2FA에는 인증 앱과 SMS 중 무엇이 더 안전할까요?

요약: 인증 앱 코드가 SMS로 받는 코드보다 안전합니다. 전화망으로 전송되는 것이 없으므로, 누군가 전화번호를 가로채도 코드를 얻을 수 없습니다. 하지만 둘 다 직접 입력하는 일회용 코드이므로, 그럴듯한 가짜 로그인 페이지는 어느 쪽이든 훔칠 수 있습니다. 웹사이트가 패스키나 보안 키를 제공한다면 둘보다 더 강력합니다.

SMS 코드가 더 약한 이유

문자 메시지는 휴대폰이 아니라 전화번호로 갑니다. 번호를 가진 사람이 코드를 받습니다.

SIM 스와핑과 번호 이동 사기. 사기범이 이동통신사를 속여 사용자의 번호를 자기 SIM이나 다른 통신사로 옮기게 합니다. FCC는 그러면 사기범이 “the victim's private texts and calls”(피해자의 개인 문자와 통화)를 장악하게 된다고 설명합니다(FCC). FBI는 SIM이 바뀐 후에는 “calls, texts, and other data are diverted to the criminal's device”(통화, 문자, 기타 데이터가 범죄자의 기기로 넘어간다)고 경고합니다(FBI IC3).
미국 정부 지침은 사용을 제한합니다. NIST의 디지털 신원 지침(SP 800-63B-4, 2025년 7월)은 전화망으로 보내는 일회용 코드를 제한된 인증 수단으로 분류합니다. 이를 사용하는 서비스는 SIM 변경과 번호 이동을 감시해야 하고, 모든 사용자에게 다른 선택지를 반드시 제공해야 합니다(NIST).
대형 서비스도 SMS에서 벗어나고 있습니다. Microsoft는 개인 Microsoft 계정의 로그인과 복구에서 “start phasing out SMS”(SMS를 단계적으로 폐지하기 시작)하겠다고 밝혔습니다(Microsoft).

인증 앱 코드가 더 나은 이유

인증 앱은 휴대폰에서 두 가지로 각 코드를 만듭니다. 한 번 스캔한 설정 키와 현재 시간입니다. 코드가 사용자에게 전송되는 일이 없으므로 다음과 같습니다.

전화번호를 가로채도 공격자가 얻는 것이 없습니다.
가로채거나 잠금 화면에서 읽을 문자 메시지가 없습니다.
신호가 전혀 없어도 코드가 작동합니다. Google의 표현대로 “you can still generate codes without an internet connection or mobile service”(인터넷 연결이나 모바일 서비스 없이도 코드를 생성할 수 있다)입니다(Google).

FBI는 “standalone authentication applications”(독립형 인증 앱)를 포함한 “strong multi-factor authentication methods”(강력한 다중 인증 방법)를 권장합니다(FBI IC3).

둘 다 막지 못하는 것: 피싱

두 종류의 코드 모두 사용자가 직접 입력하며, 바로 그 점이 약점입니다. 가짜 로그인 페이지는 비밀번호와 현재 코드를 물어본 다음, 몇 초 안에 둘 다 진짜 웹사이트로 넘길 수 있습니다. NIST는 “OTP authentication is not phishing-resistant”(OTP 인증은 피싱에 강하지 않다)고 분명히 말합니다(NIST, 3.1.4절).

도움이 되는 방법은 다음과 같습니다.

코드를 입력하기 전에 매번 주소 표시줄을 확인하세요.
전화, 문자, 이메일로 연락해 온 사람에게는 아무리 공식적으로 보이더라도 코드를 절대 읽어 주지 마세요.
제공된다면 패스키나 하드웨어 보안 키를 사용하세요. 진짜 웹사이트의 주소에 묶여 있으므로 가짜 사이트에서는 작동하지 않습니다. NIST는 이런 암호학적 로그인을 피싱에 강한 방식으로 분류합니다.

나란히 비교

	SMS 코드	인증 앱	패스키 또는 보안 키
누군가 전화번호를 가로챔	코드를 얻음	아무것도 얻지 못함	아무것도 얻지 못함
신호 없이 작동	아니요	예	예
가짜 로그인 페이지	코드를 훔칠 수 있음	코드를 훔칠 수 있음	작동하지 않음
휴대폰을 잃어버림	통신사에서 새 SIM을 받음	앱의 백업에 따라 다르므로 백업 코드를 보관	동기화된 패스키는 새 기기에서 돌아옴. 하드웨어 키는 예비 키를 보관

가능하면 SMS 대체 수단을 끄세요

일부 웹사이트는 인증 앱을 설정한 후에도 SMS를 백업 수단으로 남겨 둡니다. SMS 경로가 열려 있으면 번호를 가로챈 사람이 대신 그 경로를 이용할 수 있습니다. 인증 앱과 백업 코드를 설정했다면, 웹사이트가 허용하는 경우 2FA 옵션에서 전화번호를 제거하세요.

Authenticator App - Novaz에서는

Novaz는 iPhone에서 표준 시간 기반 코드를 만듭니다. 설정 키는 그 기기의 iPhone 키체인에 남아 있으며 Novaz로 전송되지 않습니다. iCloud 백업(PRO)을 켠 경우에만 사본이 iCloud로 가며, 이때 Apple이 iCloud 키체인에서 종단 간 암호화합니다. 암호화된 백업 파일(무료)을 저장할 수도 있습니다. Face ID나 암호로 앱을 잠글 수 있습니다. 다른 모든 인증 앱처럼 Novaz의 코드도 피싱에 강하지 않습니다. 휴대폰을 잃어버렸는데 Novaz 백업이 없다면, 각 웹사이트가 주는 백업 코드로 다시 로그인할 수 있으니 어느 경우든 보관하세요. 자세한 내용은 Novaz Authenticator는 안전한가요?에 있습니다.