.svg)
AI 솔루션 문의하기
MFA(다중 인증, Multi-Factor Authentication)는 사용자가 계정이나 서비스에 접근할 때 서로 다른 종류의 인증 요소를 두 가지 이상 확인하는 방식입니다. 비밀번호와 인증번호를 두 번 입력했다는 사실보다, 각 단계가 서로 다른 요소를 검증하는지가 더 중요합니다. 기업은 사용자에게 어떤 인증 수단을 제공할지 정하기 전에 인증 요소부터 구분해야 합니다.
지식 요소(Something You Know)는 비밀번호, PIN처럼 사용자가 기억하는 정보입니다. 서비스에 적용하기 쉽지만 비밀번호 유출, 재사용, 피싱에 노출될 수 있습니다. 비밀번호를 입력한 뒤 보안 질문에 답하게 하는 구성은 절차가 두 번이어도 두 단계 모두 지식 요소이므로, 서로 다른 요소를 조합한 MFA로 보기는 어렵습니다.
소유 요소(Something You Have)는 등록된 스마트폰, 인증 앱이 설치된 기기, 하드웨어 보안 키처럼 사용자가 실제로 보유하고 통제하는 수단입니다. SMS 인증번호, 인증 앱의 OTP, 기기 기반 푸시 승인은 일반적으로 이 요소를 확인하기 위한 방법입니다. 다만 휴대폰 번호를 안다는 사실과 해당 기기를 안전하게 통제한다는 사실은 같지 않습니다. 기기 변경이나 분실 시 재등록 절차도 함께 설계해야 합니다.
생체 요소(Something You Are)는 얼굴, 지문, 홍채 등 개인의 신체적 특성을 이용합니다. 예를 들어 등록된 기기를 보유한 사용자가 얼굴 인증으로 그 기기의 인증 기능을 활성화하는 구성은 소유 요소와 생체 요소를 결합할 수 있습니다. 반면 얼굴과 지문을 연이어 확인하는 방식은 두 검사 모두 생체 요소에 속하므로, 그 자체만으로 서로 다른 인증 요소를 조합했다고 볼 수 없습니다.
얼굴 인증을 추가한다고 해서 어떤 환경에서나 MFA 요건이 자동 충족되는 것은 아닙니다. 기기의 등록·보유 여부, 생체 비교가 진행되는 위치, 실제 로그인 세션과의 연결 방식까지 확인해야 합니다.
2FA(이중 요소 인증, Two-Factor Authentication)는 서로 다른 인증 요소를 정확히 두 가지 사용하는 방식으로, MFA에 포함되는 개념입니다. MFA는 두 가지 이상을 의미하므로 세 가지 요소를 결합하는 구성도 가능합니다. 중요한 판단 기준은 인증 단계의 개수가 아니라 요소의 종류와 독립성입니다.
이 글은 인증 요소의 선택 기준을 다룹니다. 비밀번호 유출 이후 계정 탈취를 방지하는 운영 시나리오와 적응형 인증 적용 사례는 기존 글인 계정 도용 방지 다중 인증 시스템에서 별도로 확인할 수 있습니다.
기업이 MFA 인증 방식을 선택할 때는 사용 편의성만이 아니라 계정 탈취 가능성, 인증 요청 도용, 기기 분실 대응, 고객 지원 업무까지 함께 비교해야 합니다. 같은 스마트폰을 활용하더라도 각 방식의 공격 노출 지점은 다릅니다.
SMS·OTP·푸시·생체 인증 가운데 하나가 모든 서비스에서 우월한 것은 아닙니다. 특히 생체 인증이 단독으로 작동하는지, 등록된 기기 등 소유 요소와 결합하는지에 따라 실제 MFA 구성이 달라집니다. 피싱 저항성을 우선하는 고위험 시스템이라면 인증번호를 사람이 직접 입력하는 방식 이외의 암호학적 인증 수단도 별도로 검토할 필요가 있습니다.
얼굴 생체 인증은 촬영된 얼굴이 등록된 사람과 일치하는지 비교하는 기술입니다. 그러나 얼굴 매칭이 성공했다는 사실만으로 촬영 대상이 실제 사람인지, 실시간으로 촬영된 것인지까지 보장되지는 않습니다. 비대면 인증에서는 얼굴 비교와 별도로 위조·변조 시도를 판별할 절차가 필요합니다.
얼굴 매칭(Face Matching)은 두 얼굴 이미지가 동일인일 가능성을 비교하고, 라이브니스(Liveness)·얼굴 위변조 탐지(PAD)는 사진·영상 등 공격 도구를 제시해 실제 사람을 가장하려는 시도를 판별합니다. 두 기술은 서로 다른 질문에 답하므로 함께 설계할 수 있습니다. 다만 라이브니스 기술도 모든 종류의 딥페이크나 입력 경로 공격을 완벽히 차단한다고 단정해서는 안 됩니다.
기업 담당자가 얼굴 인증을 선택할 때는 모델 정확도라는 단일 표현보다 다음 내용을 확인하는 편이 실무적입니다.
고액 결제나 계정 복구 전에 얼굴 재인증을 적용하려는 서비스라면, 기존 계정 정보만 확인하는 방식에 실시간 얼굴 위변조 판별을 결합할 수 있습니다. 알체라 eKYC는 실시간 얼굴을 신분증 사진 등 확인 기준과 대조하는 얼굴 매칭 기능과, 사진·영상 등 위조 제시 시도를 판별하는 얼굴 라이브니스(PAD) 기능을 제공합니다. 기업은 이 기능을 자체 MFA 정책의 생체 확인 단계에 연결하고, 어떤 상황에서 인증을 요청할지는 서비스의 위험 기준에 따라 정해야 합니다. 라이브니스가 SMS·OTP·푸시를 모두 대체하거나 MFA 전체 정책을 자동 운영한다는 의미는 아닙니다.
.webp)
MFA 생체 인증 도입은 모델을 연결하는 작업에서 끝나지 않습니다. 사용자가 처음 등록할 때의 신원 신뢰도, 인증할 기기, 재인증을 요구할 시점, 실패 시 대체 절차가 연결돼야 합니다. 같은 얼굴 인증이라도 회원가입과 출금 직전 재확인에서 요구되는 정책은 다를 수 있습니다.
MFA는 인증 절차를 여러 번 거치는 방식이 아니라 서로 다른 인증 요소를 조합하는 방식입니다. 따라서 지식·소유·생체의 구분, 2FA와 MFA의 관계, SMS·OTP·푸시의 소유 요소 특성부터 정리해야 합니다. 얼굴 인증을 선택한다면 사용자 일치 여부를 판단하는 얼굴 매칭과 위조 시도를 가려내는 라이브니스를 별도 검토 항목으로 두는 것이 좋습니다.
도입 전에는 인증을 요청할 순간, 등록된 기기와 생체정보의 결합 방식, 위조 공격 대응 범위, 실패 시 대체 경로를 확인해야 합니다. 계정 탈취 방지 효과와 적응형 인증 운영 방법을 더 살펴보고 싶다면 계정 도용 방지 다중 인증 시스템을 참고할 수 있습니다.
.png)
.svg)
.svg)
