비밀번호 다음에 한 번 더 확인하는 보안
2단계 인증은 비밀번호만으로 로그인하지 않고, 사용자가 가진 기기나 생체 정보 등 두 번째 증거를 추가로 확인하는 보안 방식이다. 비밀번호가 유출되더라도 공격자가 인증 코드나 보안 키까지 확보하지 못하면 계정 접근을 막을 가능성이 크게 높아진다. 이 글은 지식·소지·생체라는 인증 요소의 개념, 문자 메시지와 인증 앱 및 하드웨어 보안 키의 장단점, 복합기·클라우드 스캔·문서 관리 계정에서 특히 중요한 이유를 설명한다. 또한 계정별 우선순위를 정하고 인증 앱을 등록하며 복구 코드를 안전하게 보관하는 단계, 공동 사용 장비에서 지켜야 할 운영 원칙과 문제 발생 시 대응 방법까지 실무적으로 안내한다.
2단계 인증은 로그인 과정에서 비밀번호 외에 한 가지 증명을 더 요구하는 계정 보호 방식이다. 흔히 ‘2차 인증’ 또는 ‘이중 인증’이라고 부르며, 영문으로는 2FA(Two-Factor Authentication), 더 넓게는 MFA(다중 인증)라는 표현을 쓴다. 인쇄와 스캔 업무에서도 이 기능은 중요하다. 복합기에서 클라우드 저장소로 스캔 파일을 보내거나, 인쇄 관리 포털에 로그인하거나, 전자우편으로 문서를 전달하는 과정은 모두 계정과 연결되기 때문이다. 한 번의 비밀번호 유출이 주민등록등본, 계약서, 진료 관련 문서처럼 민감한 파일의 노출로 이어질 수 있다.
2단계 인증의 핵심: 서로 다른 증거를 함께 확인하는 일
인증은 ‘로그인하려는 사람이 정말 본인인가’를 확인하는 절차다. 2단계 인증은 같은 종류의 정보 두 개를 묻는 것이 아니라, 원칙적으로 서로 다른 인증 요소를 조합한다. 예를 들어 비밀번호를 입력한 뒤 휴대전화 인증 앱의 일회용 코드를 제출하는 방식이 대표적이다.
- 지식 요소: 비밀번호, PIN, 보안 질문처럼 사용자가 알고 있는 정보
- 소지 요소: 휴대전화, 인증 앱, 하드웨어 보안 키처럼 사용자가 가지고 있는 수단
- 생체 요소: 지문, 얼굴 인식처럼 사용자의 신체 특성을 이용하는 수단
비밀번호와 추가 비밀번호는 편의상 두 번 확인하는 것처럼 보일 수 있지만, 엄밀한 의미의 2단계 인증으로 보기는 어렵다. 두 정보가 모두 지식 요소이기 때문이다. 반대로 비밀번호와 인증 앱, 또는 PIN과 보안 키를 결합하면 공격자가 비밀번호를 알아내도 두 번째 요소를 통과해야 한다.
로그인할 때 실제로 어떻게 작동할까
일반적인 흐름은 단순하다. 사용자는 아이디와 비밀번호를 입력하고, 서비스는 이를 확인한 뒤 등록된 두 번째 인증 수단을 요청한다. 인증 앱은 일정 시간마다 바뀌는 일회용 코드(TOTP)를 만들거나, 로그인 요청을 승인하라는 알림을 표시한다. 하드웨어 보안 키는 USB 포트나 NFC를 통해 장치와 통신하며, 특정 사이트에만 응답하도록 설계될 수 있다.
중요한 점은 인증 코드를 누구에게도 알려주지 않는 것이다. 정상적인 서비스 운영자, 프린터 제조사 지원팀, 사내 IT 담당자는 전화나 메신저로 일회용 인증 코드를 요구하지 않는다. 공격자는 가짜 로그인 화면을 만들고 비밀번호와 코드를 연달아 입력하게 하는 피싱을 시도할 수 있다. 코드가 짧은 시간만 유효하더라도 사용자가 즉시 전달하면 계정 탈취에 악용될 수 있다.
2단계 인증은 비밀번호를 대체하지 않는다. 길고 고유한 비밀번호, 최신 소프트웨어, 피싱 주소 확인과 함께 사용할 때 계정 방어력이 가장 높아진다.
인증 수단별 차이와 선택 기준
모든 2단계 인증 수단의 안전성과 편의성이 같은 것은 아니다. 개인이 사용하는 클라우드 스캔 계정과 조직의 인쇄 관리 계정은 접근 빈도, 복구 절차, 관리 인력에 따라 수단을 달리 정할 수 있다. 가능한 경우 인증 앱이나 보안 키를 우선 검토하고, 문자 메시지는 대체 수단으로 유지하는 편이 좋다.
| 인증 수단 | 장점 | 주의할 점 | 권장 활용 |
|---|---|---|---|
| 문자 메시지(SMS) | 설정이 쉽고 별도 앱이 필요 없음 | 유심 탈취, 번호 변경, 통신 불안정 위험 | 다른 방법을 쓰기 어려운 경우의 보조 수단 |
| 인증 앱 | 오프라인 코드 생성 가능, 널리 지원됨 | 기기 분실 전 이전·복구 계획 필요 | 개인용 메일, 클라우드 스캔 계정의 기본 선택 |
| 푸시 승인 | 코드 입력이 적어 편리함 | 무심코 승인하는 피로 공격에 주의 | 번호 일치 확인 기능이 있는 서비스 |
| 하드웨어 보안 키 | 피싱 저항성이 높고 계정별 검증 가능 | 구매 비용과 예비 키 관리 필요 | 관리자 계정, 중요 문서 저장소, 업무용 계정 |
인쇄·스캔 환경에서 더 필요한 이유
복합기는 단순히 종이를 출력하는 장비가 아니다. 최신 장비는 전자우편, 네트워크 폴더, 클라우드 드라이브, 문서 관리 시스템과 연결된다. 사용자가 장비 화면에서 클라우드 계정에 로그인하거나, 관리자가 웹 기반 관리 페이지에서 주소록과 스캔 설정을 바꾸는 경우도 많다. 이때 계정이 탈취되면 저장된 스캔 문서 열람, 수신처 변경, 악성 파일 유포, 인쇄 작업 가로채기 같은 문제가 발생할 수 있다.
공용 장비에서는 계정을 남기지 않는다
공용 복합기 화면이나 브라우저에 개인 계정을 로그인 상태로 남겨 두면 다음 사용자가 파일에 접근할 가능성이 있다. 스캔 후에는 반드시 로그아웃하고, 장비가 지원한다면 일정 시간 뒤 자동 로그아웃되도록 설정한다. 개인 계정 대신 조직에서 관리하는 업무용 계정과 권한 분리를 사용하는 것도 바람직하다.
- 복합기 관리자 계정에는 가능한 한 보안 키 또는 인증 앱을 적용한다.
- 클라우드 저장소의 스캔 전용 폴더는 필요한 인원에게만 공유한다.
- 기기 주소록과 전송 이력의 접근 권한을 정기적으로 점검한다.
- 퇴직·부서 이동 시 등록된 인증 수단과 장비 권한을 즉시 회수한다.
안전하게 설정하는 순서
서비스마다 메뉴 이름은 조금씩 다르지만, 보통 ‘계정’, ‘보안’, ‘로그인 및 보안’, ‘2단계 인증’ 또는 ‘다단계 인증’ 메뉴에서 설정할 수 있다. 복합기 제조사 포털, 전자우편, 클라우드 드라이브처럼 문서 흐름에 연결된 계정부터 적용하면 효과가 크다.
- 각 서비스의 공식 웹사이트 또는 공식 앱에서 계정 보안 메뉴를 연다.
- 고유하고 충분히 긴 비밀번호를 먼저 설정하고, 재사용 여부를 점검한다.
- 2단계 인증을 켠 뒤 인증 앱 또는 보안 키를 기본 수단으로 등록한다.
- 화면에 표시된 QR 코드를 인증 앱으로 스캔하거나 보안 키 등록 안내를 따른다.
- 표시된 일회용 코드 또는 승인 요청으로 등록이 정상인지 확인한다.
- 복구 코드를 내려받아 암호화된 비밀번호 관리자나 잠금 가능한 오프라인 보관 장소에 보관한다.
- 예비 인증 수단을 추가하고, 로그인된 기기 목록과 복구 전화번호를 확인한다.
복구 코드를 스캔해 일반 공유 폴더에 저장하거나, 복합기에서 출력한 종이를 출력함에 방치하는 일은 피해야 한다. 복구 코드는 두 번째 인증 수단을 잃어버렸을 때 계정에 들어갈 수 있는 열쇠에 가깝다. 조직에서는 보관 책임자, 비상 접근 승인 절차, 퇴사자 계정 처리 기준을 문서화하는 것이 좋다.
분실, 기기 교체, 의심스러운 승인 요청에 대응하기
휴대전화를 바꾸기 전에는 인증 앱의 이전 기능 또는 서비스별 백업 절차를 확인한다. 이전이 끝나기 전 기존 기기를 초기화하지 말고, 새 기기에서 실제 로그인이 가능한지 시험해야 한다. 휴대전화나 보안 키를 잃어버렸다면 다른 등록 수단이나 복구 코드로 로그인한 뒤 분실한 수단을 즉시 삭제하고, 비밀번호도 변경한다.
본인이 시도하지 않은 승인 알림이 반복되면 ‘승인’을 누르지 말아야 한다. 비밀번호가 이미 노출되었을 가능성을 고려해 공식 사이트 주소를 직접 입력하여 로그인하고, 비밀번호 변경, 세션 로그아웃, 등록 기기 및 전달 규칙 점검을 차례로 수행한다. 특히 스캔 문서를 전자우편으로 전달하는 계정이라면 자동 전달 설정과 최근 로그인 기록을 함께 확인해야 한다.
운영에 맞는 보안 수준을 정하는 방법
개인 사용자는 주요 메일 계정과 클라우드 저장소에 인증 앱을 적용하는 것만으로도 큰 개선을 얻을 수 있다. 반면 인쇄 서버 관리자, 복합기 관리 포털 관리자, 인사·재무 스캔 문서 저장소 접근자는 피싱 저항성이 높은 보안 키와 별도 관리자 계정을 고려할 필요가 있다. 하나의 개인 계정을 여러 사람이 공유하는 방식은 추적과 권한 회수를 어렵게 하므로 피한다.
2단계 인증이 불편하게 느껴질 수 있지만, 신뢰하는 개인 기기에서만 로그인 유지 기간을 신중히 설정하면 반복 입력을 줄일 수 있다. 다만 공용 PC, 회의실 태블릿, 복합기 패널에서는 ‘기억하기’나 자동 로그인 옵션을 선택하지 않는 편이 안전하다. 보안은 한 번 켜고 끝나는 기능이 아니라, 계정·기기·인력 변화에 맞춰 지속적으로 확인해야 하는 운영 습관이다.
