비밀번호가 새어도 계정을 지켜 주는 2단계 인증. 방식별 차이, 어떤 계정부터 켤지, 휴대폰을 잃어도 잠기지 않게 복구 코드를 보관하는 법을 정리했습니다.
비밀번호는 아무리 길고 복잡해도 한 번 알려지면 그만입니다. 다른 사이트에서 유출되거나, 가짜 로그인 화면에 입력하거나, 악성 프로그램이 가로채는 경로가 있기 때문입니다. 2단계 인증은 비밀번호라는 '아는 것'에 휴대폰이나 보안 키 같은 '가진 것'을 하나 더 요구합니다. 그래서 비밀번호가 새어도 공격자가 내 기기까지 손에 넣지 않는 한 로그인하기 어렵습니다. 비밀번호를 만드는 법과 관리 도구는 별도 글에서 다뤘고, 여기서는 두 번째 단계를 어떻게 고르고 켜고, 잠기지 않게 대비하는지에 집중합니다.
같은 2단계 인증이라도 방식에 따라 막아 주는 범위가 다릅니다. 서비스가 여러 방식을 지원하면 아래쪽에 가까운 것을 고릅니다.
모든 계정을 한 번에 바꾸려 하면 지치기 쉽습니다. 뚫렸을 때 피해가 큰 순서대로 하나씩 켭니다. 첫째는 이메일입니다. 거의 모든 서비스가 비밀번호 재설정 링크를 이메일로 보내므로, 이메일이 넘어가면 다른 계정도 줄줄이 넘어갑니다. 다음은 은행·증권·결제 수단, 휴대폰 제조사 계정이나 클라우드 계정, 주로 쓰는 메신저와 소셜 계정 순입니다. 문자 인증만 지원하는 곳이라도 켜 두는 편이 안 켜는 것보다 훨씬 낫습니다. 설정 메뉴에서 '보안', '로그인', '2단계 인증' 같은 항목을 찾으면 됩니다.
인증 앱 방식은 대개 다음 순서로 진행됩니다. 설정 중에 보이는 큐알코드와 비밀 키는 그 자체로 코드를 만들어 낼 수 있는 열쇠이니, 화면을 캡처해 남에게 보내거나 공유 폴더에 두지 않습니다.
복구 코드는 휴대폰을 잃거나 인증 앱이 지워졌을 때 계정에 들어갈 수 있는 비상 열쇠입니다. 한 번 쓰면 사라지는 코드가 여러 개 주어지는 방식이 일반적입니다. 가장 흔한 실수는 이 코드를 휴대폰 사진이나 메모 앱에만 저장하는 것입니다. 휴대폰을 잃으면 인증 수단과 비상 열쇠를 한꺼번에 잃게 됩니다. 종이에 출력하거나 적어서 집의 안전한 곳에 두거나, 휴대폰과 별개로 열 수 있는 비밀번호 관리 도구에 보관합니다. 코드를 하나 썼으면 표시해 두고, 거의 다 썼거나 노출이 의심되면 새로 발급받아 예전 코드를 무효로 만듭니다.
2단계 인증 때문에 가장 많이 잠기는 순간은 휴대폰을 바꿀 때입니다. 예전 휴대폰을 초기화하기 전에 인증 앱의 계정을 새 휴대폰으로 옮겨야 합니다. 인증 앱에 따라 내보내기나 계정 동기화 기능이 있지만, 없다면 각 서비스에서 새 휴대폰을 다시 등록해야 합니다. 그러니 두 휴대폰이 모두 손에 있을 때 하나씩 옮기고, 새 휴대폰으로 로그인되는 것을 확인한 다음에 예전 기기를 정리합니다. 문자 인증을 쓰는 계정은 전화번호를 바꾸기 전에 새 번호로 미리 변경해 둡니다.
2단계 인증도 사람이 스스로 열어 주면 소용이 없습니다. 내가 로그인하지 않았는데 승인 요청이 오면 비밀번호가 이미 새었다는 뜻이니, 누르지 말고 비밀번호부터 바꿉니다. 요청이 계속 와도 귀찮다고 승인하면 안 됩니다. 또 은행이나 고객센터를 자칭하며 '본인 확인을 위해' 방금 받은 인증 코드를 불러 달라는 전화나 메시지는 정상적인 서비스가 하지 않는 요구입니다. 가짜 로그인 화면이 비밀번호와 코드를 함께 받아 곧바로 진짜 사이트에 입력하는 수법도 있으니, 코드는 내가 직접 연 공식 앱이나 주소에서만 입력합니다.
설정을 마쳤다면 아래 항목을 한 번 확인해 둡니다. 계정 복구 절차는 서비스마다 다르고 며칠씩 걸리기도 하니, 잠기기 전에 대비하는 편이 훨씬 쉽습니다.
아래 버튼을 누르면 해당 검색엔진에서 이 키워드로 바로 검색합니다