2단계 인증 수단을 모두 잃으면 복구양식도 막힌다: Microsoft의 24시간·30일 경계

시그널필드는 2026년 8월 25일 KST 기준 개인용 Microsoft Account의 공식 지원·정책 문서를 12개 공통 계정복구 상황에 적용했다. 비밀번호와 전화 분실, 복구 코드, Authenticator, 보안정보 교체, 계정 탈취와 삭제를 동일한 질문으로 판정했다.

이 글은 자체 데이터셋 SF-ACR-2026-08 v1.0의 총 36개 판정 중 Microsoft에 해당하는 12개다. 절차·시간·횟수는 Microsoft가 공개한 사실이고 DIRECT·ALTERNATE·WAIT·NO_SELF_SERVICE·CONDITIONAL·UNKNOWN은 시그널필드의 파생 코드다. 실제 계정으로 코드를 받거나 복구양식을 제출한 시험은 아니다.

Microsoft 12개 상황 판정

공통 상황	코드	공식 문서에 적용한 결과
비밀번호 분실·로그인 기기 유지	UNKNOWN	기존 세션만으로 재설정 보장 없음
비밀번호는 알지만 인증 전화 분실	CONDITIONAL	다른 수단이 있으면 교체, 모두 없으면 30일
대체 이메일·전화 접근 가능	DIRECT	필요한 코드로 재설정, 2SV는 두 수단 필요 가능
유효한 보안정보 없음	CONDITIONAL	30일·복구양식·복구 불가로 분기
25자리 복구 코드 보유	ALTERNATE	코드로 비밀번호 변경, 2SV는 30일 가능
Authenticator·패스키·키 분실	CONDITIONAL	다른 수단·동기화 여부에 따라 갈림
2단계 인증의 모든 수단 상실	NO_SELF_SERVICE	복구양식·상담원 우회 모두 없음
탈취 뒤 복구정보 변경	CONDITIONAL	Sign-in Helper·30일 보류·복구 불가로 분기
보안정보 최근 전체 교체	WAIT	취소하지 않으면 30일
복구양식 대기·재시도	WAIT	24시간 이내 결과·하루 최대 2회
상담원 수동 우회 요청	NO_SELF_SERVICE	일반 개인계정 우회 권한 없음
잠금·비활성·폐쇄·삭제	CONDITIONAL	잠금해제·유예 중 재개·영구 삭제로 분기

25자리 코드는 복구양식과 다른 자산이다

접근 가능한 대체 이메일이나 전화가 표시되면 비밀번호 재설정에서 코드를 받아 새 비밀번호를 만든다. 다만 2단계 인증을 켠 계정은 비밀번호를 잊었을 때 두 연락수단으로 두 번 확인해야 한다. 한 수단만 남았다고 항상 충분한 것은 아니다.

미리 만든 Microsoft 계정 복구 코드는 25자리다. 기존 코드는 다시 조회할 수 없고 새 코드를 만들면 이전 코드는 즉시 무효가 된다. 유효한 코드는 ALTERNATE 경로지만, 2단계 인증 계정의 변경은 30일 걸릴 수 있다.

Authenticator 백업도 만능은 아니다. 공식 복원 안내에 따르면 iOS 백업은 iOS로, Android 백업은 Android로만 복원된다. 개인계정의 30초 OTP는 돌아올 수 있지만 비밀번호 없는 로그인은 계정 이름만 복원되어 다시 인증해야 한다. 동기화된 패스키와 로컬 장치·물리 키에만 저장한 패스키도 결과가 다르다.

복구양식 24시간과 보안정보 교체 30일

2단계 인증이 꺼져 있고 기존 보안정보로 확인할 수 없다면 계정 복구양식을 사용할 수 있다. Microsoft는 결과를 연락용 이메일로 24시간 이내 보낸다. 실패해도 총횟수 제한 없이 하루 최대 두 번 다시 제출할 수 있다. 평소 기기와 장소에서 오래된 비밀번호, 연락처, 메일 제목과 서비스 정보를 최대한 제공하도록 권한다. 승인 기준은 공개하지 않는다.

반면 비밀번호는 알지만 모든 보안정보를 잃었다면 정보를 전체 교체하고 30일 기다리는 흐름이 있다. 보안정보 변경 보류 안내는 이 기간을 단축할 수 없다고 명시한다. 기존 증명수단을 되찾으면 요청을 취소할 수 있다.

24시간은 양식 결과 통지 시간이고, 30일은 보안정보 전체 교체 기간이다. 둘을 합쳐 “Microsoft 복구는 하루” 또는 “무조건 30일”이라고 쓰면 틀린다.

2단계 인증의 하드 스톱

가장 강한 경계는 2단계 인증을 켠 뒤 모든 대체 수단과 복구 코드를 잃은 경우다. Microsoft는 복구양식 안내에서 이 조건에는 도움을 줄 수 없다고 명시한다. 지원 상담원도 비밀번호 재설정 링크나 인증 코드를 보내거나 계정정보를 변경할 수 없다.

따라서 “소유권 자료를 상담원에게 내면 풀어준다”거나 “30일만 기다리면 자동 복구된다”는 설명은 공식 정책과 맞지 않는다. 해킹 계정용 Sign-in Helper가 상담 연결을 제안할 수 있지만 이는 진단·안내 경로이며 일반 복구의 수동 오버라이드가 아니다. 회사·학교 계정은 조직 관리자와 Entra 설정의 별도 범위다.

잠금, 폐쇄, 삭제는 구분해야 한다

일반 잠금은 잠긴 계정 안내에 따라 계정에 등록되지 않은 SMS 수신 가능 번호로도 코드를 받아 풀 수 있다. 코드는 10분 뒤 만료된다. 정책 위반 잠금은 별도 이의신청 대상이며 처리시간은 공개되지 않았다.

사용자가 계정을 닫았다면 선택한 30일 또는 60일 유예 안에는 로그인과 보안코드로 계정을 다시 열 수 있다. 유예가 끝난 영구 삭제 계정은 다시 열 수 없다. 계정 활동 정책의 기본 기준은 2년에 한 번 로그인이다.

방법과 한계

이번 판정은 개인용 Microsoft 공식 지원 문서와 소비자 서비스 약관만 사용했다. 로그인된 신뢰 기기가 분실 비밀번호 변경을 항상 허용하는지, 복구양식 합격 점수, 무단 변경 신고와 잠금 이의신청 처리시간은 공개되지 않았다. Microsoft가 개인계정 SMS 인증을 단계적으로 폐지한다고 밝혔지만 완료 일정도 공개하지 않아 추정하지 않았다.