요즘 로그인 화면마다 "패스키를 만드시겠어요?"가 뜹니다. 대충 넘기셨다면 손해예요 — 패스키는 비밀번호의 단점 대부분을 실제로 해결한 방식이고, 구글·애플·마이크로소프트가 함께 채택한 국제 표준(FIDO) 기술입니다.
원리: 비밀번호가 서버에 아예 없다
기존 로그인은 내 비밀번호를 사이트 서버가 저장해두고 대조합니다. 그래서 서버가 해킹되면 같이 털리죠. 패스키는 다릅니다 — 내 기기(폰·PC) 안에 비밀 열쇠가 있고, 서버에는 자물쇠(공개키)만 있어요. 로그인할 때 지문·얼굴인식으로 기기 속 열쇠를 잠깐 사용할 뿐, 열쇠 자체는 어디로도 전송되지 않습니다.
왜 피싱에 안 당하나
패스키는 만들어진 사이트 주소에서만 작동합니다. 진짜와 똑같이 생긴 가짜 사이트에 속아 들어가도 내 패스키가 아예 반응하지 않아요. "비밀번호를 가짜 사이트에 입력해버리는" 사고 자체가 구조적으로 불가능합니다.
단점도 있습니다
- 기기를 잃어버리면? — 구글 계정·애플 iCloud 키체인 등으로 동기화되므로, 복구 수단(다른 로그인된 기기·백업 코드)을 함께 준비해두는 게 안전합니다
- 아직 모든 사이트가 지원하진 않아서 당분간은 비밀번호와 병행하게 됩니다
대상별 — 내 기기 환경에선 어떻게
- 아이폰·맥 — iCloud 키체인에 패스키가 저장·동기화되고 Face ID/Touch ID로 인증해요. 애플 기기끼리는 특히 매끄럽습니다.
- 안드로이드·크롬 — Google 비밀번호 관리자에 저장돼 크롬 쓰는 다른 기기에서도 이어집니다. 갤럭시는 삼성 패스도 선택지예요.
- 여러 기기·OS를 섞어 쓴다 — 다른 브랜드 기기에서 로그인할 땐 화면의 QR을 폰으로 스캔해 인증할 수 있어요(크로스 플랫폼). 그래서 기기가 달라도 막히지 않습니다.
- 공용·가족 PC를 쓴다 — 공용 기기엔 패스키를 저장하지 말고, 그때만 폰으로 QR 인증하는 방식이 안전합니다.
지금 할 만한 것
자주 쓰는 큰 계정(구글, 애플 등)부터 계정 설정 → 보안 메뉴에서 패스키를 켜보세요. 아직 패스키가 없는 사이트의 비밀번호는 무작위 생성기로 사이트마다 다르게 — "한 곳이 털려도 다른 곳은 안전"이 기본 원칙입니다.
흔한 오해 바로잡기
패스키를 미루는 이유를 들어보면 대부분 오해에서 나옵니다. 자주 나오는 걱정 네 가지를 짚어볼게요. 결론부터 말하면 넷 다 크게 걱정할 필요가 없는 것들입니다.
- "내 지문이 사이트에 저장되는 것 아닌가요?" — 아닙니다. 지문·얼굴은 기기 잠금을 푸는 용도로만 기기 안에서 쓰이고, 사이트로는 어떤 생체정보도 전송되지 않아요. 사이트가 받는 건 "본인 확인이 끝났다"는 암호화된 서명뿐입니다
- "폰을 주운 사람이 내 계정에 들어갈 수 있는 것 아닌가요?" — 패스키를 쓰려면 기기 잠금(지문·얼굴·비밀번호)을 풀어야 합니다. 기기를 손에 넣는 것만으로는 쓸 수 없어요
- "한 계정에 패스키는 하나만 만들 수 있나요?" — 아니요, 폰·태블릿·PC 등 기기마다 각각 만들 수 있고 서로 독립적입니다. 오히려 여러 개 만들어두는 쪽이 안전해요
- "패스키를 만들면 비밀번호는 없어지나요?" — 대부분의 사이트는 당분간 비밀번호 로그인을 함께 남겨둡니다. 그래서 비밀번호 관리가 여전히 중요합니다 (아래에서 설명해요)
문자 인증·OTP와는 뭐가 다른가
"2단계 인증을 쓰고 있으니 충분하지 않나요?"라는 질문이 많습니다. 차이는 가로챌 코드가 있느냐예요. 요즘 은행 앱들이 비밀번호 입력 대신 지문 인증으로 넘어간 것도 같은 방향의 흐름이라고 보면 이해가 빠릅니다.
- 문자 인증번호나 OTP는 결국 내가 어딘가에 입력하는 코드라서, 가짜 사이트가 실시간으로 받아 진짜 사이트에 대신 입력하는 수법에 뚫릴 수 있습니다
- 패스키는 입력할 코드 자체가 없습니다 — 인증이 기기 안에서 이뤄지고 만들어진 사이트에서만 통하니, 중간에서 가로채도 써먹을 게 없어요
- 그래서 문자 인증으로 버티던 계정도 패스키를 지원한다면 갈아탈 가치가 충분합니다
- 다만 패스키를 켜기 전까지는 2단계 인증이 없는 것보다 훨씬 나으니, 끄지 말고 유지하세요
폰을 바꿀 때는 어떻게 되나
기기 교체는 패스키에서 가장 많이 궁금해하는 시나리오입니다. 원리는 간단해요 — 패스키는 계정에 동기화되므로, 같은 계정으로 새 폰에 로그인하면 따라옵니다. 다만 순서를 지키면 훨씬 매끄럽습니다. 옮기는 것 자체보다 옮겨졌는지 확인하는 데 드는 시간이 대부분이에요.
- 같은 브랜드로 바꾸면 백업·복원 과정에서 대부분 자동으로 옮겨집니다
- 다른 브랜드로 옮기면 동기화가 이어지지 않을 수 있으니, 옛 폰을 초기화하기 전에 새 환경에서 주요 계정 로그인이 되는지 먼저 확인하세요
- 옮긴 뒤에는 각 계정의 보안 설정에서 더 이상 쓰지 않는 기기를 목록에서 제거하면 정리가 끝납니다
- 중고로 팔거나 가족에게 물려줄 폰은 반드시 초기화하기 — 기기 안의 열쇠도 함께 지워집니다
- 폰 교체가 잦다면 태블릿이나 PC에도 패스키를 만들어두세요 — 갈아타는 동안의 비상용 통로가 됩니다
패스키 시대에도 남는 보안 습관
패스키를 켰다고 끝이 아닙니다. 같은 계정에 비밀번호 로그인이 살아 있는 동안은, 그 비밀번호가 약하면 뒷문이 열려 있는 셈이에요. 문을 새로 달았으면 뒷문 단속까지가 마무리입니다.
- 패스키를 만든 계정이라도 비밀번호는 길고, 사이트마다 다르게 유지하기
- 여러 사이트에서 돌려쓰던 비밀번호부터 순서대로 바꾸기
- 로그인 알림을 켜두면 낯선 접속을 빨리 알아챌 수 있습니다
- 기기 잠금은 패스키의 열쇠고리입니다 — 잠금을 걸지 않은 기기에는 패스키를 저장하지 마세요
- 가족의 계정을 도와주고 있다면 부모님 기기에도 같은 순서로 설정해드리세요 — 피싱에 가장 취약한 세대에게 효과가 가장 큽니다