2단계 인증, 관리자 계정에 켜야 하는 이유와 설정 5단계

2단계 인증은 비밀번호에 인증 앱 코드나 보안 키 같은 두 번째 확인을 더하는 방식으로, 관리자 비밀번호가 유출돼도 다른 사람이 로그인하기 어렵게 만듭니다. 이 글에서는 켜야 할 계정 순서, 인증 수단별 차이, 설정 5단계와 복구 코드 관리법을 정리했습니다.

2단계 인증이란 무엇인가

2단계 인증은 로그인할 때 두 가지 다른 종류의 확인을 거치게 하는 방식입니다. 첫 번째는 내가 아는 것(비밀번호)이고, 두 번째는 내가 가진 것(휴대폰, 보안 키)이나 나 자신(지문, 얼굴)입니다. 비밀번호는 피싱 메일이나 다른 사이트의 유출로 알려질 수 있지만, 내 휴대폰이나 보안 키까지 함께 빼앗기는 일은 훨씬 어렵습니다.

그래서 2단계 인증을 켜 두면 비밀번호가 새더라도 로그인 단계에서 한 번 더 막을 수 있습니다. 비밀번호를 잘 만드는 일과 2단계 인증은 서로를 대신하지 않고 함께 써야 효과가 있습니다. 비밀번호를 만들고 보관하는 원칙은 관리자 비밀번호 관리 원칙에서 다뤘습니다.

관리자 계정에 2단계 인증을 켜야 하는 이유

• 관리자 계정 하나로 사이트 내용, 회원 정보, 파일 업로드 권한까지 넘어갈 수 있습니다.
• 관리자 비밀번호를 노리는 피싱 메일은 진짜 로그인 화면처럼 보여서 알아채기 어렵습니다.
• 다른 서비스에서 유출된 비밀번호를 여러 사이트에 대입해 보는 공격은 자동화된 도구로 이루어지는 경우가 많아 사이트 규모와 관계없이 대상이 될 수 있습니다.
• 사고가 나면 침입 경로를 찾고 복구하는 데 드는 시간이, 2단계 인증을 켜 두는 수고보다 훨씬 큽니다.

개인정보를 다루는 관리자 화면이라면

개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」 제6조 제2항은 정당한 접근 권한을 가진 사람이 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 인증서, 보안토큰, 일회용 비밀번호 등 안전한 인증수단을 적용하도록 정하고 있습니다. 회원이나 문의 정보를 다루는 관리자 화면에 밖에서 접속한다면 이 기준에 해당할 수 있으므로, 적용 여부는 원문과 전문가 확인을 권장합니다.

2단계 인증을 켤 계정 우선순위

모든 계정에 한꺼번에 켜기 어렵다면, 다른 계정을 되찾거나 바꿀 수 있는 계정부터 시작합니다.

1. 관리자 이메일 계정: 다른 계정의 비밀번호 재설정 메일이 오는 곳입니다.
2. 도메인 관리 계정: 넘어가면 사이트 주소 자체를 잃을 수 있습니다.
3. 호스팅 관리 계정: 서버 파일, 데이터베이스, 백업을 모두 다룹니다.
4. 홈페이지 관리자 계정: 사용하는 프로그램이 지원하거나 보안 기능으로 추가할 수 있는지 확인합니다.
5. 검색·분석 도구 계정: Search Console이나 방문자 분석 도구에 연결된 계정도 사이트 소유를 증명하는 수단입니다.

2단계 인증 수단 비교

두 번째 확인 수단은 여러 가지가 있고 안전한 정도가 다릅니다. Google 계정 고객센터의 2단계 인증 안내는 패스키와 보안 키가 피싱에 가장 강하고, 문자나 전화 인증 코드는 전화번호를 노린 공격에 상대적으로 취약하다고 설명합니다. 아래 표는 관리자 계정에서 흔히 쓰는 수단을 비교한 것입니다.

수단	방식	장점	주의할 점
문자(SMS) 인증 코드	등록한 번호로 받은 코드를 입력	별도 설치 없이 바로 사용	전화번호를 노린 공격에 상대적으로 취약
인증 앱(OTP)	휴대폰 앱이 만드는 일회용 코드 입력	통신이 없어도 코드 생성	휴대폰을 바꿀 때 옮겨 등록해야 함
푸시 알림 승인	등록한 기기에 온 알림에서 허용	입력 없이 빠름	내가 요청하지 않은 알림은 허용하지 않기
보안 키·패스키	기기나 하드웨어 키로 본인 확인	피싱에 가장 강함	지원하는 서비스인지 확인 필요

그림처럼 문자 인증도 켜지 않은 것보다는 훨씬 낫지만, 지원된다면 인증 앱이나 보안 키를 우선 고르는 것이 좋습니다. 특히 도메인과 이메일처럼 중요한 계정에는 더 강한 수단을 쓰세요.

관리자 계정 2단계 인증 설정 5단계

세부 메뉴 이름은 서비스마다 다르지만 대부분 아래 순서로 진행됩니다.

1. 지원 여부 확인: 계정 설정의 보안 메뉴에서 2단계 인증 항목을 찾습니다. 홈페이지 관리자 화면에 없다면 사용하는 프로그램의 보안 기능이나 확장 기능으로 추가할 수 있는지 확인합니다.
2. 인증 수단 준비: 인증 앱을 설치하거나 보안 키를 준비합니다. 회사 계정이라면 개인 휴대폰 한 대에만 묶이지 않도록 누가 관리할지 먼저 정합니다.
3. 등록과 확인: 화면의 QR 코드를 인증 앱으로 읽거나 보안 키를 등록한 뒤, 표시된 코드를 입력해 제대로 연결됐는지 확인합니다.
4. 복구 수단 저장: 복구 코드를 내려받아 비밀번호 관리자나 잠금 장치가 있는 곳에 보관하고, 가능하면 예비 인증 수단을 하나 더 등록합니다.
5. 로그아웃 후 재로그인: 다른 브라우저에서 다시 로그인해 두 번째 단계가 실제로 요구되는지 확인하고, 다른 관리자 계정에도 같은 설정을 적용합니다.

그림의 4단계인 복구 수단 저장을 건너뛰는 경우가 가장 많습니다. 설정을 마친 날 바로 복구 코드를 보관해 두어야 인증 기기를 잃어버렸을 때 계정을 되찾을 수 있습니다.

휴대폰을 잃어버리거나 담당자가 바뀔 때

2단계 인증의 가장 흔한 문제는 인증 기기를 잃어버려 운영자 스스로 들어가지 못하는 경우입니다. 복구 코드를 미리 보관해 두고, 담당자가 바뀔 때는 이전 담당자의 휴대폰에 등록된 인증을 지우고 새 담당자의 기기로 다시 등록합니다. 퇴사자의 휴대폰에 회사 계정 인증이 남아 있으면 계정을 정리한 것이 아닙니다.

2단계 인증을 켤 때 자주 하는 실수

• 여러 사람이 쓰는 공용 관리자 계정을 한 사람의 휴대폰에만 연결해 둔다.
• 복구 코드를 저장하지 않거나, 복구 코드를 같은 휴대폰 안에만 보관한다.
• 홈페이지 관리자에는 켰지만 관리자 이메일과 도메인 계정에는 켜지 않는다.
• 2단계 인증이 있으니 괜찮다며 비밀번호를 짧고 쉽게 바꾼다.
• 내가 로그인하지 않았는데 온 인증 요청이나 코드 요청에 응한다.

마지막 경우는 비밀번호가 이미 다른 사람에게 알려졌다는 신호일 수 있습니다. 요청을 거부하고 비밀번호를 바로 바꾸세요. 인증 코드를 요구하는 가짜 메일과 메시지를 구분하는 방법은 피싱 메일로 관리자 계정을 노리는 수법과 대응에서 다룹니다.

디코랩이 돕는 방식

디코랩은 홈페이지 제작과 함께 운영 중인 사이트의 유지보수와 개선을 맡고 있으며, 포함 범위는 상담 후 제안합니다. 운영 중인 홈페이지의 관리자 로그인 보안을 개선하고 싶다면 유지보수 접수 게시판에 사이트 주소와 사용 중인 프로그램을 비밀글로 남겨 주세요.

자주 묻는 질문

문자 인증만으로도 괜찮나요?

켜지 않은 것보다는 훨씬 안전합니다. 다만 문자 인증은 전화번호를 노린 공격에 상대적으로 약하므로, 지원된다면 인증 앱이나 보안 키를 쓰는 편이 좋습니다.

직원 여러 명이 한 관리자 계정을 써야 하면 어떻게 하나요?

가장 좋은 방법은 사람마다 관리자 계정을 따로 만드는 것입니다. 계정을 나누면 누가 무엇을 바꿨는지 기록이 남고, 퇴사자가 생겼을 때 그 계정만 정리하면 됩니다.

홈페이지 프로그램이 2단계 인증을 지원하지 않으면요?

사용하는 프로그램의 보안 기능이나 확장 기능으로 추가할 수 있는지 먼저 확인합니다. 어렵다면 관리자 화면 접근을 특정 장소로 제한하는 방법 등을 함께 검토하고, 그동안 관리자 이메일과 호스팅 계정의 2단계 인증부터 켜 두세요.

휴대폰을 바꿀 때는 무엇을 해야 하나요?

예전 휴대폰을 초기화하기 전에 인증 앱의 계정을 새 휴대폰으로 옮기거나, 각 서비스에서 새 기기를 다시 등록합니다. 순서를 거꾸로 하면 복구 코드로만 로그인할 수 있게 됩니다.

관리자 계정이 몇 개이고 어디에 2단계 인증이 필요한지 함께 정리하고 싶다면 사이트 주소를 적어 디코랩 프로젝트 문의로 보내 주세요.