패스키 로그인, 비밀번호 안 써도 진짜 안전할까 — 휴대폰 바꾸면 이렇게 됩니다

목차

로그인할 때마다 “비밀번호 대신 패스키를 만들까요?”라는 창을 본 적이 있을 겁니다. 귀찮다고 넘겨왔다면, 정작 휴대폰을 바꾸거나 잃어버린 순간 이 선택이 발목을 잡을 수 있습니다.

패스키 로그인은 비밀번호 없이 지문이나 얼굴로 본인 확인을 끝내는 방식인데, 편리한 만큼 기기 자체가 인증 수단이 되기 때문에 그 기기가 사라지면 로그인 경로도 함께 흔들릴 수 있습니다. 이 글에서는 패스키의 작동 원리와, 실제로 기기를 분실하거나 교체했을 때 벌어지는 일, 그리고 미리 챙겨야 할 것들을 정리했습니다.

왜 갑자기 다들 “비밀번호 대신 패스키”라고 할까

구글은 2023년 10월부터 신규 계정뿐 아니라 기존 계정에도 패스키 로그인을 기본 수단으로 권장하기 시작했습니다. 구글코리아 공식 블로그는 로그인할 때 패스키 생성을 유도하는 안내 창이 뜨고, 계정 설정에는 “가능한 경우 비밀번호 입력 생략하기” 토글이 추가됐다고 밝혔습니다.

같은 글에서 구글은 패스키 로그인이 비밀번호 입력보다 40%가량 빠르다고 설명합니다. 비밀번호를 외우거나 자동완성을 기다릴 필요 없이, 평소 휴대폰 잠금을 풀 때 쓰는 지문이나 얼굴 인식 한 번으로 로그인이 끝나기 때문입니다.

국내 서비스도 이 흐름에 올라탔습니다. 세계일보 – 네이버, 얼굴·지문으로 로그인 ‘패스키’ 도입 기사에 따르면 네이버는 얼굴이나 지문 인식으로 로그인하는 패스키를 PC·모바일 웹에 먼저 적용했고, 네이버 앱도 지원을 목표로 개발 중이라고 밝혔습니다. 네이버 측은 패스키를 “차세대 로그인 방식”이자 글로벌 트렌드로 설명했습니다.

실무에서 보면 이런 변화가 단순한 유행은 아닙니다. 비밀번호는 유출되거나 재사용되면서 피싱 사고의 가장 흔한 통로가 돼왔고, 패스키 로그인은 그 구조 자체를 바꿔서 피싱 공격이 통하지 않게 만드는 기술이기 때문입니다.

구글이나 네이버만의 움직임도 아닙니다. 애플은 iOS·macOS 전반에 iCloud 키체인 패스키를 깊게 통합해두었고, 마이크로소프트도 윈도우 로그인과 마이크로소프트 계정에 패스키 옵션을 넣었습니다. 아마존, 쿠팡 같은 쇼핑몰도 결제 수단이 걸려 있는 계정부터 순차적으로 패스키를 지원 범위에 포함시키는 흐름을 보이고 있습니다.

이렇게 여러 회사가 동시에 움직이는 이유는 표준 자체가 공동으로 만들어졌기 때문입니다. 패스키는 애플·구글·마이크로소프트가 함께 참여한 FIDO 얼라이언스가 정한 공통 규격을 따르기 때문에, 한 회사의 일시적인 정책이 아니라 업계 전반이 합의한 방향이라는 점도 함께 알아둘 필요가 있습니다.

패스키는 정확히 어떻게 로그인을 대신하나

패스키는 FIDO(파이도) 표준 방식을 기반으로, 서버에는 ‘공개키’만 저장하고 실제 인증에 쓰이는 ‘개인키’는 내 기기 안에만 머무는 구조입니다. 로그인할 때 서버가 보낸 요청에 내 기기가 지문·얼굴·PIN으로 잠금을 풀어 개인키로 서명해 돌려보내는 방식이라, 비밀번호처럼 입력하는 값 자체가 아예 존재하지 않습니다.

이 구조 덕분에 가짜 로그인 페이지에 속아 정보를 입력하는 피싱 공격이 원천적으로 통하지 않습니다. 개인키가 기기 밖으로 나가지 않으니 서버가 해킹당해도 비밀번호처럼 통째로 유출될 값이 없고, 다른 사이트에서 같은 비밀번호를 재사용하다 함께 뚫리는 사고도 구조적으로 발생하지 않습니다.

다만 이 편리함은 ‘기기’를 전제로 성립합니다. 비밀번호는 머릿속에만 있으면 어떤 기기로도 입력할 수 있지만, 패스키는 그 개인키를 들고 있는 기기가 있어야만 인증이 성립한다는 점이 가장 큰 차이입니다.

문자나 이메일로 받는 일회용 인증번호(OTP)와도 원리가 다릅니다. OTP는 통신망이나 이메일 서버를 거쳐 번호를 전달받는 방식이라 중간에서 가로채는 스밍싱·중간자 공격의 위험이 남아 있지만, 패스키는 애초에 네트워크로 전달되는 ‘값’이 없어서 가로챌 대상 자체가 존재하지 않습니다. 그만큼 보안 강도는 패스키 쪽이 한 단계 위라고 보는 것이 일반적입니다.

정리하면, 패스키는 ‘내가 아는 것(비밀번호)’을 ‘내가 가진 것(기기)과 나 자신(생체정보)’으로 바꾼 인증 방식입니다. 이 전환이 보안을 높이는 건 분명하지만, ‘내가 가진 것’이 사라지는 순간 인증 수단 자체가 함께 사라질 수 있다는 리스크도 같이 떠안게 됩니다.

동기화형과 기기 고정형, 이 차이를 모르면 분실 때 당합니다

패스키 로그인은 저장되는 방식에 따라 크게 두 종류로 나뉩니다. 이 구분을 모르고 있다가 휴대폰을 잃어버리면, 생각보다 훨씬 당황스러운 상황을 맞을 수 있습니다.

구분	저장 방식	기기 분실 시
동기화형 패스키	구글·애플·삼성 계정의 클라우드 키체인에 암호화 저장, 새 기기에도 자동 복사	같은 클라우드 계정으로 새 기기에 로그인하면 패스키도 함께 돌아옴
기기 고정형 패스키	보안키(USB·NFC)나 특정 기기의 보안 칩 안에만 저장	그 기기·보안키를 잃으면 패스키도 함께 사라짐, 복구 불가

동기화형은 구글 계정, 애플 iCloud 키체인, 삼성패스처럼 클라우드 계정에 암호화된 형태로 저장되기 때문에 새 휴대폰에 같은 계정으로 로그인만 하면 기존 패스키가 그대로 넘어옵니다. 반면 기기 고정형은 보안을 더 엄격하게 지키려는 목적으로 특정 기기나 물리 보안키 밖으로 절대 나가지 않도록 설계돼 있어서, 그 기기를 잃으면 패스키 자체가 영구히 사라집니다.

문제는 패스키를 등록할 때 화면에 두 방식 중 어느 쪽인지 명확히 안내되지 않는 경우가 많다는 점입니다. 지금 내가 만든 패스키가 어떤 방식인지 궁금하다면, 가입한 서비스의 계정 보안 설정에서 패스키 목록을 열어 ‘이 기기에서만 사용’ 같은 문구가 있는지 확인해보는 것이 가장 확실합니다.

휴대폰을 잃어버리거나 바꿀 때 실제로 벌어지는 일

가장 흔한 시나리오는 이렇습니다. 휴대폰을 분실한 뒤 새 기기를 구입해서 같은 구글 또는 네이버 계정으로 로그인을 시도하는데, 계정 로그인 자체도 2단계 인증이나 기기 확인을 요구하는 경우입니다. 이때 그 확인 수단이 하필 분실한 그 휴대폰이었다면, 패스키를 쓰기 위해 먼저 계정 복구 절차부터 거쳐야 하는 역설적인 상황에 놓입니다.

기기 고정형 패스키만 등록해둔 서비스라면 상황이 더 단순하면서도 더 난감합니다. 클라우드에 복사본이 없으니 그 기기를 다시 찾지 못하면 해당 패스키는 그대로 무효가 되고, 서비스가 제공하는 다른 복구 수단(이메일 인증, 본인 확인, 백업 코드 등)으로 넘어가야 합니다.

일부 서비스는 패스키 로그인이 실패하면 자동으로 비밀번호나 문자 인증으로 전환해주지만, 패스키를 등록하면서 비밀번호 로그인 자체를 꺼둔 경우라면 이 대체 경로도 막혀 있을 수 있습니다. 계정 보안을 강화하려고 켜둔 옵션이 오히려 복구를 가로막는 셈입니다.

휴대폰을 수리점에 맡기는 짧은 기간에도 비슷한 일이 생길 수 있습니다. 부품 교체 중에는 로그인 상태가 유지된 채로 돌려받는 경우가 많지만, 초기화가 필요한 수리라면 패스키를 포함한 인증 정보가 전부 지워질 수 있습니다. 수리를 맡기기 전에 어떤 작업이 들어가는지 미리 확인해두는 것이 안전합니다.

기기를 중고로 판매할 때도 같은 문제가 생깁니다. 초기화만 하고 넘기면 문제없어 보이지만, 그 기기에 기기 고정형 패스키가 남아 있었다면 초기화와 동시에 그 패스키는 복구할 수 없는 상태로 사라집니다. 중고 거래 전에는 반드시 계정별로 패스키를 삭제하거나 다른 기기로 옮겨둔 뒤 초기화하는 순서를 지켜야 합니다.

네이버·구글 계정, 패스키 등록은 이렇게 진행됩니다

구글은 PC에서 myaccount.google.com의 계정 관리 페이지에 들어가 보안 탭의 “Google에 로그인하는 방법” 항목에서 패스키 및 보안 키를 선택하면 패스키 로그인을 추가로 만들 수 있습니다. 이미 구글 계정으로 로그인해본 안드로이드 기기가 있다면, 별다른 설정 없이도 자동으로 패스키가 준비되는 경우도 있습니다.

네이버는 내정보의 보안설정 메뉴 안에 있는 패스키 관리 화면에서 등록합니다. 구글 공식 블로그 – 비밀번호가 필요없는 일상! 패스키로 넘어오세요에서도 밝혔듯, 패스키 등록 후에도 비밀번호 로그인 옵션은 당장 없어지지 않고 병행되는 구조가 일반적입니다.

• 공용 기기나 다른 사람과 같이 쓰는 PC·휴대폰에서는 패스키를 만들지 않는다.
• 등록 직후, 로그아웃한 상태에서 실제로 패스키로 로그인이 되는지 한 번 테스트해본다.
• 가능하면 휴대폰 한 대에만 의존하지 말고, 평소 쓰는 보조 기기(태블릿 등)에도 같은 계정의 패스키가 동기화되는지 확인한다.

등록 화면의 메뉴 이름이나 위치는 서비스 개편에 따라 조금씩 바뀔 수 있으니, 설명과 실제 화면이 다르다면 서비스명과 ‘패스키’를 함께 검색해 최신 안내를 확인하는 편이 안전합니다.

등록 자체는 보통 1~2분이면 끝납니다. 로그인 상태에서 보안 설정에 들어가 ‘패스키 추가’ 또는 ‘패스키 만들기’를 누르면, 기기가 지문이나 얼굴 인식 창을 띄우고 본인 확인이 끝나는 순간 패스키 생성이 완료됩니다. 별도의 서류나 추가 인증을 요구하지 않는 경우가 대부분이라, 체감되는 번거로움은 비밀번호를 새로 만드는 것보다 오히려 적습니다.

은행이나 공공기관 사이트는 아직 패스키 지원이 제한적인 곳도 많습니다. 포털·SNS처럼 일상적으로 자주 쓰는 계정부터 먼저 전환해보고, 금융권은 해당 기관이 정식으로 패스키를 지원한다고 공지한 뒤에 넘어가는 순서가 안전합니다.

기기를 바꾸기 전 반드시 확인할 체크리스트

휴대폰을 바꾸거나 수리를 맡기기 전, 아래 항목만 미리 챙겨두면 패스키 로그인 때문에 계정에서 밀려나는 상황을 대부분 피할 수 있습니다.

이 중 하나라도 확인이 안 된 상태라면, 기기를 바꾸는 당일보다는 하루 이틀 여유를 두고 미리 점검해두는 것을 권합니다. 막상 새 기기를 받은 자리에서 로그인이 막히면 되돌릴 수 있는 방법이 많지 않습니다.

패스키를 쓴다고 비밀번호를 완전히 지우면 안 되는 이유

패스키가 안전하다는 이유로 비밀번호를 지워버리고 싶은 유혹이 생기지만, 아직은 과도기입니다. 서비스마다 패스키 지원 범위와 복구 절차가 완전히 자리 잡지 않았고, 새 기기로 넘어가는 과정에서 생길 수 있는 예외 상황도 다양합니다.

특히 은행·증권처럼 금전적 피해로 직결되는 서비스는 패스키를 보조 수단으로 추가하더라도, 기존 인증 수단을 당장 없애지 말고 한동안 병행해보면서 실제로 문제없이 작동하는지 지켜보는 편이 현실적입니다.

해외 출장이나 여행을 앞두고 있다면 더 신경 써야 합니다. 현지에서 유심을 교체하거나 로밍 설정을 바꾸는 과정에서 문자 인증이 일시적으로 안 될 수 있는데, 이때 패스키만 등록해두고 비밀번호를 비활성화한 상태라면 정작 급하게 로그인해야 할 때 아무 수단도 쓸 수 없는 상황에 놓일 수 있습니다. 출발 전 복구 코드를 출력해두거나 별도로 적어두는 습관을 들이는 것이 좋습니다.

자주 묻는 질문

Q. 패스키를 한 번 만들면 모든 기기에서 다 써야 하나요?
아닙니다. 기기마다 따로 패스키를 추가로 만들 수도 있고, 동기화형이라면 같은 클라우드 계정을 쓰는 기기끼리 자동으로 공유됩니다. 두 방식을 섞어서 ‘자주 쓰는 기기 몇 개에 각각 등록’해두는 것도 분실 대비 측면에서는 나쁘지 않은 전략입니다.

Q. 지문이나 얼굴 정보가 서버로 전송되는 건가요?
아닙니다. 생체 정보는 기기 안의 보안 영역에만 저장되고, 서버로 전송되는 것은 그 정보로 잠금을 푼 뒤 생성된 암호화 서명뿐입니다. 지문 데이터 자체가 유출되는 구조가 아닙니다.

개인적으로는 패스키 로그인 자체를 피할 이유는 없다고 봅니다. 다만 “편하다니까 일단 켠다”는 태도보다는, 내 계정이 동기화형인지 기기 고정형인지 한 번쯔음 확인해보는 수고가 분실 상황에서의 체감 난이도를 크게 바꿔놓습니다.

함께 확인하면 좋은 패스키 로그인 체크리스트

패스키 로그인이라면 에어비앤비 도시민박업 신고, 안 하면 벌금 2천만원까지 갑니다까지 함께 챙겨보시면 도움이 됩니다. 패스키 로그인을 준비 중이라면 추석 용돈 증여세 신고 기준, 이 금액 넘으면 세금 냅니다도 미리 점검해두는 것이 좋습니다. 관련해서 스마트폰 침수 무상수리 기준, 액체감지 떴어도 받을 수 있는 조건 내용도 함께 확인해두면 실수를 줄일 수 있습니다. 아울러 6+6 부모육아휴직제 급여, 월 450만원 착각하면 손해봅니다에 대해서도 궁금하시다면 참고하시길 권합니다.