SMS OTP 보안 표준 2026: NIST, PSD2, PCI DSS 및 중앙은행이 실제로 요구하는 사항

2026년 주요 표준에서 SMS OTP는 금지된 것이 아니라 제한됩니다. NIST SP 800-63B-4 (2025년 7월)은 SMS 및 음성 코드를 "제한된" 인증 수단으로 분류하며, 제공업체가 대안을 제공하고 위험성을 설명할 경우 AAL2에서는 여전히 허용되지만 AAL3에서는 허용되지 않습니다. PSD2에 따라 유럽 은행 감독청(EBA)은 SMS OTP를 소유 기반 요소로 인정합니다. PCI DSS 4.0.1은 SMS를 명시하지 않고 재전송 공격에 강하며 우회할 수 없는 MFA를 요구합니다. 인도의 RBI는 2026년 4월 1일부터 SMS OTP를 명시적으로 유지했습니다. 실제 제한 사항은 더 구체적입니다. 싱가포르, 홍콩, 말레이시아, UAE 및 필리핀의 은행들은 로그인 또는 고위험 거래를 앱 또는 기기 귀속 인증 방식으로 전환했습니다. 아래의 각 요구 사항은 해당 출처로 연결됩니다.

규칙 요약

NIST SP 800-63B-4: 제한적 사용, 금지 아님

NIST는 800-63-3를 대체하는 최종 SP 800-63B-4을 2025년 7월에 발표했습니다. 이 규정은 공용 전화 네트워크(문자 또는 음성)를 통해 전송되는 일회용 코드를 **제한적 인증 수단** (섹션 3.2.9)으로 취급합니다. 이를 사용하는 제공업체는 제한적이지 않은 대안을 최소 하나 이상 제공해야 하며, 사용자에게 위험성을 명확히 고지하고, 위험 평가에 이를 반영하며, 전환 계획을 유지해야 합니다. 만약 신뢰 당사자가 해당 위험을 수용할 수 없다고 판단할 경우, 해당 수단을 사용해서는 안 됩니다.

• **보증 수준:** 아웃오브밴드(out-of-band) 코드는 AAL2에서 비밀번호 또는 생체 인식과 결합하여 허용되지만, 피싱 방지 암호화 인증 수단을 요구하는 AAL3에서는 허용되지 않습니다. AAL2 검증자는 피싱 방지 옵션을 최소 하나 이상 제공해야 합니다.
• **코드 규칙:** 승인된 난수 생성기에서 생성된 최소 6자리 숫자여야 하며, 단 한 번만 수락되고 10분 이내에 유효해야 합니다. 100회 연속 인증 실패 시 계정을 잠금 처리해야 합니다.
• **위험 신호:** 코드를 전송하기 전에 검증자는 기기 변경, SIM 변경 및 번호 이동 여부를 확인하는 것이 권장됩니다 ("should"는 권고 사항이며, "shall"과 같은 강제 사항이 아닙니다).
• **이메일**은 아웃오브밴드(out-of-band) 인증 수단으로 사용해서는 안 됩니다.

SIM 변경 및 번호 이동 확인에 대해서는 번호 검증 및 SIM API 스왑과 SIM 스왑 사기 방어를 참조하십시오.

CISA: 고도로 타겟팅된 인원을 대상으로 함

CISA의 Mobile Communications Best Practice Guidance(2024년 12월 18일)에 따르면, SMS는 암호화되지 않으며 "피싱 방지 기능이 없어 고도로 타겟팅된 개인의 계정에 대한 강력한 인증 수단이 될 수 없기" 때문에 "SMS를 2단계 인증 수단으로 사용하지 마십시오"라고 명시하고 있습니다. 이 가이드의 대상은 정부 및 정치계 고위 인사이며, 피싱 방지가 가능한 유일한 방법으로 FIDO를 권장합니다. 이는 소비자 서비스를 위한 규칙이 아닌 가이드라인입니다.

EU: PSD2는 SMS OTP를 허용함; PSD3는 아직 법적 구속력이 없음

강력한 고객 인증에 관한 규제 기술 표준(위임 규정 (EU) 2018/389)은 2019년 9월 14일부터 적용되며, 결제에 사용되는 모든 일회용 코드의 기준을 설정합니다:

• **제4조:** 인증 코드는 단 한 번만 사용 가능하며 위조할 수 없습니다. 차단 전 최대 5회 연속 실패까지 허용됩니다. 로그인 후 최대 5분간의 비활성 상태를 허용합니다.
• **제5조 (동적 연결):** 결제자에게 금액과 수취인이 표시되며, 코드는 해당 거래에 특화됩니다. 변경 사항이 발생하면 코드는 무효화됩니다.
• **제7조:** 소유 요소는 무단 사용 및 복제에 대한 방지 조치가 필요합니다.
• **제9조:** 각 요소는 독립적이어야 합니다. 휴대폰과 같은 다목적 기기에서는 분리된 보안 실행 및 변조 탐지 기능이 요구됩니다.

EBA는 Q&A 2018_4039를 통해 SMS OTP가 복제 방지 조치가 되어 있다면 소유 요소가 될 수 있음을 확인했으며, 2019년 6월 의견서에서는 SMS를 통한 OTP를 유효한 소유 요소로 나열했습니다. PSD3와 결제 서비스 규정(Payment Services Regulation)은 2025년 11월에 정치적 합의에 도달했으나, 2026년 10월 22일 현재 최종 채택 및 공포를 기다리고 있습니다. 합의된 본문에서 SMS OTP를 대상으로 하는 조항은 발견되지 않았습니다.

PCI DSS 4.0.1: SMS는 명시되지 않음

PCI DSS 4.0.1은 카드 소유자 데이터 환경으로의 모든 접속에 대해 다요소 인증(MFA)을 요구하며(요구사항 8.4.2), MFA가 작동해야 하는 방식(8.5.1)을 규정합니다. 즉, 재전송 공격에 저항력이 있어야 하며, 문서화된 시간 제한 예외 없이는 우회할 수 없어야 하고, 최소 두 가지 이상의 서로 다른 인증 유형을 사용해야 하며, 모든 인증 요소가 성공해야 합니다. 두 사항 모두 2025년 3월 31일부터 의무화되었습니다. 해당 표준은 SMS를 금지하지 않습니다(보고된 문구 기준이며, 표준 자체는 라이선스 제한이 있음). PCI SSC의 MFA 정보 보충 자료에는 SMS에 대한 NIST의 이전 주의 사항만이 언급되어 있습니다.

아시아 태평양 규제 기관

• **싱가포르:** MAS와 싱가포르 은행 협회는 2024년 7월 9일, 디지털 토큰을 보유한 고객을 대상으로 주요 소매 은행들이 3개월 이내에 로그인용 OTP를 단계적으로 폐지할 것이라고 발표했습니다 (MAS 보도자료). 물리적 토큰을 보유한 고객은 영향을 받지 않습니다.
• **홍콩 (은행):** HKMA의 2025년 4월 14일자 회람에 따라, 로그인 및 고위험 거래 시 SMS OTP 대신 결합된 장치(bound device)를 기본값으로 설정하며, 2025년 3분기와 4분기를 목표로 합니다. 앱이 없거나 수신 동의를 한 고객의 경우 SMS OTP를 계속 사용할 수 있습니다 (HKMA 회람).
• **홍콩 (브로커 및 가상자산 플랫폼):** SFC의 2026년 7월 9일자 회람 26EC35에 따라, 2027년 7월 8일까지 고객 로그인 및 장치 결합 시 OTP 대신 패스키(passkey) 또는 결합된 장치를 사용하도록 규정하여 OTP를 금지합니다.
• **말레이시아:** 말레이시아 중앙은행은 금융 기관이 SMS OTP에서 더 안전한 인증 방식으로 전환할 것을 요구한다고 2022년 9월 26일에 발표했습니다 (BNM).
• **인도:** RBI의 '디지털 결제 거래 인증 메커니즘 지침, 2025'에 따라 2026년 4월 1일부터 동적 요소가 포함된 2단계 인증이 의무화됩니다. RBI는 해당 프레임워크가 "SMS 기반 OTP의 중단을 요구하지 않는다"라고 밝혔습니다 (RBI).
• **필리핀:** 2025년 5월에 서명된 BSP 회람 1213은 대형 금융 기관의 SMS OTP와 같이 가로채기가 가능한 인증 방식을 제한합니다. 또한 고위험 거래에 대해 생체 인식, 행동 기반 또는 비밀번호 없는 방식을 요구하며, SMS 내 링크 및 QR 코드 사용을 금지합니다. 준수 기한은 2026년 6월까지입니다 (BSP).

걸프 지역

UAE 중앙은행의 공지 보고에 따르면, UAE 은행들은 2025년 7월 25일에서 2026년 3월 31일 사이에 고객의 인증 방식을 SMS 및 이메일 OTP에서 인앱 인증으로 전환했습니다. 공개된 CBUAE 전문은 확인할 수 없었습니다. UAE의 비은행 발신자들은 여전히 SMS OTP를 널리 사용하고 있습니다. 은행의 금지 조치 이후의 SMS OTP 및 A2P 메시징 규제 타임라인을 참조하세요.

흔한 오해

• **"NIST가 SMS를 금지했다."** 아닙니다. SMS는 제한된 인증 수단이며, 특정 조건하에 AAL2에서 허용되지만 AAL3에서는 제외됩니다.
• **"PSD2가 SMS OTP를 금지했다."** 아닙니다. EBA는 이를 소유 요소로 인정합니다. 핵심 요구 사항은 동적 연동 및 복제 방지입니다.
• **"PCI DSS 4.0이 SMS MFA를 금지했다."** 아닙니다. 해당 규정은 재전송 공격(replay-resistant)에 강하고 우회할 수 없는 MFA를 요구할 뿐, SMS를 명시적으로 금지하지는 않습니다.
• **"CISA가 모든 사람에게 SMS 사용을 중단하라고 말했습니다."** 과장된 표현입니다. 해당 지침은 고도로 타겟팅된 정부 및 정치 관련 인물을 대상으로 합니다.
• **"PSD3는 이미 법으로 시행 중입니다."** 2026년 10월 22일 현재는 아닙니다.
• **"인도는 SMS OTP를 단계적으로 폐지하고 있습니다."** 아닙니다. RBI는 이를 중단할 것을 명시적으로 요구하지 않았습니다.
• **"싱가포르는 SMS OTP를 금지했습니다."** 더 구체적으로는 디지털 토큰을 사용하는 고객을 위한 은행 로그인 시의 SMS를 의미합니다.

이러한 표준을 충족하는 SMS OTP를 위한 체크리스트

1. 1암호학적으로 안전한 난수 생성기를 사용하여 최소 6자리의 코드를 생성합니다. 각 코드는 한 번만 사용할 수 있어야 하며, 10분 이내에 만료되어야 합니다(결제의 경우 5분이 일반적입니다).
2. 2시도 횟수 제한: PSD2는 5회 연속 실패 시 차단됩니다. NIST는 잠금 전 최대 100회까지 허용합니다.
3. 3EU 내 결제의 경우, 메시지에 금액과 수취인을 표시하고 코드를 이 정보와 결합해야 합니다(동적 결합).
4. 4고위험 세션에 인증번호를 전송하기 전에 SIM 변경 및 번호 이동 신호를 확인하세요.
5. 5최소 하나 이상의 더 강력한 대안(앱 푸시, 패스키, FIDO)을 제공하고, SMS는 대체 발송 및 복구 채널로 유지하세요.
6. 6OTP 트래픽은 트랜잭션 용도로만 유지하세요. 인증번호 메시지에 링크나 제안을 포함하지 않으면 마케팅 수신 제한 시간 및 링크 차단 대상에서 제외됩니다.
7. 7SMS 방화벽으로 보호되는 모니터링된 통신사 직접 연동 경로를 통해 전송하여, 인증번호가 가로채기, 지연 또는 SMS 펌핑되는 것을 방지하세요.

BroadNet의 OTP API은 1,000개 이상의 통신사 직접 연동을 통해 멀티채널 대체 발송 기능과 함께 인증번호를 전달합니다. 멀티채널 OTP 인증, SMS OTP에서 패스키까지, 그리고 통신사를 위한 SMS 방화벽 및 SS7 보호를 확인해 보세요.

자주 묻는 질문

2026년에도 SMS OTP 사용이 가능한가요?

네, 대부분의 표준에서 가능합니다. NIST SP 800-63B-4은 이를 제한적이지만 AAL2에서 허용되는 것으로 분류하며, PSD2은 이를 소유 요소로 수용하고, PCI DSS는 이를 금지하지 않으며, 인도의 RBI도 이를 유지했습니다. 싱가포르의 MAS, 홍콩의 HKMA, 필리핀의 BSP를 포함한 일부 규제 기관은 은행 로그인 또는 고위험 트랜잭션을 더 강력한 방식으로 전환했습니다.

NIST가 SMS 2단계 인증을 금지했나요?

아니요. NIST SP 800-63B-4 (2025년 7월)에 따르면 SMS 및 음성 코드는 제한된 인증 수단으로 분류됩니다. 즉, 서비스 제공업체는 제한되지 않은 대체 수단을 제공해야 하며, 위험성을 설명하고 이를 평가해야 합니다. SMS는 AAL2에서는 허용되지만, 피싱 방지 인증 수단이 필수적인 AAL3에서는 허용되지 않습니다.

SMS OTP가 PSD2를 준수하나요?

준수할 수 있습니다. EBA의 Q&A 2018_4039에 따르면, SMS OTP가 복제 방지 처리가 되어 있다면 소유 요소로 인정됩니다. 또한 결제의 경우, 강력한 고객 인증(SCA)에 관한 RTS 제5조에 따라 코드가 금액 및 수취인과 동적으로 연결되어야 합니다.

PCI DSS 4.0에서 MFA를 위해 SMS를 사용할 수 있나요?

PCI DSS 4.0.1은 SMS를 명시하거나 금지하지 않습니다. 2025년 3월 31일부터 의무화된 요구 사항 8.4.2 및 8.5.1에 따라, 카드 소유자 데이터 환경에 접속할 때는 재전송 공격(replay)에 저항할 수 있고, 우회할 수 없으며, 최소 두 가지 이상의 서로 다른 인증 유형을 사용하는 MFA를 적용해야 합니다.

SMS OTP의 유효 기간은 얼마나 되어야 하나요?

NIST SP 800-63B-4에 따라 10분을 초과할 수 없으며, 각 코드는 단 한 번만 사용할 수 있습니다. 많은 결제 프로세스에서는 PSD2의 비활성 제한에 맞춰 5분 이하의 유효 기간을 사용합니다.

어느 국가에서 은행 업무용 SMS OTP를 제한합니까?

싱가포르(2024년부터 디지털 토큰 보유 고객 대상 은행 로그인 시), 홍콩(2025년 은행 로그인 및 고위험 거래 시 기본적으로 기기 결합 적용, 2027년 7월까지 브로커 적용), 말레이시아(2022년부터 전환 필요), UAE(보고된 바에 따르면 2026년 3월까지 은행 OTP가 앱 내로 이동), 필리핀(2026년 6월까지 대형 기관의 고위험 거래 대상).

PSD3가 시행 중입니까?

2026년 10월 22일 현재는 아닙니다. PSD3와 지급 서비스 규정(Payment Services Regulation)은 2025년 11월에 정치적 합의에 도달했으며, 현재 최종 채택 및 관보(Official Journal) 게재를 기다리고 있습니다.

SMS로 OTP를 보내는 가장 안전한 방법은 무엇입니까?

몇 분 이내에 만료되는 최소 6자리의 무작위 숫자로 구성된 일회용 코드를 사용하고, 시도 횟수를 제한하며, 위험한 세션에 대해 SIM 스왑 및 번호 이동 신호를 확인하십시오. 메시지에는 링크를 포함하지 말고, SMS 방화벽으로 보호되는 통신사 직접 연동 경로를 통해 전송하며, 더 강력한 인증 방법을 병행하여 제공하십시오.