메이저사이트 다중 인증(MFA) 적용 현황 리포트

신뢰를 팔아야 하는 서비스는 계정을 지키는 데 인색할 수 없다. 결제 내역, 포인트, 개인 정보가 엮인 계정 탈취는 곧바로 금전 피해로 이어지기 때문이다. 사용자 규모가 큰 메이저사이트일수록 표적이 되기 쉽다. 자동화된 인증 시도와 피싱 키트가 쏟아지고, 탈취된 세션 토큰이 암시장에서 거래된다. 그 틈을 줄이는 기초 체력이 다중 인증, 즉 MFA다. 비밀번호만으로는 버티기 어렵다는 것을 대다수 운영자가 체감하고 있지만, 어떤 방식의 MFA를 어디까지 도입할지, 비용과 사용자 경험을 어떻게 맞출지에서 늘 고민이 생긴다.

현장에서 본 바로는, MFA의 도입은 단발이 아니라 조직 문화와 사용자 군, 기기 분포, 규제와 리스크 허용치까지 반영한 운영 전략이다. 이 리포트는 국내외 대형 서비스의 흐름, 토토사이트와 같은 고위험 도메인에서 나타나는 특징, 먹튀검증 커뮤니티에서 수집되는 사용자 체감 신호, 그리고 기술 스택의 변화를 종합해 현재 좌표를 짚는다.

공격 시나리오가 바뀌면 MFA의 요건도 바뀐다

몇 해 전만 해도 자격 증명 채굴과 크리덴셜 스터핑이 주된 위협이었다. 지금은 범위가 넓다. 피싱 키트가 실시간 중계로 일회용 코드까지 탈취하고, OTP 앱의 알림 피로를 이용해 푸시 폭탄으로 승인을 유도한다. 기기 지문 바인딩을 우회하는 악성 브라우저 확장, 세션 리프레시 토큰 탈취, 보안 질문을 소셜 미디어에서 역추적하는 사례도 드물지 않다. 공격자는 가장 약한 고리를 찾고, 대형 서비스는 그 고리를 최소화해야 한다.

이 때문에 MFA는 단순히 코드 한 번 더 입력하라는 장치가 아니라, 피싱 저항성을 기준으로 분류해야 한다. 전통적인 SMS 코드는 여전히 널리 쓰이지만, SIM 스와핑과 스미싱 감염, 메시지 전달 지연이라는 고질병이 있다. 반면 기기 내 보안 요소에 바인딩된 WebAuthn 기반 인증은 피싱 저항성 면에서 상위권에 오른다. 경계는 선명하다. 위험 환경일수록 기기 바운드, 도메인 바운드, 사용자 확인까지 포함하는 수단을 채택하는 편이 안전하다.

메이저사이트의 도입 양상, 영역별 관찰

전자상거래와 페이먼트. 장바구니 이탈을 경계하는 성격상, 결제 시점에만 단계적으로 MFA를 거는 절충형이 많다. 카드 등록, 고액 결제, 환불 수단 변경, 주소지 대량 추가처럼 리스크가 큰 이벤트에 트리거형 MFA를 적용한다. 먹튀검증 유럽처럼 PSD2의 강력한 고객 인증이 적용되는 지역은 SCA 예외 규정을 활용해 반복 거래와 저액 거래를 줄이고, 신규 기기나 IP 변화에만 더 강한 MFA를 건다.

게임과 콘텐츠. 계정 도난이 곧 아이템과 스킨의 현금화로 이어지므로 MFA 장착 비율을 계속 끌어올리는 편이다. 콘솔과 PC, 모바일이 뒤섞여 있어 TOTP와 푸시 기반을 기본으로, 고가 코스메틱 거래나 계정 이전 시 FIDO를 옵션으로 제공한다. 라이브 서비스에서는 공지와 보상 이벤트를 통해 사용자를 유도하는 방식이 오히려 효과적이었다.

기업형 SaaS. 관리자와 권한 상승 경로에 대해 강제 MFA가 표준이 됐다. 조건부 접근 정책과 디바이스 컴플라이언스 검사가 결합되면서 사실상의 적응형 MFA를 운영한다. BYOD 환경에서는 플랫폼별 푸시와 패스키를 병행하는 구성이 보인다.

커뮤니티, 소셜, 포럼. 사용자 저항이 상대적으로 커서 기본 활성화는 낮다. 다만 크리에이터 수익과 연결되거나 광고 계정 권한이 붙는 순간 강제화 비율이 크게 오른다. 계정을 매개로 한 피싱이 잦아지면서 보안 알림과 로그인 이력 투명성이 핵심 보조 수단으로 쓰인다.

베팅과 고위험 영역. 토토사이트처럼 거래와 대금 출금이 직접 연결되는 서비스는 공격자가 노리는 지름길이다. 메이저사이트라 부르는 대형 사업자들은 가입 단계부터 기기 지문 채택률이 높고, 출금 시점 2차 인증을 표준으로 둔다. 먹튀검증 커뮤니티에서 자주 언급되는 사고 다수는 MFA 미적용보다 세션 탈취나 고객센터 가장을 통한 사회공학 시도로 이어졌다. 이 영역의 교훈은 하나다. 사용자의 요일별, 시간대별, 베팅 패턴 같은 맥락을 이용한 리스크 기반 MFA가 효과적이라는 점이다.

핵심 기술 스택의 분화, 그리고 수렴

서로 다른 환경 제약 속에서 기술 선택은 분화됐지만, 업계 상위권의 방향성은 수렴한다. 피싱 저항성, 사용자 확인, 기기 바인딩이 키워드다. 구체적으로는 FIDO2와 WebAuthn이 중심에 있고, 플랫폼 패스키가 모바일 중심 사용성 문제를 풀었다. 계정 복구의 난도와 보안 강도 사이 균형을 위해 복구 키와 다중 복구 채널을 제공하되, 복구 절차에 동일한 수준의 피싱 저항성을 요구하려는 시도가 늘었다.

TOTP는 여전히 탄탄한 저변을 가진다. QR 기반 설정이 단순하고 오프라인에서도 동작한다. 다만 키 관리가 취약하면 백업 파일 유출 하나로 도미노가 발생한다. 푸시 기반은 사용자 경험 측면에서 후하게 점수를 받지만, 승인 피로를 악용한 공격을 막기 위해 번호 일치, 위치 표시, 지연 승인 같은 보완책을 쓴다. SMS는 보조 수단으로 남기는 쪽이 안전하다. 규제 준수를 위해 의무적으로 제공하는 경우에도 상한선을 정해 위험 시나리오에서 다른 수단을 우선한다.

다음 목록은 운영자가 선택지를 정리할 때 자주 쓰는 기준을 요약한 것이다.

SMS 일회용 코드, 보급률은 높고 초기 도입이 쉽지만 SIM 교체와 피싱에 취약하다. 로밍과 메시지 지연 이슈가 여전해 결제나 출금처럼 시간 민감도가 높은 플로우에는 위험이 있다.
TOTP 앱, 오프라인 동작과 서비스 독립성이 강점이다. 키 백업과 다중 기기 동기화 정책을 신중히 설계하지 않으면 복구 과정이 공격 벡터가 된다.
푸시 승인, 사용자 경험이 뛰어나고 거부율 데이터를 위험 모델에 바로 녹일 수 있다. 승인 폭탄과 습관적 수락을 막기 위한 추가 확인 값이 사실상 필수다.
FIDO2, WebAuthn, 피싱 저항성의 기준점이다. 기기 내 보안 요소와 도메인 바인딩 덕분에 중간자 공격을 실질적으로 차단한다. 초기 등록과 기기 교체 UX를 잘 다듬어야 도입률이 오른다.
하드웨어 보안 키, 규제 산업과 관리자 계정에서 강력한 선택지다. 도난, 분실 대비 정책과 재발급 절차를 미리 정해야 한다.

사용자 경험과 보안의 타협선, 어디에 그을 것인가

대형 서비스는 분명한 목표 충돌을 겪는다. 공격을 막으려면 잦은 인증과 강한 수단이 필요하지만, 전환율과 체류 시간을 해치면 사업 지표가 흔들린다. 이때 전면 강제보다 리스크 기반의 적응형 MFA가 실용적이다. 새 기기에서 로그인할 때만 심층 인증을 요구하고, 익숙한 기기와 패턴에서는 조용히 지나가게 하는 것이다. 머신러닝 위험 엔진을 쓸 수도 있지만, 시작은 단순 규칙으로 충분하다. 비정상 ASN, 국가 간 급격한 이동, 새 브라우저, 결제 수단 변경, 출금 요청 같이, 서비스마다 위험 이벤트를 정의하고 트리거를 연결하면 된다.

실제 운영에서는 마찰을 줄이는 디테일이 승부를 가른다. 로그인 직후가 아니라 민감 기능 진입 시 MFA를 요구하면 이탈을 줄인다. 토스나 일부 카드사처럼 번호 일치형 푸시로 승인 피로를 줄이고, 위치 정보와 기기명을 명확히 보여주면 사용자는 자신이 만든 요청인지 더 정확히 판단한다. 실패했을 때의 메시지도 중요하다. 모호한 오류 코드 대신, 어떤 이유로 추가 인증이 필요했고 다음에는 무엇을 해야 하는지 알려주면 고객센터로 향하는 문의량이 줄어든다.

계정 복구는 가장 까다롭다. 해커는 복구 절차의 관대함을 파고들고, 정직한 사용자는 기기 분실로 고립되기 쉽다. 상위권 서비스는 복구도 멀티팩터로 본다. 이미 인증된 다른 기기, 등록된 복구 키, 신뢰된 결제수단 소액 결제 확인, 대면 확인 같은 다층 접근을 조합한다. 무엇보다 복구 시도를 로그와 사용자 알림으로 투명하게 공개하고, 일정 기간 동안 추가 보호를 켠다. 출금이나 이메일 변경 같은 고위험 동작에는 타임락을 거는 식이다.

규제와 표준, 최소한의 공통분모

가이드라인은 빠르게 굳어지고 있다. NIST 800-63B는 SMS를 제한적으로만 권장하며 피싱 저항 수단을 상향 기준으로 둔다. 금융 영역의 PSD2는 두 요소 인증을 원칙으로 하지만, 위험도 낮은 거래에는 면제 범위를 명시했다. 기술 표준에서는 FIDO2와 WebAuthn이 사실상 공통분모가 됐다. 브라우저와 OS의 지원이 충분히 성숙했고, 패스키는 기기 간 동기화라는 미끄러운 구간을 사용자 친화적으로 메웠다.

국내에서는 전자금융거래법, 신용정보 관련 지침과 결합해 계정과 결제의 경계 지점마다 적정한 인증을 요구하는 흐름이 뚜렷하다. 법적 의무가 없는 커머스와 콘텐츠라도, 쿠폰 대량 탈취나 광고 계정 장악의 손실이 커지면서 자율적으로 상향하는 추세다. 메이저사이트 급이면 법의 최저선이 아니라, 브랜드 리스크까지 포함한 자율 기준이 필요하다.

수치로 보는 도입률, 조심스러운 가정과 신호

정량 지표는 서비스의 성격과 지역, 사용자층에 따라 널뛰기한다. 다만 공통적으로 관찰되는 범위가 있다. 공개된 데이터와 업계 대화, 운영 경험을 합쳐 보면, 전 세계 대형 커머스와 소비자형 서비스에서 MFA 자발적 활성화율은 10에서 35퍼센트 사이에 머무는 경우가 많다. 강제 구간을 두면 60퍼센트 이상으로 오른다. 게임과 개발자 커뮤니티, 창작자 플랫폼처럼 계정 가치가 높고 공격 빈도가 잦은 곳은 40퍼센트대 중반을 넘기기 쉽다. 반면 지역 기반 커뮤니티와 저가형 구독 서비스는 10퍼센트 언저리에 머문다.

도입 수단의 비중을 보면, SMS는 등록 초기 유입에 큰 몫을 차지하지만 장기적으로는 TOTP와 패스키로 분산된다. 모바일 중심 서비스에서 패스키의 재방문 인증 성공률은 비밀번호 기반 대비 1.5에서 2배 높게 측정되는 사례가 나오고 있다. 실패 시 재시도 횟수와 고객센터 티켓 비율도 줄어든다. 다만 패스키는 가족 공유 기기, PC방 같은 공용 환경에서 예상치 못한 구멍을 만들 수 있어, 기기 등록 정책과 세션 격리를 더 세밀하게 설계해야 한다.

토토사이트와 먹튀검증 커뮤니티가 던지는 신호

토토사이트를 비롯한 베팅 성격의 서비스는 공격자에게 현금 인출 경로를 곧장 제공한다. 운영자가 메이저사이트 반열에 오르면 자동화 공격의 규모가 확 늘어난다. 실제로 보안팀이 꾸준히 목격하는 패턴은 세 가지다. 첫째, 피싱 템플릿이 현지 언어와 브랜드 UI를 매우 정교하게 복제한다. 둘째, 출금 승인에만 초점 맞춘 푸시 폭탄으로 MFA를 무력화한다. 셋째, 고객센터 직원 사칭으로 복구 절차의 숨은 단서를 캐내거나 서류를 위조한다.

먹튀검증 커뮤니티는 사용자 체감 데이터를 모아 제공한다. 여기서 유의미한 신호는 사고가 났을 때 MFA의 부재보다, MFA가 있었지만 운영 정책이 허술해 우회된 경우가 더 자주 회자된다는 점이다. 출금 시점에만 2차 인증을 요구하되, 로그인과 기기 등록이 헐거우면 세션 하이재킹으로 뚫린다. 또 전화번호 변경과 계좌 변경이 같은 세션에서 연속으로 이뤄졌는데도, 별도의 딜레이나 별도 채널 확인 없이 처리된 경우 피해가 커졌다. 이 영역의 모범은 별개 채널 확인, 시간 지연, 이상 거래 트리거를 결합한 운영이다. 사용자에게는 다소 불편하지만, 먹튀 논란의 비용을 생각하면 합리적인 교환이다.

운영 관점의 설계 원칙, 현장에서 통하는 것들

어떤 수단을 선택하든, 운영 흐름을 따라가 보면 공통 원칙 몇 가지가 보인다. 첫째, MFA 등록을 로그인과 분리하지 말고, 사용자 목표와 맞닿은 순간에 제안한다. 결제수단 추가 직후, 높은 등급의 아이템 거래 직전처럼 동기부여가 큰 지점이 적기다. 둘째, 장치 교체와 복구 흐름을 제품의 첫 화면만큼 공들여 디자인한다. 고객센터에 떠넘기면 계정 거래를 부추긴다. 셋째, 알림을 과하게 보내지 말되, 중요한 이벤트는 다른 채널로 중복 통지한다. 이메일만으로 끝내면 스팸함에 묻힌다.

넷째, 내부 권한이 약한 고리는 항상 사람이다. 관리자와 CS 계정에는 하드웨어 키를 강제하고, 의심 사례를 임시로 락할 수 있는 원클릭 대응이 준비돼야 한다. 다섯째, 로그의 세밀함이 사건 대응 속도를 좌우한다. 어떤 기기에서 어떤 인증이 어떤 이유로 거부됐는지, 사용자가 무엇을 봤는지를 알 수 있어야 한다. 마지막으로, 지표를 단일 수치로 단순화하지 않는다. 활성화율 하나로 판단하면 함정에 빠진다. 사용자당 월평균 MFA 트리거 수, 트리거 대비 승인률, 승인 거부의 원인 분포, 복구 요청의 성공률과 오탐률을 함께 본다.

위험 모델을 만드는 방법, 복잡한 것을 단순하게

적응형 MFA의 심장은 위험 모델이다. 과하게 복잡하게 시작하면 운영이 마비된다. 성숙한 팀은 간단한 규칙으로 시작해 점진적으로 정교화한다. 로그인 시 국가와 ASN이 이전과 다르면 심층 인증, 새 브라우저 지문이 감지되면 패스키 우선, 결제 수단 변경과 출금은 무조건 이중 확인, 이런 규칙부터 쌓는다. 이후 거부율과 오탐 데이터를 모아 가중치를 조금씩 조정한다. 핵심은 엔진보다 운영 루프다. 주 단위로 지표를 보고, 현장 문의와 연결해 규칙을 손본다.

안전장치로는 스텝업 인증의 최대 횟수와 쿨다운을 둔다. 의심스러운 세션이 계속해서 인증을 시도하면 공격의 신호일 수 있다. 타임락과 쿨다운은 사용자에게도 안정감을 준다. 한편 합법 사용자의 이동성과 재택 근무, VPN 사용을 허용하기 위해 예외를 담을 수 있는 사용자 자가 관리 기능도 유용하다. 신뢰 기기 관리 화면을 제공해 스스로 위험을 낮추도록 돕는다.

데이터 보안과 프라이버시, MFA가 추가하는 면책과 책임

MFA는 인증을 강화하지만, 새로운 데이터 처리 책임을 낳는다. 전화번호, 기기 지문, 생체 인식 템플릿 같은 민감한 정보가 늘어난다. 저장을 최소화하는 방향이 기본값이어야 한다. 가능한 한 서버가 직접 보지 않는 프로토콜을 고른다. WebAuthn은 템플릿을 기기에 남기고, 서버에는 공개키만 저장한다. 기기 지문도 브라우저 제공 식별자로 제한하고, 서드파티 스크립트와 결합한 크로스 도메인 트래킹으로 변질되지 않게 주의한다. 감사와 규제 점검이 잦은 업종일수록 데이터 흐름 다이어그램과 처리 근거를 문서화해 둔다.

푸시 알림의 내용도 정보 과다 노출이 되지 않게 설계한다. 위치, 기기명, IP 일부 같은 힌트는 사용자의 판단에 도움이 되지만, 세션 토큰이나 내부 코드를 노출해서는 안 된다. SMS는 피싱에 재활용될 수 있으니, 인증 목적 외 내용은 담지 않는다.

성숙도 모델, 어디에 서 있는지 점검하기

메이저사이트 입장에서 스스로를 평가할 수 있는 성숙도 프레임이 있으면 유용하다. 초급 단계는 SMS와 TOTP 중 하나를 선택형으로 제공하고, 고위험 작업에만 간헐적으로 요구한다. 중급 단계는 관리자와 출금, 결제에 강제 적용하고, 푸시와 TOTP를 병행한다. 상급 단계는 FIDO2를 기본 옵션으로 올리고, 위험 기반 트리거와 상세 지표를 운영하며, 복구와 예외 처리까지 피싱 저항성을 지킨다. 최상급 단계는 패스키의 기본 활성화, 키 분실 대비 정책의 자동화, 내부 권한과 서드파티 접근까지 하드웨어 키를 일괄 적용한다. 이중 어느 단계에 있는지 정직하게 점검하면 다음 계획이 선명해진다.

실수와 함정, 반복해서 나타나는 패턴

가장 흔한 실수는 등록률만 올리려다 보안 강도를 희석하는 것이다. SMS를 기본으로 두고 FIDO2는 깊은 메뉴 속에 넣으면, 숫자는 올라가도 위험은 줄지 않는다. 또 하나는 예외 처리를 느슨하게 여는 것이다. VIP 고객의 불편을 줄인답시고 고객센터에서 임의로 MFA를 해제하게 하면, 그 경로가 곧 공격 루트가 된다. 교육과 권한 분리를 병행해야 한다.

푸시 도입 시 번호 일치나 코드 입력 없이 무조건 승인하게 한 사례도 문제가 됐다. 사용자는 생각보다 자주 습관적으로 누른다. 승인 피로에 대한 방어는 라벨과 화면 설계만으로도 상당 부분 해결된다. 메시지 문구를 분명히 하고, 요청 출처와 로그인 위치를 정확히 표기하면 잘못 누르는 비율이 줄었다.

복구 키 제공 역시 양날의 검이다. 생성만 시키고 저장 위치를 안내하지 않으면 잃어버리기 쉽다. 제품 안에서 인쇄와 암호화된 보관 방법을 안내하고, 복구 키가 노출됐을 때 교체하는 과정을 만들면 사고가 줄어든다.

90일 실행 체크리스트, 운영팀이 바로 할 수 있는 일

위험 이벤트 정의와 매핑, 서비스별 고위험 동작을 5개 이내로 정리하고, 각 이벤트에 요구할 MFA 수단을 일대일로 매핑한다.
등록 흐름 개선, 사용자 목표와 맞닿은 화면에 FIDO2와 TOTP를 전면 배치하고, SMS는 보조로 전환한다.
푸시 승인 강화, 번호 일치나 코드 입력을 기본으로 켜고, 승인 피로 방지 정책을 문서화한다.
복구 정책 상향, 복구 역시 멀티팩터로 만들고, 복구 후 일정 기간 고위험 동작에 타임락을 적용한다.
지표 대시보드 구축, 활성화율뿐 아니라 트리거 대비 승인률, 거부 사유 분포, 복구 성공률을 주 단위로 검토한다.

현장에서 만난 두 가지 사례

한 커머스 플랫폼은 대형 할인 행사 때마다 계정 탈취 피해가 반복됐다. 초기 분석은 비밀번호 재사용이 주요 원인으로 나왔고, 팀은 SMS MFA를 대대적으로 밀었다. 활성화율은 30퍼센트까지 올랐지만, 체크아웃 단계의 승인 지연으로 이탈이 늘어 매출이 꺾였다. 이후 전략을 바꿔 체크아웃 직전이 아니라 결제수단 등록 시점에 FIDO2 등록을 유도하고, 새 기기 로그인에만 스텝업 인증을 요구했다. 동시에 푸시 승인에는 번호 일치를 도입했다. 3개월 후 스텝업 트리거당 승인률은 12포인트 올랐고, 탈취 시도 로그 대비 성공 침해는 절반 이하로 줄었다.

또 다른 엔터테인먼트 서비스는 크리에이터 수익 계정을 노린 공격이 급증하자, 출금과 은행 계좌 변경에 이중 확인과 24시간 지연을 도입했다. 초기에 반발이 있었지만, 먹튀검증 커뮤니티에서 안전 장치가 있다는 평이 퍼지며 오히려 신규 유입이 늘었다. 고객센터는 불만 대응 대신 교육 자료를 전해주었고, 지연 창구에서의 오탐률은 초기 8퍼센트에서 3퍼센트대로 낮아졌다. 안전을 선명하게 보여주는 것이 브랜드를 지키는 데 도움을 준 사례다.

비용과 이익, 숫자로 균형 맞추기

MFA는 인프라 비용과 고객센터 부담을 동반한다. 푸시 알림과 SMS 비용, FIDO 보급과 교육, 기기 교체 시 지원 비용이 모두 들어간다. 중견 규모의 소비자 서비스에서, 연간 인증 관련 직접 비용이 매출의 0.1에서 0.4퍼센트 수준으로 측정되는 경우가 많다. 반면 계정 탈취가 줄어드는 효과는 환불과 보상, 브랜드 훼손 방지로 직결된다. 고위험 업종에서는 단 한 번의 대형 사고가 연매출의 몇 퍼센트를 삼키는 일이 흔하다. 숫자로 비교하면 투자 명분이 더 분명해진다.

간접 비용도 살펴야 한다. 패스키 전환으로 로그인 성공률이 높아지면 고객센터의 비밀번호 초기화 요청이 급감한다. 푸시 승인 거부율 데이터는 위험 모델의 품질을 높이고, 결국 불필요한 스텝업 호출이 줄어든다. 이 절감분은 곧바로 사용자 만족도로 환산된다.

앞으로의 변화, 준비할 것들

패스키는 보급률이 올라갈수록 등록 장벽이 낮아지고, 멀티 디바이스 동기화가 안정된다. 브라우저와 OS는 비밀번호를 뒤로 밀어낼 태세다. 한국처럼 모바일 비중이 높은 시장에서는 전환 속도가 더 빠를 수 있다. 기업 환경에서는 하드웨어 키의 저변이 넓어지고, 관리형 키와 사용자 소유 키의 공존 모델이 나온다. 위험 엔진은 개인화의 경계를 건드릴 것이다. 프라이버시와 설명 가능성을 지키면서 마찰을 줄이는 균형점 찾기가 숙제다.

토토사이트와 같은 고위험 도메인에서는 세션 보호가 새로운 전장이다. 세션 토큰 바인딩, 토큰 회전 간격 단축, 브라우저 무결성 검사가 MFA를 보완한다. 먹튀검증 커뮤니티는 여전히 사용자 체감의 초기 경보 역할을 할 것이다. 운영자는 이 신호를 경시하지 말고, 실제 운영 지표와 연결해 빠르게 실험하고 되돌려야 한다.

맺음의 생각

메이저사이트에 필요한 MFA는 단순한 기능이 아니라 지속적 운영의 기술이다. 공격은 변하고, 사용자도 변한다. 정답은 하나가 아니다. 다만 방향은 분명하다. 피싱에 강한 수단을 기본으로 끌어올리고, 위험 맥락에서 똑똑하게 요구하며, 복구와 예외에서 느슨해지지 않는 것. 숫자를 보고, 사용자의 시간을 아끼고, 문제를 숨기지 않는 것. 그 원칙을 지키는 팀은 보안과 사업 지표를 동시에 지킨다. 계정이 신뢰의 출발점이라면, MFA는 그 신뢰를 기계적으로, 그러나 인간적으로 유지하게 해주는 최소한의 약속이다.