계정 보안개념·기술

OTP와 인증 앱

인증 앱이 인터넷 없이도 코드를 만들어 내는 원리와, 문자 인증보다 안전한 이유, 기기를 바꿀 때 옮기는 방법을 정리했습니다.

내용 확인일 2026-09-10 · 추가 검토 필요문서 수정일 2026-09-10 · 최초 작성 2026-08-19

지금 할 일

인증 앱을 바꾸거나 휴대폰을 초기화하기 전에 서비스별 복구 코드를 보관하세요. 새 기기에서 실제 로그인을 확인하기 전에는 기존 인증 수단을 지우지 마세요.

검토 상태 · 추가 검토 필요

시간 기반 OTP 원리와 Google OTP 이전·삭제, Google 백업 코드 조건을 대조했습니다. 은행별 OTP와 다른 인증 앱의 복구 조건은 다르며 실제 기기에서 이전·로그인을 시험하지는 않았습니다.

공식 출처와 출처별 확인일 보기 ↓

이번 수정 내용 · 2026-09-10

시간 기반 OTP의 범위, 백업 수단 확보 순서, Google OTP 동기화 삭제와 분실 시 재등록을 보완했습니다.

출처별 확인일은 문서 하단에 별도로 표시합니다. 문서 수정일이 모든 출처의 재확인일을 뜻하지는 않습니다.

개념

OTP는 일회용 비밀번호(One-Time Password)입니다. 한 번 쓰면 끝나는 비밀번호라는 뜻입니다.

가장 익숙한 형태는 인증 앱에 뜨는 6자리 숫자입니다. 시간 기반 방식은 보통 30초 간격으로 바뀝니다. RFC 6238은 30초를 기본값으로 권고하지만 자릿수·유효 시간은 서비스 설정에 따라 다릅니다. 횟수 기반 HOTP도 있어 모든 OTP에 같은 시간 규칙을 적용하지 않습니다.

여기서 많은 사람이 궁금해하는 점이 있습니다.

비행기모드인데 왜 코드가 계속 나오지?

코드를 받아 오는 것이 아니라 앱이 직접 계산하기 때문입니다. 이 점이 문자 인증과의 결정적인 차이이고, 안전한 이유이기도 합니다.

진행 전 확인과 막힐 때의 대안

새 기기로 옮긴 뒤 각 서비스에서 실제 로그인이 되는지 확인하고 옛 기기를 지우세요. 동기화 여부는 앱 설정에서 따로 확인해야 합니다. 코드가 안 맞으면 해당 계정 항목과 자동 시간 설정을 확인하고, 계속 실패하면 백업 수단을 이용하세요.

작동 원리

두 개의 재료로 계산합니다

아래는 시간 기반 OTP(TOTP)의 설명입니다. 인증 앱과 서비스가 같은 방식으로 등록된 경우 다음 두 값을 사용합니다.

재료	설명
비밀값	처음 등록할 때 QR코드로 받아 앱에 저장한 값
현재 시각	30초 단위로 끊은 시각

서버도 같은 비밀값을 갖고 있고, 같은 시각을 봅니다. 그래서 양쪽이 따로 계산해도 같은 숫자가 나옵니다. 주고받는 과정이 없습니다.

그래서 통신이 필요 없습니다

비행기모드에서도, 해외에서도, 유심을 빼도 코드가 나옵니다. 계산에 필요한 것이 기기 안에 다 있기 때문입니다.

반대로 이 때문에 기기 시각이 크게 어긋나면 코드가 맞지 않습니다. 코드가 계속 틀리다면 기기의 자동 시각 설정을 확인해 보세요.

왜 문자보다 안전한가

방식	코드가 지나는 경로	노출 지점
문자	통신망 → 문자 앱	악성앱의 문자 가로채기, 번호 이전
인증 앱	앱 안에서 계산	통신망을 지나지 않는다. 대신 앱을 등록한 기기, 동기화·백업을 켠 계정, 그리고 내가 코드를 불러 주는 순간

스미싱 악성앱이 하는 일 중 하나가 인증번호 문자 가로채기입니다. 문자 방식만 쓰고 있으면 이 경로로 뚫립니다. 인증 앱에는 가로챌 문자가 없습니다.

그래도 막지 못하는 것

내가 직접 불러 주는 경우입니다.

가짜 로그인 페이지가 비밀번호와 OTP 코드를 함께 받아, 그 30초 안에 진짜 사이트에 대신 로그인하는 수법이 있습니다. OTP는 이걸 막지 못합니다. 이 문제를 구조적으로 푸는 것이 패스키입니다.

어디에 쓰이는가

인증 앱

Google OTP를 비롯한 인증 앱들이 같은 방식으로 동작합니다. 표준이 같아서 한 앱에 여러 서비스를 등록할 수 있습니다. 각 서비스가 해당 인증 앱 방식을 지원하는지 먼저 확인하세요. 모든 서비스가 같은 방식을 제공하는 것은 아닙니다.

Google 계정에서는 2단계 인증 설정 화면에서 인증 앱을 추가할 수 있습니다.

은행 OTP 기기

카드·열쇠고리 형태의 은행 OTP는 일회용 코드를 만드는 별도 인증기입니다. 휴대폰과 분리되어 있지만 코드 탈취·분실 위험까지 사라지는 것은 아닙니다. 방식·배터리·재발급 조건은 발급 은행에서 확인하세요.

기기 알림 방식

OTP 코드를 직접 계산하는 방식과 별개로, Google 메시지처럼 로그인 시도가 있으면 내 휴대폰에 확인 창을 띄우는 방식도 있습니다. 숫자를 옮겨 적을 필요가 없어 편하고, 어느 기기에서 시도했는지 함께 보여 줘서 이상한 로그인을 알아채기 쉽습니다.

대신 눌러서 넘기기 쉽다는 것이 약점입니다. 내가 로그인한 적이 없는데 확인 창이 뜨면 승인하지 말고 거부하세요. 반복해서 뜨면 비밀번호가 이미 새어 나갔다는 신호일 수 있으니 계정 해킹 대응의 순서를 밟으세요.

어떤 방식을 고를까

방식	확인할 조건과 한계
문자	번호 탈취·문자 접근 권한과 코드 피싱에 주의
인증 앱	등록값 이전·동기화 계정 보호·코드 피싱에 주의
기기 알림	본인이 시작한 로그인만 승인
보안 키·패스키	지원 서비스와 복구 수단 확인. 피싱 저항성이 있는 인증 방식을 우선 검토

제품 전체의 안전성 순위를 매긴 표가 아닙니다. 패스키의 적용 범위와 분실 대응을 함께 확인하세요.

문자밖에 지원하지 않는 서비스라면 문자라도 켜세요. 안 켠 것보다 훨씬 낫습니다.

오해와 주의점

코드가 곧 만료되니 알려 줘도 된다는 오해

가장 위험한 오해입니다. 사기범은 통화 중에 실시간으로 씁니다. 30초는 충분한 시간입니다.

인증 앱을 옮기지 않고 기기를 초기화하는 실수

가장 흔한 사고입니다. 초기화하면 앱 안의 비밀값이 사라지고, 동기화나 다른 인증 수단이 없다면 로그인에 어려움이 생길 수 있습니다.

기기를 바꾸기 전에 이 순서를 지키세요.

복구 수단을 먼저 확보한다
각 서비스의 백업 코드나 다른 인증 수단을 준비하고 실제로 접근 가능한지 확인하세요.
동기화 또는 내보내기로 옮긴다
Google OTP는 로그인한 Google 계정에 코드를 동기화할 수 있습니다. 계정 없이 썼다면 기존 기기에서 계정 내보내기로 QR코드를 만들고 새 기기에서 가져옵니다. QR코드는 인증 비밀값이므로 타인에게 보내거나 공개하지 마세요.
새 기기로 실제 로그인을 확인한다
이전을 지원하지 않는 서비스는 공식 계정 설정에서 재등록합니다. 예전 기기를 지우기 전에 각 서비스 로그인을 확인하세요.
옛 기기 처분과 인증 항목 삭제를 구분한다
동기화 중인 Google OTP 항목을 삭제하면 다른 기기에서도 삭제됩니다. 처분하는 기기만 제조사의 초기화 절차로 지우고, 필요한 인증 항목을 일괄 삭제하지 마세요.

기기를 잃었다면 단순 이전과 다릅니다. 원격 잠금·초기화와 계정 보호를 진행하고, 원격 조치가 불가능하거나 등록값 노출이 의심되면 각 서비스에서 기존 OTP 등록을 해제하고 새로 등록하세요. 다른 기기에 같은 코드를 복사하는 것만으로 잃어버린 등록값을 무효화하지는 못합니다.

복구 코드를 안 받아 두는 실수

인증 수단을 모두 잃으면 계정 복구 절차로 넘어갑니다. 복구 수단은 서비스마다 다릅니다. Google 백업 코드를 Apple 계정에도 발급되는 공통 기능으로 생각하지 마세요. Apple의 신뢰하는 기기·복구 연락처 등은 2단계 인증 문서에서 따로 확인하세요.

Google은 2단계 인증 사용자가 8자리 백업 코드를 인쇄하거나 내려받을 수 있게 합니다. 각 코드는 한 번만 사용할 수 있고, 새 세트를 만들면 이전 세트는 무효가 됩니다. 고급 보호 프로그램 사용자는 다운로드할 수 없습니다. 문서에 따라 백업 코드로도 표기됩니다. 그 계정의 메일함에 저장하지 마세요. 계정이 잠기면 함께 잠깁니다.

하나만 등록해 두는 실수

인증 수단이 하나뿐이면 그 기기를 잃는 순간 막힙니다. 두 개 이상 등록하거나 복구 코드를 확보해 두세요.

코드가 계속 틀릴 때

기기 시각이 어긋난 경우가 많습니다. 설정에서 날짜·시간 자동 설정을 켜 보세요.

신고 기관

아래 기관은 무료입니다. 피해가 진행 중이라면 순서대로 연락하세요.

118 상담센터 (한국인터넷진흥원)
📞 118
이용 목적 해킹·악성코드에 감염된 것 같을 때, 불법 스팸을 받았을 때, 개인정보가 침해된 정황이 있을 때 상담하는 곳입니다.
준비할 정보
- 무슨 일이 언제 일어났는지 (설치·클릭·수신 시각)
- 화면 사진 — 문자 원문, 앱 목록, 오류 화면
- 쓰는 기기 종류와 운영체제
국번없이 118. 공식 안내 기준으로 1번 해킹/바이러스, 2번 보이스피싱/스미싱, 3번 개인정보, 4번 불법 스팸, 5번 ICT 분쟁조정입니다. 2번을 고르면 경찰청(전기통신금융사기 통합신고대응센터)으로 연결됩니다.
공식 누리집 열기 ↗
2026-09-09 확인 · 상담 범위와 메뉴 번호를 공식 안내와 대조했습니다. 운영 시간은 공식 안내에 적혀 있지 않아 이 사이트에도 싣지 않습니다.
제도와 연락처는 바뀔 수 있으니 최신 정보는 공식 사이트에서 확인하세요.

다른 신고·상담 창구도 보기 →

자주 묻는 질문

인터넷이 안 되는데도 코드가 나옵니다. 어떻게 된 건가요?

코드를 받아 오는 것이 아니라 앱이 직접 계산하기 때문입니다. 이 문서에서 설명하는 시간 기반 OTP(TOTP)는 등록 때 받은 비밀값과 현재 시각으로 계산하므로 코드 생성에 통신이 필요 없습니다. 모든 OTP가 시간 기반인 것은 아닙니다.

문자로 받는 것과 뭐가 다른가요?

문자는 통신망을 거치기 때문에 악성앱이 가로채거나 번호를 넘겨받는 수법에 노출됩니다. 인증 앱은 코드가 통신망을 지나지 않아 그 두 경로가 없습니다. 다만 안전한 위치가 다를 뿐입니다. 앱을 등록한 기기, 클라우드 동기화나 백업을 켜 두었다면 그 계정, 그리고 내가 코드를 직접 불러 주는 순간은 그대로 남습니다.

휴대폰을 바꾸면 어떻게 하나요?

초기화하기 전에 인증 앱을 새 기기로 옮겨야 합니다. 앱에 계정 동기화나 내보내기 기능이 있으면 그것을 쓰고, 없으면 각 서비스에서 인증 수단을 다시 등록하세요. 옮기지 않고 초기화하면 복구 절차를 밟아야 합니다.

코드를 남에게 알려 줘도 되나요?

절대 안 됩니다. 유효 시간이 짧다고 안심할 수 없습니다. 유효 시간 안에 사기범이 대신 로그인할 수 있습니다. 어떤 이유를 대더라도 알려 주지 마세요.

은행에서 주는 OTP 기기와 같은 건가요?

일회용 코드를 쓴다는 점은 같지만 은행별 방식과 등록 절차는 다릅니다. 모든 은행 OTP를 인증 앱으로 대체할 수는 없습니다. 분실·배터리 소진 시에는 발급 은행에 재발급과 기존 인증 수단 정지를 문의하세요.

출처

이 문서는 아래 1차 출처를 확인해 작성했습니다. 제도와 화면은 바뀔 수 있으니 최종 확인은 각 기관의 공식 안내를 따라 주세요. 문서 상단의 내용 확인일(2026-09-10)은 문서 전체를 읽고 근거를 대조한 회차의 날짜입니다. 모든 근거가 확인됐다는 뜻은 아니며, 확인하지 못한 범위는 검토 상태에 적어 두었습니다.

2단계 인증 사용 설정하기Google · 2026-08-19 확인
백업 코드로 로그인하기Google · 2026-09-10 확인
Apple 계정의 이중 인증Apple · 2026-08-19 확인
Google OTP로 인증 코드 받기Google · 2026-09-10 확인
RFC 6238 — 시간 기반 OTP와 HOTP의 차이IETF RFC Editor · 2026-09-10 확인

안내가 실제와 다른가요?

화면 이름이 바뀌었거나 연결되지 않는 주소, 없어진 창구를 발견하면 알려 주세요. 확인한 뒤 이 문서와 신고·상담 목록에 함께 반영하고, 내용 확인일을 갱신합니다.

정보 오류 제보하기 →신고·상담 및 공식 서비스 →

이 문서를 참조하는 문서

2단계 인증