MFA를 제대로 고르기: '피싱 저항'이 무엇이고, SMS가 왜 약한가

대상: MFA(2요소 / 2단계 인증)를 켜려는 사람, 혹은 이미 켰지만 "SMS면 충분한가?" 궁금한 사람. 공격 메커니즘은 없다 — 오직 어느 방식이 강하고, 무엇을 어디에 둘지다.

왜 MFA가 필요한가

비밀번호는 그 자체로 "언젠가 유출된다"고 다뤄야 한다. 재사용, 침해 덤프, 추측, 피싱 — 뚫리는 길은 많다. MFA는 첫 층이 깨져도 두 번째 층에서 멈추는 보험이다.

무엇보다 이메일 계정이 가장 중요하다. 많은 서비스가 "비밀번호 찾기"를 이메일로 복구하므로, 이메일이 탈취되는 순간 다른 계정들이 연쇄로 재설정된다. 그래서 이메일은 가장 강한 MFA로 지켜야 할 "왕국의 열쇠"다(→ 기준선 체크리스트의 Tier 0).

강도의 사다리 (이것이 핵심)

"2요소"라 불려도 방식 간 강도 차이는 엄청나다. 왼쪽이 약하고 오른쪽이 강하다. 가르는 선은 "가짜 사이트에 제시될 수 있는가?" 이다.

"피싱 저항"이 실제로 뜻하는 것

이것이 핵심 개념이다. SMS나 인증 앱 코드는 결국 올바른 사이트에 입력하는지를 사람이 눈으로 판단해야 하는데 — 사람은 완벽한 복제 도메인을 구별하지 못한다. 반면 패스키나 보안 키(FIDO2)는 자신이 어느 도메인을 위한 것인지 안다. 그래서 가짜 사이트에는 어떤 서명도 돌려주지 않는다. 다시 말해, 사람이 속아도 키는 속지 않는다. 그것이 "피싱 저항"이며, 약한 방식과 강한 방식을 가르는 결정적 차이다.

설정하는 법 (순서가 중요하다)

본 사이트는 어떻게 하는가

본 사이트는 중요한 계정 — 특히 이메일, 도메인, 서버 관리, 결제 — 을 가능한 한 피싱 저항 MFA로 잠근다. 이유는 단순하다: 이것들은 "하나를 잃으면 전부를 잃는" 왕국의 열쇠다. 일상 로그인은 비밀번호 관리자에 두고, 관리자 자체에도 MFA를 건다. 그리고 "MFA를 켰다"에 멈추지 않고 — 어느 방식이 걸려 있는지 주기적으로 검토한다. 중요한 계정이 SMS만 있는 것을 발견하면, 그것을 구멍으로 보고 패스키/보안 키로 올리는 것을 우선한다. 존재가 아니라 강도로 관리하라 — 그것이 본 사이트의 방침이다.

다음으로 읽기

• 토대: 보안 기준선 체크리스트(왕국의 열쇠부터)
• 저장: 비밀번호를 안전하게 저장하는 법
• 용어집: SPF/DKIM/DMARC(위조 방지 이메일 인증)
• 용어집: 피싱이란 무엇인가(피싱 저항 MFA가 막으려는 위협)
• 비밀번호 없는 로그인: 패스키란 무엇인가(훔칠 것이 없는 비밀번호 없는 로그인)
• 도구: 비밀번호 강도 점검기