다중 인증은 비밀번호에 더해 휴대폰 인증 앱, 보안 키, 지문처럼 종류가 다른 확인 수단을 하나 더 요구하는 로그인 방식입니다. 서비스 화면에서는 2단계 인증, 2차 인증, 이중 인증이라는 이름으로 표시됩니다. 켜는 순서는 관리자·원격 접속 계정, 외부 유지보수 계정, 업무 이메일·클라우드 계정, 나머지 직원 계정 순으로 잡습니다.
핵심 요약
- 인증 요소는 아는 것, 가진 것, 신체 특징 세 종류입니다. 서로 다른 두 종류를 묶어야 다중 인증이 됩니다.
- 방식은 보안 키·패스키 같은 피싱 저항형을 먼저 검토합니다. 어렵다면 인증 앱을 쓰고, 다른 수단이 없을 때 문자를 씁니다.
- 켠 뒤에는 복구 수단 보관, 외부 업체 계정 제거, 본인이 하지 않은 승인 요청 거절을 운영 규칙으로 정합니다.
다중 인증과 2단계 인증은 같은 말입니까
미국 사이버보안·인프라보안청(CISA)의 다중 인증(MFA) 안내 페이지는 다중 인증을 계층형 보호 방식으로 설명합니다. 접속을 허용하기 전에 두 개 이상의 인증 수단을 요구하는 방식입니다. 인증 수단은 아는 것, 가진 것, 신체 특징의 세 종류로 나눕니다.
| 인증 요소 | CISA가 드는 예 | 업무에서 흔히 쓰는 형태 |
|---|---|---|
| 아는 것 | PIN, 비밀번호 | 로그인 비밀번호, 기기 잠금 PIN |
| 가진 것 | 인증 앱, 휴대폰으로 받는 확인 문자 | 직원 휴대폰의 인증 앱, USB·NFC 보안 키 |
| 신체 특징 | 지문, 얼굴 인식 | 노트북·휴대폰의 지문·얼굴 인식과 연결된 패스키 |
서비스마다 부르는 이름은 다르지만, 실무에서 확인할 점은 두 번째 단계가 첫 번째와 다른 종류인지입니다. 예를 들어 비밀번호 뒤에 보안 질문을 하나 더 묻는 방식은 둘 다 아는 것입니다. 비밀번호가 새면 보안 질문 답도 함께 노출될 수 있습니다. 비밀번호와 휴대폰 인증 앱을 묶으면 비밀번호가 유출되어도 휴대폰이 없는 사람은 로그인할 수 없습니다.
비밀번호만 쓰는 업무 계정은 무엇이 위험합니까
KISA는 2024년 7월 보안 공지에서 기업 랜섬웨어 피해 사례를 소개했습니다. 업무 편의와 유지보수를 위해 원격 접속을 허용한 기업이 계정 관리 미흡으로 외부의 무단 침투를 당한 사례입니다. 이 기업은 랜섬웨어에 감염되어 업무가 마비되었습니다. 미흡 사항으로는 다중인증(MFA)과 접근 IP 제한이 없었던 점이 지적되었습니다.
KISA가 2026년 2월 낸 랜섬웨어 감염 피해 예방을 위한 보안 강화 권고도 계정 비밀번호 외에 2차 인증수단을 적용하라고 권고합니다. 외부 접속을 허용해야 한다면 접속 IP와 단말기를 제한하고 다중인증을 설정하라는 내용도 들어 있습니다.
업무 계정은 다른 계정을 여는 열쇠 역할도 합니다. 예를 들어 업무 이메일이 넘어가면 그 주소로 연결된 다른 서비스의 비밀번호 재설정 메일까지 상대에게 노출될 수 있습니다. 비밀번호를 아무리 복잡하게 만들어도, 한 번 유출되면 그 뒤를 막을 장치가 없다는 점이 비밀번호 단독 로그인의 한계입니다.
어떤 계정부터 켜야 하나요
KISA가 2026년 10월 낸 최근 사이버공격 대비 기업 보안강화 권고는 관리자·원격접속 계정에 다중인증(MFA)을 적용하라고 권고합니다. 유지보수용 외부 계정은 최소 권한으로 만들어 다중인증을 적용하고, 사용이 끝나면 제거하라고 적고 있습니다. CISA는 다중 인증을 켤 곳으로 이메일, 금융 서비스, 소셜 미디어 등을 듭니다. 두 기관의 설명을 바탕으로 우선순위를 정리하면 다음과 같습니다.
| 순서 | 대상 계정 | 먼저 켜는 이유 |
|---|---|---|
| 1 | 관리자 계정: 홈페이지 관리자, 메일·클라우드 관리 콘솔, 공유기·NAS 관리 화면 | 계정 생성과 권한 변경이 가능한 계정입니다. KISA 권고의 첫 대상입니다. |
| 2 | 원격 접속 계정: 원격 데스크톱, VPN(가상사설망), NAS 외부 접속 | 회사 밖에서 내부로 들어오는 통로입니다. KISA는 IP·단말 제한과 다중인증을 함께 권고합니다. |
| 3 | 외부 유지보수 계정: 홈페이지 제작사, 장비 업체가 쓰는 계정 | KISA는 필요할 때만 최소 권한으로 만들고, 다중인증을 적용한 뒤 사용 후 제거하라고 권고합니다. |
| 4 | 업무 이메일·클라우드 저장소 계정 | 비밀번호 재설정 메일과 중요 자료가 모이는 곳입니다. KISA는 외부 클라우드 자료에 소유기반 이중인증 적용을 권고합니다. |
| 5 | 금융·결제, 광고·SNS 운영 계정, 나머지 직원 계정 | 금전 피해와 브랜드 계정 도용으로 이어질 수 있습니다. 앞 단계를 마친 뒤 순서대로 넓힙니다. |
같은 KISA 권고는 일반 업무 계정과 관리 계정을 구분하라고 합니다. 쓰지 않는 계정과 불필요한 권한도 회수하라고 권고합니다. 대표나 담당자가 평소 메일을 쓰는 계정에 관리자 권한이 함께 붙어 있다면, 다중 인증을 켜면서 관리용 계정을 따로 만듭니다.
어떤 인증 방식을 골라야 하나요
CISA는 피싱 저항형 다중 인증을 업계가 지향할 기준으로 제시합니다. 다만 어떤 다중 인증이든 없는 것보다 낫다고 덧붙입니다. 피싱 저항형은 가짜 로그인 사이트에서는 인증이 작동하지 않는 방식을 말합니다. CISA는 널리 쓸 수 있는 피싱 저항형 인증이 FIDO/WebAuthn 기반 인증뿐이라고 밝히며, 보안 키와 패스키가 이 방식에 해당합니다.
피싱 저항형을 바로 쓰기 어렵다면 CISA는 숫자 맞추기 방식을 검토하라고 안내합니다. 로그인 화면에 뜬 숫자를 휴대폰 승인 화면에 입력하는 방식입니다. CISA는 이 방식이 승인 요청을 연달아 보내는 공격과 문자 기반 공격을 막는 데 도움이 된다고 설명합니다.
피싱 저항형: 보안 키·패스키
- USB·NFC 보안 키나 휴대폰·노트북에 저장된 패스키로 로그인합니다.
- 가짜 사이트에서는 인증이 작동하지 않아 피싱에 강합니다.
- 키 분실에 대비해 예비 키나 다른 복구 수단을 함께 등록합니다.
코드·승인형: 인증 앱·푸시·문자
- 인증 앱의 일회용 코드, 휴대폰 승인 알림, 문자 코드를 사용합니다.
- 추가 장비 없이 직원 휴대폰으로 바로 시작할 수 있습니다.
- 가짜 사이트에 코드를 입력하거나 모르는 승인 요청을 누르면 계정이 넘어갈 수 있어 직원 안내가 함께 필요합니다.
실무에서는 관리자 계정에 보안 키나 패스키를 먼저 적용하고, 직원 계정은 인증 앱으로 시작하면 무리가 적습니다. 문자 인증은 서비스가 다른 방식을 지원하지 않을 때만 씁니다. 해당 서비스가 앱이나 패스키를 지원하기 시작하면 그 방식으로 바꿉니다. 인증에 쓰는 휴대폰이 직원 개인 소유라면 퇴사 때 인증 수단을 회수하는 절차도 함께 정합니다.
실제로 켤 때는 어떤 순서로 진행하나요
다중 인증은 전 직원에게 한 번에 켜기보다, 관리자 계정에서 시험한 뒤 범위를 넓혀야 업무 중단이 줄어듭니다. 아래 다섯 단계는 작은 회사를 기준으로 한 진행 예시입니다.
1단계 · 계정 목록 만들기
회사가 쓰는 서비스와 계정, 관리자 권한을 가진 사람을 한 표에 적습니다. 서비스별로 다중 인증 지원 여부와 현재 설정 상태까지 적으면 이 단계가 끝납니다.
2단계 · 불필요한 계정 정리
장비의 기본 관리자 비밀번호를 바꾸고, 쓰지 않는 기본 관리자 계정은 비활성화합니다. 퇴사자·미사용 계정과 과한 권한을 회수하면 이 단계가 끝납니다.
3단계 · 관리자·원격 접속 계정에 적용
복구 수단을 먼저 등록한 뒤 다중 인증을 켭니다. 다른 기기에서 다시 로그인했을 때 두 번째 단계가 요구되면 이 단계가 끝납니다.
4단계 · 이메일·클라우드와 직원 계정으로 확대
관리 콘솔에 조직 전체 적용 기능이 있으면 등록 기한을 공지한 뒤 켭니다. 목록에서 직원별 등록 완료가 확인되면 이 단계가 끝납니다.
5단계 · 복구 절차 문서화
휴대폰 교체·분실이나 퇴사 때 인증 수단을 바꾸고 회수하는 방법을 적습니다. 백업 코드 보관 위치와 담당자까지 정하면 이 단계가 끝납니다.
대장의 복구 수단 칸이 비어 있으면 관리자 휴대폰을 잃어버렸을 때 회사가 자기 관리 화면에 들어가지 못할 수 있습니다. 백업 코드는 인쇄해 잠금 보관함에 넣거나, 해당 계정과 분리된 장소에 보관합니다. KISA 권고는 시스템 원격 접속 계정정보를 평문으로 저장하지 말라고도 적고 있습니다. 비밀번호와 백업 코드를 같은 메모 파일에 함께 적지 않습니다.
켠 뒤에는 무엇을 계속 점검해야 합니까
다중 인증을 켠 뒤에도 운영 규칙이 없으면 효과가 줄어듭니다. 본인이 로그인하지 않았는데 승인 요청이나 인증 코드 문자가 오면 승인하지 않고 바로 담당자에게 알리도록 직원에게 안내합니다. 이런 요청은 비밀번호가 이미 노출되었다는 신호일 수 있으므로 해당 계정의 비밀번호를 즉시 바꿉니다.
KISA의 2026년 10월 권고는 협업도구와 설정 파일에 비밀번호·접근키·인증토큰이 노출되었는지 점검하라고 권고합니다. 노출된 인증정보는 게시물이나 파일을 지우는 데서 끝내지 않습니다. 사용을 차단하고 폐기·교체한 뒤, 그 정보가 사용된 이력을 확인하라고 적고 있습니다. 유지보수 업체 계정은 작업이 끝나면 제거하고, 네트워크 접속 연결도 같은 방식으로 정리합니다.
퇴사자가 생기면 계정을 비활성화하면서 그 직원 휴대폰에 등록된 인증 수단도 해제합니다. 그 직원이 관리하던 백업 코드도 함께 회수합니다. 새 직원은 첫 출근 주에 다중 인증 등록까지 마치도록 입사 절차에 넣습니다.
이럴 때는 전문 기관에 먼저 확인합니다
- 본인이 하지 않은 승인 요청이 반복되거나, 다중 인증 설정이 모르는 사이 해제·변경된 흔적이 있으면 KISA 118 상담에 먼저 문의합니다.
- 관리자 계정 탈취 뒤 금전 요구나 자료 삭제가 이어지면 접속 기록 등 증거를 보존하고 수사기관에 신고합니다.
- 고객 개인정보를 다루는 시스템에 외부 접속을 허용하는 경우, 개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」 현행 원문을 국가법령정보센터에서 확인합니다. 적용 여부는 개인정보보호위원회나 전문가에게 문의합니다.
정리
다중 인증은 계정 범위를 넓히는 순서와 복구 절차를 함께 정해야 운영이 안정됩니다. 아래 순서대로 바로 시작합니다.
- 회사가 쓰는 서비스와 계정, 관리자 권한 보유자를 한 표에 적습니다.
- 기본 관리자 비밀번호를 바꾸고, 쓰지 않는 계정과 과한 권한을 회수합니다.
- 관리자·원격 접속·외부 유지보수 계정에 복구 수단을 등록한 뒤 다중 인증을 켭니다.
- 업무 이메일·클라우드와 직원 계정으로 넓히고, 보안 키·패스키, 인증 앱, 문자 순으로 방식을 고릅니다.
- 모르는 승인 요청은 거절하고 보고하도록 직원에게 공지하고, 분기마다 대장을 점검합니다.
참고 자료
- KISA 보호나라 — 최근 사이버공격 대비 기업 보안강화 권고(2026-10-03)
- KISA 보호나라 — 랜섬웨어 감염 피해 예방을 위한 보안 강화 권고(2026-02-04)
- KISA 보호나라 — 랜섬웨어 악성코드 감염피해 예방을 위한 보안강화 권고(2024-07-01)
- 미국 사이버보안·인프라보안청(CISA) — More than a Password: Multifactor Authentication