비밀번호는 이제 그만: 패스키 로그인 완전 정착, 5분 설정 가이드

지난달 지인 계정 하나가 피싱 문자로 털렸다. 비밀번호가 이름과 생일 조합이었다. 마침 그 주에 국내 포털과 금융 앱에 패스키 로그인이 속속 열린다는 기사를 봤는데, 타이밍이 딱이었다. 그날부터 중요한 계정부터 패스키로 갈아탔다.

패스키(passkey)는 비밀번호 대신 지문, 얼굴 인식, 화면 잠금 번호로 로그인하는 방식이다. 2026년 현재 국내 주요 서비스로 확산이 빨라지면서 이제 '미리 설정해 두면 이득'인 단계를 지났다. 안 설정하면 오히려 불편해지는 국면에 들어섰다.

패스키가 비밀번호보다 안전한 이유

비밀번호는 결국 사람이 기억하는 문자열이라 유추당하거나 유출된다. 해커 입장에서는 이미 유출된 비밀번호 목록에 대부분이 들어 있어서, 아이디만 알면 자동으로 대입해 보면 끝난다.

패스키는 원리 자체가 다르다. 로그인할 때 서버에 뭔가를 입력하는 게 아니라, 내 기기가 비밀키로 서명하면 서버가 공개키로 검증한다. 비밀키는 기기 안 보안 칩에만 저장되고 밖으로 나가지 않는다.

💡 한 줄 요약: 비밀번호는 "내가 아는 것"을 매번 보내는 방식이고, 패스키는 "내가 가진 것"으로 증명만 하는 방식이다. 보내지 않으면 훔칠 수도 없다.

국내에서도 지원 목록이 빠르게 늘고 있다. 체감상 올해 들어 확산 속도가 눈에 띄게 빨라졌다.

지원 여부는 로그인 화면에서 비밀번호 입력칸 대신 "지문으로 로그인"이나 "패스키 사용" 문구가 뜨는지 보면 된다. 계정 설정의 보안 메뉴에서 직접 등록하는 경우가 많다.

설정은 생각보다 간단하다. 계정의 보안 설정에 들어가면 보통 5분 안에 끝난다.

핵심은 패스키를 클라우드(아이클라우드 키체인, 구글 패스키 관리자)에 동기화하는 것이다. 요즘 패스키는 동기화 방식이 기본이라 기기를 바꿔도 다시 등록할 필요가 없다.

가장 궁금해하는 부분이다. 내 스마트폰에만 패스키가 있는데 PC방이나 사무실 컴퓨터에서는 로그인이 안 되는 것 아닌가 하는 걱정.

해결책은 "다른 기기의 패스키 사용" 옵션이다. 로그인 화면에서 이 옵션을 고르면 QR코드가 뜨고, 내 스마트폰으로 스캔해서 폰의 지문으로 인증하면 된다. 패스키는 폰에만 남고 공용 PC에는 아무것도 저장되지 않는다.

💡 공용 PC에서는 브라우저에 패스키를 저장하지 말 것. "이 기기에 저장" 같은 문구가 뜨면 거절하고, QR 코드 방식을 쓰자.

동기화 방식 패스키를 쓰면 이 걱정이 거의 사라진다. 폰을 잃어도 새 폰에서 클라우드 계정에 로그인하면 패스키가 그대로 복원된다.

그래도 만약에 대비해야 한다. 대비책은 두 가지다.

기기 동기화 없이 기기에만 저장하는 패스키(보안 키 방식)라면, 기기 분실 시 계정 설정에서 해당 패스키를 삭제하고 새로 등록하면 된다. 다만 이 경우 복구 수단이 없으면 계정을 되찾기 어려워지므로 복구 코드는 꼭 받아 두자.

한 번에 다 바꿀 필요는 없다. 우선순위를 정해서 중요한 계정부터 순서대로.

이메일 계정을 먼저 하는 이유는 단순하다. 이메일이 뚫리면 다른 서비스의 비밀번호 재설정 메일을 가로챌 수 있어서, 모든 계정의 사실상 마스터 키가 되기 때문이다.

패스키가 좋다는 건 분명하지만 현실은 아직 완전하지 않다. 국내 일부 서비스는 패스키를 보조 수단으로만 두고 비밀번호 입력을 완전히 없애지 않는다. 앱마다 지원 시점과 방식이 달라서 사용자가 혼란스러운 것도 사실이다.

그래도 흐름은 명확히 한 방향이다. 업계 전체가 비밀번호 없는 로그인을 표준으로 옮기고 있고, 국내 서비스들의 지원도 갈수록 늘고 있다. 빅테크 3사가 공동 표준을 밀고 있어서 후퇴할 가능성은 없어 보인다.

비밀번호 만들라고 하면 아직도 한숨 쉬는 사람이 많다. 그 한숨을 덜어줄 기술이 이미 여기 있고, 설정에 5분이면 충분하다. 오늘 이메일 계정 하나부터 패스키 등록해 보자.