 전용 앱이 문자보다 낫지만 둘 다 무인증보다 크게 나음. 기본 적용을 강하게 권함.
• "Data Breaches, Phishing, or Malware?" (2017) — DOI: 10.1145/3133956.3134067 — 2016.3~2017.3 키로거·피싱 도구 묶음 잠재 피해자 추적, 유출 계정 1,900,000,000개. 구글 사례에서 유출 비밀번호의 7~25%가 피해자 구글 계정과 일치. 과거 접속 위치·기기 같은 위험 신호를 더하면 탈취 위험 완화.
• "Pump Up Password Security! Evaluating and Enhancing Risk-Based Authentication on a Real-World Large-Scale Online Service" (2022) — DOI: 10.1145/3546069 — 위험 기반 인증은 로그인 특징이 이전 값과 크게 다르면 재인증 요구. 국가 보안 기관들이 권하고 사용자는 동등한 2단계 인증보다 편하고 똑같이 안전하다고 인식하나 채택은 매우 적음. 3,300,000명·로그인 시도 3천만 건 남짓, 1년 넘는 현장 자료, 몇 번의 로그인 뒤 이득.
• "How Mandatory Second Factor Affects the Authentication User Experience" (2020) — DOI: 10.1145/3313831.3376457 — 대형 공립대 의무 2단계 인증 단계적 도입, 설문 여러 차례와 인증 기록. 민감 시스템만 의무일 땐 경험·수용도 변화 없음, 모든 자원에 강제하자 나빠짐.
• "“It's not actually that horrible”" (2018) — DOI: 10.1145/3173574.3174030 — 카네기멜런대 도입 관찰. 귀찮지만 꽤 쓰기 쉽고 더 안전하다고 믿음. 의무·자발 채택자 차이는 예상보다 작음.
• "Understanding the Implications of SIM Card Swap Fraud in India: A Comprehensive Study" (2024) — DOI: 10.1109/ic3iot60841.2024.10550217 — 유심 교체는 통신사를 설득해 번호를 공격자 유심으로 옮기는 것, 번호에 묶인 비밀번호를 바꿔 은행·소셜미디어 접근. 고액 암호화폐 탈취 사례.
• "SMS and one-time-password interception in LTE networks" (2017) — DOI: 10.1109/icc.2017.7997246 — SS7으로 문자를 가로챌 수 있음은 2014년부터 알려짐. diameter 기반 LTE 망에서도 기기·OS와 무관하게 가로챌 수 있음을 보이고 구글·마이크로소프트·트위터 서비스 영향 제시.
• "The many ways to hack 2FA" (2019, 업계 잡지 인터뷰) — DOI: 10.1016/s1353-4858(1930107-2 — 다중 인증이 대개 더 강하다는 데는 전문가가 동의하나, 거의 뚫리지 않는다는 인식은 틀렸고 단순한 피싱 메일로 많은 방식을 우회할 수 있다(KnowBe4 로저 그라임스).
• "Catching Transparent Phish: Analyzing and Detecting MITM Phishing Toolkits" (2021) — DOI: 10.1145/3460120.3484765 — 중간자 피싱 도구는 악성 역방향 프록시로 진짜 화면을 비추며 로그인 정보와 세션 쿠키를 빼내고, 2단계 인증을 마친 세션 수확을 자동화하며 가짜 페이지를 훨씬 그럴듯하게 만든다.
• "COMPARATIVE ANALYSIS OF MODERN MULTI-FACTOR AUTHENTICATION METHODS IN CYBERSECURITY SYSTEMS" (2026, 공개 서버 판본) — DOI: 10.5281/zenodo.20812491 — 가중합 점수 모형 비교. 문자·메일 코드는 현대 피싱에 부적절, 앱 시간 기반 코드는 더 안전하나 실시간 공격에 약함, 푸시는 사람 요인에 일부 의존, 도메인에 암호로 묶는 FIDO2/WebAuthn이 가장 높은 점수.
• "DETECTION AND EVASION ANALYSIS OF MAN-IN-THE-MIDDLE PHISHING ATTACKS" (2026, 공개 서버 판본) — DOI: 10.5281/zenodo.18830957 — 중간자 피싱 도구를 기본 설정으로 띄운 실험. 한 가짜 사이트는 4주 내내 공개 웹 검사기 대부분을 피했고, 다른 하나는 일곱 곳에서만 들쭉날쭉 탐지, 차단 목록 등재 없음.
• "Reducing Usefulness of Stolen Credentials in SSO Contexts" (2024, 공개 서버 판본) — arXiv:2401.11599 — 다중 인증은 유효한 자격증명 공격을 막는 데 도움이 되지만, 공격자는 승인 요청을 반복해 받아들이게 하는 수법으로 여전히 흔히 침입한다. 토큰 기반 등록 구조 제안.
• "The Verification Illusion: Hardening Push-Based MFA with Context-Rich Number Matching" (2026, 학술지·단독 저자·지면 품질 불명) — DOI: 10.63908/kpgnt990 — 통제된 푸시 실험 참가자별 자료(공격 시도 73,829번). 「늘 확인한다」는 집단의 잘못된 승인 53.7%로 최고, 그 3분의 1은 모든 공격 승인. 26%는 모두 승인·13.7%는 모두 거절, 빠른 반응자 58.4% vs 38.7%. 주소·시간 창에 묶는 규칙을 제안, 효과는 모의 계산으로만.
• "When Friction Becomes Risk: A Behaviour-Aware Adaptive Access Control Model for Hybrid Workforces" (공개 서버 판본) — DOI: 10.5281/zenodo.22849044 — 주의력이 확인마다 줄고 쉬면 회복되는 모형. 가상 사용자 400명·60일 모의실험에서 매번 묻는 정책이 최악, 위험 기반은 중간 엄격도에서 위험 최저. 가정한 값의 결과라 실제 직장 근거가 아니라고 저자가 명시.
• "Account Recovery Methods for Two-Factor Authentication (2FA): An Exploratory Study" (2020, 석사학위 논문) — DOI: 10.25777/3dhq-pj49 — 사용자 60%가 두 번째 증거 기기를 하나만 등록(표본 불명). 계정 복구는 주된 보안 절차의 우회라 대안 인증 절차로 다뤄야. 자체 평가식으로 예비 전화번호 복구가 네 방식 중 공격에 가장 강하다고 판정. 103명 설문, 45%가 예비 전화번호 복구 선호, 비상 연락처 대신 자기 번호를 넣을 가능성.
• "“They are responsible for ensuring that I can continue to use the service.” Investigating Users' Expectations Towards 2FA Recovery in Germany" (2025) — DOI: 10.1145/3706598.3714245 — 인터뷰 16명·설문 95명. 대부분 두 번째 증거를 잃을 경우를 생각해 본 적 없고 백업 계획은 소수, 개인정보로 되찾으리라 여기며 고객 지원에 기댐.
• "Is It Really You Who Forgot the Password? When Account Recovery Meets Risk-Based Authentication" (2024, 공개 서버 판본) — arXiv:2403.11798 — 최근 공격이 계정 복구 기능의 약점을 드러냄. 위험 기반 인증을 쓰는 다섯 서비스 조사, 구글·링크드인·아마존에서 위험 기반 계정 복구 확인.
• "Evaluation of Account Recovery Strategies with FIDO2-based Passwordless Authentication" (2021, 공개 서버 판본) — arXiv:2105.12477 — 복구 방식 12가지 휴리스틱 평가. 현재 방식에 단점이 많고 일부는 비밀번호에 기대어 비밀번호 없는 인증을 무색하게 한다. 유망한 복구 방식도 찾았다.
• "Challenges with Passwordless FIDO2 in an Enterprise Setting: A Usability Study" (2023, 공개 서버 판본) — arXiv:2308.08096 — 실무자 118명. 계정 복구(60% 넘게 선택) 등 심각한 빈틈.
• "Beyond the Trust Boundary: A Critical Reassessment of the FIDO2 Threat Model" (2026, 공개 서버 판본) — arXiv:2609.03789 — 암호 기본 요소가 멀쩡해도 브라우저·OS·하드웨어 장악이 FIDO2 보안을 무너뜨릴 수 있음. 주된 약점은 대개 암호 층이 아니라 둘러싼 신뢰 환경.
• "A Security and Usability Analysis of Local Attacks Against FIDO2" (2023, 공개 서버 판본) — arXiv:2308.02973 — 브라우저 확장 장악·보안키 물리 접근. 인기 웹 서버 10곳에서 공격 7가지 시연, 참가자는 현재 메시지로 공격을 알아채지 못함. 현재 확장 분석에서 실제 공격 증거는 없음.
• "FIDO2 With Two Displays-Or How to Protect Security-Critical Web Transactions Against Malware Attacks" (2022, 공개 서버 판본) — arXiv:2206.13358 — 현재 방식 대부분은 개별 거래가 아니라 세션만 인증해 기기가 악성코드에 감염되면 효과가 없다. 새 방식 제안.
• "Defeating FIDO2/CTAP2/WebAuthn using browser in the middle and reflected cross site scripting" (2025) — DOI: 10.1007/s11416-025-00556-2 — 대부분의 다중 인증은 브라우저 중간자 공격을 막지 못하나 FIDO2는 사실상 뚫리지 않은 유일한 방법이었다. 반사형 XSS 취약점과 결합한 공격으로 하드웨어 동글을 포함한 모든 방식을 뚫을 수 있음을 보였다.
• "Device-Bound vs. Synced Credentials: A Comparative Evaluation of Passkey Authentication" (2025, 공개 서버 판본) — arXiv:2501.07380 — 동기화는 기기 분실 걱정을 덜지만 동기화 패스키의 보안은 주로 패스키 제공자에게 집중.
• "FIDO2 the Rescue? Platform vs. Roaming Authentication on Smartphones" (2023, 공개 서버 판본) — arXiv:2302.07777 — 실험실 87명. 대부분 비밀번호 없는 인증을 받아들일 뜻, 계정 위임·여러 기기 사용 미지원 등 장벽.
• "Is FIDO2 Passwordless Authentication a Hype or for Real?: A Position Paper" (2022, 공개 서버 판본) — arXiv:2211.07161 — 가까운 미래에 웹에서 비밀번호를 없애기는 어렵다는 입장.