Facebook 2FA: 인증 코드는 어디서 받아야 할까, 판매자들은 어디서 받으라고 할까

코드를 한 순간만 늦게 입력해도 다음 화면은 본인 확인을 요구한다. 비밀번호는 틀린 게 없었다. 결과를 바꾼 것은 코드가 어디서 왔는지, 그리고 그 코드가 도착하는 데 얼마나 걸렸는지였다.

그 질문에는 대부분의 가이드가 건너뛰는 답이 있다. 보안 이론에 관한 문제가 아니기 때문이다. 계정 거래 시장이 만들어낸 습관에 관한 문제이고, 그건 측정 가능하다.

Meta가 실제로 문서화한 내용

2단계 인증은 한곳에 있다. 프로필 사진에서 설정 및 개인정보 보호, 설정, 계정 센터, 비밀번호 및 보안, 2단계 인증으로 이동한 다음 변경하려는 계정을 선택한다. Meta는 자체 문구로 세 가지 방법을 나열한다: 호환 기기에서 보안 키 탭하기, 타사 인증 앱의 로그인 코드 사용, 휴대폰의 문자 메시지 코드 사용.

회사는 또한 트리거 조건을 문서화하는데, 이는 주변에 떠도는 이야기보다 더 좁은 범위다. Meta의 문장에 따르면, 2단계 인증이 켜져 있으면 인식하지 못하는 브라우저나 기기에서 계정에 접근하려는 시도가 있을 때마다 로그인 코드를 입력하거나 시도를 확인하라는 요청을 받는다. 이것이 문서화된 규칙이다. 위치 점수, 세션 형태, 지문 기록에 대해 읽은 다른 모든 것은 누군가의 이론일 뿐이며, 이전에 나온 이 페이지의 여러 버전도 포함된다.

문서화된 항목이 하나 더 있는데, 사람들이 나중에 설정해두길 바라는 바로 그 항목이다: Facebook은 휴대폰을 사용할 수 없을 때를 대비해 10개의 복구 로그인 코드를 발급한다. 이 코드는 2단계 인증, 추가 방법, 복구 코드 아래에 있으며, 2단계 인증을 먼저 켜야 옵션이 나타난다.

아무도 쓰지 않는 습관

이 사이트가 볼 수 있고 일반 가이드는 볼 수 없는 것이 있다.

2026년 9월 1일, 이 마켓플레이스에는 88명의 판매자가 올린 활성 Facebook 계정 목록 1,344개가 있었고, 스토어프론트 자체의 가시성 규칙에 따라 집계되었다. 그중 235개, 즉 6개 중 1개는 자체 전달 지침에 2FA 코드 생성 웹사이트를 포함하고 있다. 각주가 아니라 핵심 단계로 말이다. 텍스트에는 "2FA 코드를 받으려면 방문하세요"라는 식의 문구와 URL, 또는 "제공된 2FA 비밀 키를 붙여넣어 로그인 코드를 받으세요"라는 내용이 적혀 있다.

각 URL을 호스트 이름으로 축약하면, 한 사이트가 157개, 두 번째가 37개, 세 번째가 23개를 차지했고, 나머지 네 개 사이트는 각각 몇 번씩 언급되었다. Google도 어느 사이트가 우세한지 동의한다: 같은 날 "facebook 2fa"라는 문구의 첫 번째 자동 완성은 바로 그 사이트의 이름이었다.

집중도는 숫자만큼 중요하므로 분명히 말할 가치가 있다. 그 235개 목록은 88명의 판매자 중 11명에게서 나왔고, 단 한 명의 판매자가 140개를 차지한다. 이는 시장 전체의 경향이 아니라 몇몇 대형 판매자의 특징적인 방식이다. 대부분의 판매자는 키를 넘겨주고 그것으로 무엇을 해야 하는지 아무 말도 하지 않는다.

웹사이트가 앱과 다른 이유

여섯 자리 코드는 시간 기반 표준을 사용해 비밀 키에서 파생되므로, 키가 곧 계정이고 코드는 현재 순간의 답일 뿐이다. 세 가지 결과가 따르며, 그중 어느 것도 특정 웹사이트에 대한 주장에 의존하지 않는다.

• 비밀은 만료되지 않는다. 한 번 페이지에 붙여넣는 것은 일회성 노출이 아니다. 그 문자열을 가진 사람은 2차 인증 수단이 그대로 유지되는 한 유효한 코드를 계속 생성할 수 있다.
• 페이지가 붙여넣은 내용으로 무엇을 하는지 알 수 없다. 브라우저에서 코드를 계산하는 생성기와 키를 서버로 전송하는 생성기는 겉으로 보기엔 동일하다. 이는 특정 사이트에 대한 비난이 아니라, 그 질문이 눈으로 확인해서 해결될 수 없는 이유다.
• 비밀번호를 변경해도 건드리지 않는다. 비밀번호와 2차 인증은 별개의 자격 증명이다. Meta의 비밀번호 변경 문서에는 세션이나 2차 인증에 대한 언급이 없으며, 문서화되지 않은 부작용은 계획이 아니다.

그래서 해결책은 작고 모든 경우에 동일하다. 정상적으로 접근할 수 있는 첫 순간에, 키를 자신이 통제하는 인증 앱에 추가한 다음 기존 2단계 인증 방법을 제거하고 새 비밀 키가 발급되도록 다시 설정한 후, 새로운 복구 코드 세트를 생성하라. 마지막 단계가 다른 사람이 한때 보유했던 키를 오직 자신만 보유한 키로 바꾼다. 비밀이 코드가 되는 방식과 우리 생성기가 입력한 문자열로 무엇을 하는지에 대해서는 TOTP 생성기 가이드를 참조하라.

2FA가 있다는 목록은 키를 준다는 목록이 아니다

이 둘은 서로 다른 주장인데 시장은 하나로 취급한다. 활성 Facebook 목록 1,344개 중 977개가 어떤 형태로든 2단계 인증을 언급하며, 이는 시장의 약 4분의 3에 해당한다. 977개 중 12개는 계정에 2FA가 없다는 뜻이고, 또 다른 6개는 "2FA 가능" 또는 "키 제공 가능 시" 같은 표현으로 애매하게 말하는데, 이는 훑어보지 말고 주의 깊게 읽을 가치가 있다.

같은 텍스트에서 실제 키, 비밀, 일회용 비밀번호 값 또는 TOTP 문자열을 검색하면 352개가 나온다. 즉 625개 목록은 코드를 생성하는 것을 받는다는 말 없이 기능만 광고한다.

그 차이가 두 번 로그인할 수 있는지 여부를 결정한다. 2차 인증이 다른 사람의 휴대폰이나 앱에 연결되어 있고 키가 함께 오지 않는다면, 첫 로그인 프롬프트에서 구매가 끝난다. 결제 전에 서면으로 물어보고, 코드를 생성해주는 페이지 링크가 아닌 일반 키를 요구하라. 키가 있어야 계정을 자신의 도구로 옮길 수 있기 때문이다.

첫 로그인, 민간설화 없이

여기서 방어할 수 있는 내용은 짧으니, 짧게 말하겠다.

1. 시작하기 전에 2차 인증 수단을 열어두라. 코드는 30초마다 바뀐다. 프롬프트가 나타난 후 소스를 찾는 것은 느린 로그인의 절반을 차지하는 피할 수 있는 실수다.
2. 브라우저 프로필 하나를 사용하고 그 안에 머물러라. Meta의 문서화된 트리거는 인식되지 않는 브라우저나 기기이므로, 그런 것을 적게 만들수록 마주치는 프롬프트도 적다.
3. 복구 자료를 가까이 두라. 열 수 있는 사서함, 연락이 닿는 전화번호, 계정에 이미 있다면 복구 코드. 이것이 검문소에서 요구하는 자료이며, 화면이 기다리는 동안 찾는 것이 잠기는 이유다.
4. 확인 화면이 나타나면 멈춰라. 다른 네트워크에서 시도를 반복하면 방금 자신을 인식하는지 물어본 계정에 인식되지 않는 기기가 추가된다. 기다렸다가 같은 장소에서 다시 시도하라.
5. 자격 증명 변경은 나중으로 미뤄라. 첫 로그인과 같은 시간에 변경을 하면 당신과 아무런 이력이 없는 계정에 민감한 작업 두 가지를 겹쳐 쌓는 것이다. 작동하는 순서는 Facebook 이메일과 비밀번호를 잠기지 않고 변경하기에 있다.

인증 기기가 완전히 사라졌을 때의 복구 경로에 대한 Meta 자체 설명을 읽고 싶다면, 2단계 인증 도움말 문서가 그 내용을 담은 페이지다.

이미 2FA가 설정된 계정 구매

많은 구매자가 직접 등록하고 키우는 대신 계정을 인수하며, 이 시장에서 대부분의 목록은 2단계 인증이 이미 켜져 있다고 말한다. 결제 전에 정리할 가치가 있는 다섯 가지가 있다.

• 키가 코드 페이지 링크가 아닌, 자신의 인증 앱에 추가할 수 있는 일반 비밀로 도착하는지 물어보라.
• 어떤 사서함이나 전화번호가 연결되어 있고 접근 권한도 받는지 물어보라. 검문소가 요구하는 것이 바로 그것이기 때문이다.
• 애매한 표현이 있는지 문구를 읽어보라. 이 시장의 6개 목록은 키가 존재할 때만 제공된다고 말하며, 이는 판매용 언어가 아닌 실제 조건이다.
• 사이트 평균이 아닌 개별 판매자의 최근 리뷰를 확인하라. 전달 형식은 시장 간보다 판매자 간 차이가 훨씬 크다.
• 첫 몇 시간 안에 통과할 수 없는 본인 확인을 계정이 요구할 경우 사후 지원 조건이 무엇을 다루는지 확인하라.

시장 자체는 Facebook 계정에 있고, 성장 관련은 Facebook 서비스에 있다. 로그인 후 진행할 화면에 대해서는 Facebook 계정 보안 체크리스트에서 패스키, 복구 코드, 세션 목록을 다루며, Meta가 이 설정들을 옮기면서 모두 위치가 변경되었다.