문자로 오는 인증번호, 정말 안전할까?｜SMS 인증·인증앱·패스키 차이를 알아봤습니다

“문자로 받는 6자리 인증번호는 정말 안전할까요? SMS 인증·인증앱·패스키의 차이와 피싱 위험, 더 안전한 로그인 방법을 CISA와 FIDO Alliance 공식자료를 바탕으로 쉽게 설명합니다.”

은행이나 쇼핑몰, 이메일에 로그인하다 보면 비밀번호를 입력한 뒤 휴대전화로 숫자 여섯 자리가 날아옵니다.

“인증번호를 입력하세요.”

저도 이런 화면이 나오면 예전에는 막연히 안심했습니다.

비밀번호에 인증번호까지 입력했으니 보안이 두 배쯤 강해진 것처럼 느껴졌기 때문입니다.

그런데 패스키를 알아보다가 한 가지 궁금증이 생겼습니다.

문자로 받는 인증번호도 패스키만큼 안전할까?

결론부터 말하면 그렇지는 않았습니다.

문자인증도 비밀번호 하나만 사용하는 것보다는 보안을 강화할 수 있지만, 인증 방법에 따라 안전성에는 차이가 있습니다.

‘2단계 인증’이라고 모두 같은 것은 아닙니다

먼저 용어부터 어렵습니다.

2단계 인증, 2FA, MFA라는 말을 자주 봅니다.

쉽게 생각하면 비밀번호 하나만 확인하는 대신 두 가지 이상의 방법으로 본인인지 확인하는 것입니다.

예를 들어,

비밀번호를 입력한 다음 휴대전화 문자로 받은 인증번호를 입력하거나,

인증 앱에서 생성된 번호를 입력하거나,

보안키 또는 패스키를 사용하는 방식 등이 있습니다.

그런데 여기에서 중요한 사실이 있습니다.

두 번 확인한다고 해서 모든 방식의 보안 수준이 똑같지는 않습니다.

미국 사이버보안·인프라보안국(CISA)도 다중인증을 권장하면서 인증수단마다 보호 수준에 차이가 있다고 설명합니다.

특히 문자나 이메일로 전달되는 일회용 코드는 익숙하고 편리하지만 더 강한 인증수단을 사용할 수 있다면 그것을 우선할 것을 권고하고 있습니다.

문자 인증번호의 가장 큰 약점은 무엇일까?

문자 인증의 장점은 분명합니다.

별도의 앱을 설치하지 않아도 되고 사용법도 쉽습니다.

하지만 숫자를 사람이 직접 보고 입력한다는 특징이 있습니다.

이것이 약점이 될 수 있습니다.

예를 들어 진짜 은행과 거의 똑같이 생긴 가짜 사이트가 있다고 해보겠습니다.

사용자가 가짜 사이트인지 모르고 아이디와 비밀번호를 입력합니다.

잠시 뒤 휴대전화에 인증번호가 도착합니다.

가짜 화면에서 다시,

“인증번호를 입력하세요.”

라고 하면 어떻게 될까요?

사용자는 정상적인 로그인 과정이라고 생각하고 인증번호까지 입력할 수 있습니다.

비밀번호뿐 아니라 인증번호도 사람이 전달해버린 것입니다.

즉 인증번호가 암호화되어 있느냐만큼 중요한 것이 사용자가 속아서 그것을 다른 사람에게 넘길 수 있느냐는 점입니다.

인증앱은 문자보다 무엇이 다를까?

Google Authenticator나 Microsoft Authenticator처럼 인증용 앱을 사용하는 방법도 있습니다.

대표적으로 앱 안에서 일정 시간마다 새로운 숫자가 만들어지고 사용자가 로그인할 때 그 숫자를 입력하는 방식이 있습니다.

문자메시지가 통신망을 통해 전달되는 방식과 달리 인증앱에서 코드가 생성된다는 장점이 있습니다.

하지만 이것도 사용자가 숫자를 보고 가짜 사이트에 직접 입력한다면 피싱 위험을 완전히 없애지는 못합니다.

그래서 최근 보안에서는 단순히 인증 단계를 하나 더 추가하는 것에서 한 단계 더 나아가 ‘피싱에 강한 인증’이라는 개념이 중요해지고 있습니다.

그래서 패스키가 다시 등장합니다

앞 글에서 살펴본 패스키가 중요한 이유도 여기에 있습니다.

패스키는 사람이 비밀번호나 일회용 숫자를 기억해 사이트에 입력하는 방식과 다릅니다.

FIDO/WebAuthn 기술을 기반으로 해당 서비스와 연결된 암호화 키를 이용해 인증합니다.

그래서 사용자가 가짜 로그인 페이지에 속더라도 진짜 사이트용 인증정보를 그대로 넘겨주는 방식으로 작동하지 않습니다.

CISA는 FIDO/WebAuthn을 널리 사용할 수 있는 대표적인 피싱 저항성 인증 방식으로 설명하고 있습니다.

즉 보안의 방향이 달라지는 것입니다.

예전에는,

“사용자가 가짜 사이트를 잘 구별해야 한다.”

였다면 새로운 인증기술은,

“사용자가 실수하더라도 인증정보를 가짜 사이트에 넘기기 어렵게 만들자.”

는 방향으로 발전하고 있습니다.

저는 이 차이가 상당히 중요하다고 생각합니다.

실제로 패스키는 얼마나 사용되고 있을까?

패스키가 아직 먼 미래의 기술이라고 생각할 수도 있습니다.

그런데 2026년 FIDO Alliance가 발표한 조사 결과를 보면 상황이 꽤 달라졌습니다.

조사는 한국을 포함해 미국, 영국, 프랑스, 독일, 호주, 싱가포르, 일본, 중국, 인도 등 10개국에서 온라인 서비스에 정기적으로 로그인하는 성인 11,000명을 대상으로 진행됐습니다.

조사에서는 90%가 패스키를 알고 있었고, 75%는 적어도 하나의 계정에서 패스키를 활성화했다고 답했습니다.

패스키를 사용할 수 있을 때 정기적으로 사용한다고 응답한 비율은 49%였습니다.

FIDO Alliance는 전 세계에서 사용 중인 패스키를 약 50억 개로 추산하고 있습니다.

다만 이 조사는 FIDO Alliance가 의뢰해 2026년 4월 온라인으로 실시한 조사라는 점도 함께 볼 필요가 있습니다.

그리고 여러 국가의 결과를 합친 수치이므로 이것을 곧바로 “한국인의 75%가 패스키를 사용한다”는 의미로 해석해서도 안 됩니다.

그렇다면 지금 무엇을 사용해야 할까?

여기서 오해하면 안 되는 부분이 있습니다.

“문자 인증이 약하다니까 사용하지 말아야겠다.”

라는 뜻은 아닙니다.

비밀번호만 사용하는 것보다 추가 인증을 설정하는 편이 일반적으로 계정 보호에 도움이 됩니다.

중요한 것은 서비스에서 어떤 인증 방법을 제공하는지 확인하고 가능하다면 더 강한 방법을 선택하는 것입니다.

제가 앞으로 계정 보안 설정을 확인한다면 이렇게 생각하려고 합니다.

패스키나 보안키처럼 피싱에 강한 인증수단을 지원한다면 우선 고려합니다.

그것이 없다면 인증앱 같은 다른 다중인증 수단을 확인합니다.

문자인증만 제공된다면 그것이라도 설정합니다.

아무런 추가 인증도 사용하지 않는 것보다는 낫기 때문입니다.

중장년층에게 더 필요한 것은 보안용어 암기가 아닙니다

디지털 보안 이야기가 어려워지는 이유는 용어가 너무 많기 때문입니다.

MFA, 2FA, OTP, FIDO, WebAuthn, Passkey….

전부 외울 필요는 없습니다.

저는 오히려 한 가지 원리만 기억하면 된다고 생각합니다.

“내가 보고 다른 곳에 직접 입력할 수 있는 비밀정보는 속아서 넘겨줄 수도 있다.”

비밀번호가 그렇고 문자 인증번호도 그렇습니다.

그래서 보안기술은 사람이 기억하고 입력해야 하는 비밀을 점점 줄이는 방향으로 발전하고 있습니다.

패스키가 주목받는 이유도 결국 여기에 있습니다.

다음에 ‘보안 설정’을 그냥 넘기지 마세요

예전에는 로그인할 때 인증 단계가 하나 더 나타나면 귀찮다는 생각부터 들었습니다.

지금은 조금 다르게 봅니다.

그 화면은 귀찮게 만드는 절차가 아니라 내 계정의 현관문을 어떤 자물쇠로 잠글 것인지 선택하는 화면일 수 있기 때문입니다.

문자 인증도 의미가 있습니다.

인증앱은 또 다른 선택지입니다.

그리고 서비스가 패스키를 지원한다면 그것이 무엇인지 한 번 확인해볼 만합니다.

디지털 보안에서 가장 위험한 것은 새로운 기술을 모르는 것 자체가 아닐지도 모릅니다.

오랫동안 사용했다는 이유만으로 지금 사용하는 방법이 가장 안전하다고 생각하는 것.

저도 패스키를 알아보면서 그 점을 다시 생각하게 됐습니다.

기술은 계속 바뀌지만 우리가 확인해야 할 질문은 의외로 간단합니다.

“지금 내가 사용하는 로그인 방법보다 더 안전한 방법이 있는가?”

가끔 그 질문 하나만 해봐도 계정 보안은 달라질 수 있습니다.