[태그:] 패스키

  • 패스키를 만들면 비밀번호는 없어질까? 폰을 바꾸거나 잃어버렸을 때 확인할 것

    패스키를 만들면 비밀번호는 없어질까? 폰을 바꾸거나 잃어버렸을 때 확인할 것

    패스키를 만들어도 계정에서 비밀번호가 바로 사라지지는 않습니다. Google 계정 고객센터는 패스키를 추가해도 기존 인증·복구 수단은 바뀌거나 삭제되지 않는다고 안내하고, 비밀번호로 로그인하는 방법도 남아 있다고 설명합니다. 폰을 바꿀 때는 새 기기에서도 패스키를 만들고(Google), Apple 기기라면 iCloud 키체인으로 동기화되는지 확인하면 됩니다(확인일 2026년 10월 12일).

    패스키는 비밀번호와 무엇이 다를까

    패스키는 비밀번호를 대신하는 로그인 수단입니다. 지문, 얼굴 인식, 휴대전화 화면 잠금(PIN 등)으로 로그인하고, Google은 패스키가 비밀번호와 달리 공유하거나 복사하거나 실수로 타인에게 넘길 수 없어 피싱에 더 안전하다고 설명합니다. Apple 지원 문서에 따르면 기기가 계정마다 공개키와 개인키 쌍을 만들고, 서버에는 공개키만 저장되며 개인키는 서버로 전송되지 않습니다. 그래서 서버에서 유출되거나 가짜 사이트에 입력될 비밀번호 같은 값 자체가 없습니다.

    핵심 요약

    패스키, 이것만 알면 됩니다

    ① 패스키란

    비밀번호 대신 지문·얼굴·화면 잠금으로 로그인하는 방식

    ② 비밀번호는

    패스키를 추가해도 기존 인증·복구 수단은 그대로 남음

    ③ 폰을 바꿀 때

    새 기기에서도 패스키를 만들거나, Apple은 iCloud 키체인 동기화 확인

    ④ 잃어버렸다면

    다른 기기로 로그인해 분실 기기의 패스키부터 삭제

    자료: Google 계정 고객센터, Apple 지원 (2026-10-12 확인)

    패스키를 만들면 비밀번호는 정말 없어질까

    아닙니다. 아래 내용은 Google 계정 고객센터 기준입니다.

    • 패스키를 추가해도 기존 인증 및 복구 수단은 변경되거나 삭제되지 않으므로, 기존 수단을 유지하는 것이 중요하다고 안내합니다.
    • 2단계 인증을 설정했다면 패스키를 두 번째 단계로 쓸 수 있고, 비밀번호로 로그인하는 방법도 남아 있습니다.
    • 'Google에 로그인하는 방법'에서 '가능한 경우 비밀번호 건너뛰기'를 끄면 비밀번호로 로그인하게 됩니다.
    • Google Workspace 계정은 패스키만으로 로그인하지 못할 수 있습니다. 이 경우 2단계 인증, 복구 옵션, 일부 민감한 작업의 재인증에는 쓸 수 있습니다.

    폰을 바꿀 때 확인할 순서

    Google 도움말에는 기기 변경 전용 절차가 따로 나와 있지 않습니다. 다만 패스키를 만드는 방법과 조건이 나와 있어 아래 순서로 정리할 수 있습니다.

    점검 순서

    패스키 만들고 정리하는 순서

    1
    휴대전화 화면 잠금을 켜고 OS·브라우저를 최신으로 맞춘다
    2
    내 기기에서 Google 패스키 페이지의 ‘패스키 생성’을 누르고 잠금을 푼다
    3
    기존 비밀번호·복구 수단은 지우지 않고 유지한다
    4
    새 폰을 샀다면 새 기기에서도 같은 방식으로 만든다
    5
    분실·처분한 기기의 패스키는 다른 기기에서 삭제한다

    자료: Google 계정 고객센터 (2026-10-12 확인)

    1. 새 폰의 화면 잠금을 켜고 운영체제와 브라우저를 최신으로 맞춥니다. Google은 Android 9·iOS 16 이상 휴대전화, Windows 10·macOS Ventura 이상 컴퓨터, Chrome 109·Safari 16·Edge 109·Firefox 122 이상을 요구 조건으로 안내합니다.
    2. 새 기기에서 Google 계정의 패스키 페이지(myaccount.google.com/signinoptions/passkeys)를 열고 패스키 생성을 누른 뒤 기기 잠금을 풉니다. 여러 기기에 만들려면 기기마다 반복합니다.
    3. 기존 비밀번호와 복구 수단은 지우지 않고 그대로 둡니다. 새로 만든 패스키는 로그인에 쓸 수 있을 때까지 최대 7일이 걸릴 수 있다고 안내합니다.
    4. Apple 기기는 iCloud 키체인을 사용 설정해야 합니다. Apple 지원 문서에 따르면 패스키는 iCloud 키체인을 통해 내 기기 사이에서 동기화되고, 새 기기는 신뢰된 기존 기기와 페어링하거나 키체인 복구를 거쳐야 동기화 그룹에 참여합니다.
    5. 쓰지 않을 옛 기기를 처분하기 전에 패스키를 삭제합니다. Google 계정은 보안 및 로그인의 '패스키 및 보안 키'에서, iPhone은 iOS 18 이상이면 암호 앱, iOS 17 이하면 설정의 암호에서 지울 수 있습니다.

    Google 계정과 Apple 기기, 이렇게 다릅니다

    비교

    Google 계정 vs Apple 기기

    저장·동기화

    Google 도움말기기마다 패스키를 만들어야 한다고 안내 (여러 기기면 반복)

    Apple 지원iCloud 키체인으로 내 기기 사이에서 동기화

    기기 하나를 잃어버리면

    Google 도움말다른 기기에서 계정에 로그인해 그 기기의 패스키 삭제

    Apple 지원다른 기기에서 패스키를 계속 사용 가능

    전부 잃어버리면

    Google 도움말기존 인증·복구 수단 유지가 중요 (전용 절차는 안내 없음)

    Apple 지원iCloud 키체인 복구: 계정·SMS·기기 암호, 시도 10회 제한

    확인·삭제 위치

    Google 도움말보안 및 로그인 > 패스키 및 보안 키

    Apple 지원iOS 18 이상은 암호 앱, iOS 17 이하는 설정 > 암호

    자료: Google 계정 고객센터, Apple 지원 (2026-10-12 확인)

    폰을 잃어버렸다면

    Google 도움말은 분실하거나 도난당한 기기가 있으면, 접근할 수 있는 다른 기기에서 Google 계정에 로그인해 그 기기의 패스키를 삭제하라고 안내합니다. 기기 잠금을 풀 수 있는 사람은 로그아웃했더라도 패스키가 남아 있으면 계정에 접근할 수 있으므로, 개인 소유 기기에만 패스키를 만들고 공유 기기에는 만들지 않아야 합니다.

    Apple 쪽은 한 기기를 잃어도 다른 기기에서 패스키를 쓸 수 있고, 모든 기기를 잃은 경우에는 iCloud 키체인 복구를 거칩니다. Apple 계정과 비밀번호 인증, 등록한 전화번호로 받은 SMS 응답, 기기 암호 입력이 필요하며 시도는 10회로 제한됩니다. 계정 복구 연락처를 미리 설정해 두면 Apple 계정 비밀번호나 기기 암호를 잊었을 때 도움이 됩니다.

    자주 묻는 질문

    패스키를 만들었는데 계속 비밀번호를 물어보면 어떻게 하나요
    Google 도움말은 로그인 중 '다른 방법 시도'를 자주 고르면 패스키 옵션을 덜 보여 줄 수 있다고 안내합니다. 패스키 옵션이 보이지 않으면 화면 잠금이 켜져 있는지, '가능한 경우 비밀번호 건너뛰기'가 켜져 있는지 확인해 보세요.

    컴퓨터에서 패스키로 로그인하려면 어떻게 하나요
    Google 로그인 화면에서 '다른 방법 시도' 뒤 '패스키 사용'을 고르고, 화면의 QR 코드를 휴대전화로 스캔합니다. 이때 블루투스가 켜져 있어야 합니다.

    내 계정에 로그인된 기기가 궁금하다면 구글 계정에 로그인된 기기 확인하는 법을, 인증 수단 전반을 비교해 보고 싶다면 문자 인증만 쓰고 있다면 체크해야 할 것을 함께 보세요.

    참고 자료

    ※ 이 글은 2026년 10월 12일 기준 Google·Apple 공식 지원 문서를 정리한 것입니다. 지원 기기 조건과 메뉴 이름은 운영체제 버전과 앱 업데이트에 따라 달라질 수 있으니 실제 화면의 안내를 우선 확인하세요.

  • 문자 인증만 쓰고 있다면 체크해야 할 것 — SMS·OTP 앱·보안키 비교

    계정이 지원한다면 패스키나 보안키처럼 피싱 저항성이 있는 방식을 우선 고려하고, 지원하지 않으면 OTP 앱과 계정 복구 수단을 함께 준비하세요. OTP 코드도 가짜 로그인 페이지에 직접 입력하면 탈취될 수 있으므로 완벽한 보호 수단은 아닙니다. SMS는 편리하지만 유심 교체·번호 이동 공격에 취약할 수 있어 가능한 경우 유일한 인증 수단으로 두지 않는 편이 낫습니다.

    2단계 인증이 막아주는 것

    2단계 인증의 핵심 원리는 간단합니다. 비밀번호(아는 것)만으로는 로그인이 되지 않게 하고, 내 손에 있는 기기나 물건(가진 것)으로 한 번 더 확인하는 절차를 추가하는 것입니다. 비밀번호가 유출 사고로 인터넷에 떠돌더라도, 공격자가 추가 인증 수단까지 손에 넣지 못하면 로그인이 막힙니다. 문제는 이 ‘추가 인증 수단’이 방식에 따라 뚫리는 경로가 다르다는 점입니다.

    문자(SMS) 인증 — 가장 익숙하지만 가장 약한 편

    문자로 인증번호를 받는 방식은 설정이 간단해 여전히 익숙한 방식입니다. 하지만 통신망을 거치는 구조 자체가 약점입니다. 대표적인 것이 ‘심 스와핑(SIM swapping)’으로, 공격자가 통신사를 속여 피해자의 번호를 자기 유심으로 옮기면 문자 인증번호도 고스란히 가로챌 수 있습니다. 이 때문에 CISA(미국 사이버보안·기반시설보안국)는 SMS·음성 기반 인증을 ‘가장 약한 형태의 다중 인증’으로 분류하고, 더 나은 대안이 없을 때의 최후 수단으로만 권고합니다. NIST(미국 국립표준기술연구소) 역시 관련 기술 지침에서 SMS를 ‘제한된 인증수단’으로 분류하며, 서비스 제공자에게 번호 이식·유심 변경 등 위험 신호를 확인하도록 권장하고 있습니다. Microsoft Entra의 Microsoft 네이티브 SMS·음성 인증은 일반 대상에 2027년 2월 1일, 전역 관리자·외부 사용자 등에는 2027년 7월 1일 중단 일정이 안내되어 있습니다. 외부 전화 통신 제공자를 이용하는 방식은 별도로 구분해야 하며, 모든 서비스의 문자 인증이 이 날짜에 중단되는 것은 아닙니다.

    인증 방식별 비교

    OTP 인증 앱 — 네트워크를 거치지 않는다는 차이

    구글 OTP(Google Authenticator), 마이크로소프트 Authenticator 같은 앱은 ‘TOTP(시간 기반 일회용 비밀번호)’ 방식을 씁니다. 앱을 처음 등록할 때 서버와 내 기기가 비밀키를 하나 공유하고, 이후에는 그 비밀키와 현재 시각을 조합해 보통 30초마다 새 숫자 코드를 생성합니다. 이 계산이 기기 안에서만 이루어지고 통신망이나 문자메시지를 거치지 않기 때문에, 심 스와핑이나 문자 가로채기 같은 통신망 기반 공격에서 자유롭다는 게 SMS 대비 가장 큰 차이입니다. 다만 가짜 로그인 페이지에 코드를 그대로 입력하게 유도하는 ‘실시간 피싱’에는 여전히 취약할 수 있습니다.

    보안키·패스키 — 피싱에 가장 강한 이유

    FIDO2/WebAuthn 표준을 따르는 보안키나 패스키는 접근 방식이 아예 다릅니다. 등록 과정에서 특정 사이트(도메인) 주소와 암호학적으로 묶인 인증 정보를 만들어내는데, 이를 ‘도메인 바인딩’이라 부릅니다. 가짜 사이트 주소는 원래 등록된 주소와 다르기 때문에, 사용자가 속아서 가짜 사이트에 접속하더라도 인증 자체가 성립하지 않습니다. 코드를 눈으로 보고 옮겨 적는 과정이 없어 실시간 피싱 공격 구조 자체가 통하지 않는다는 점에서, CISA는 이 방식을 ‘피싱 저항형(phishing-resistant)’의 대표 사례로 꼽습니다.

    실제로 뭘 써야 할까

    피싱 저항성 기준에서는 WebAuthn/FIDO2 방식의 보안키·패스키가 유리하지만, 사용 가능한 서비스와 기기·복구 방식에 따라 선택이 달라집니다. OTP 앱은 SMS 통신망 기반 공격을 피할 수 있지만 코드를 가짜 로그인 페이지에 입력하는 실시간 피싱에는 취약합니다. 기기를 분실하면 OTP 백업·계정 복구 절차가 필요하고, 보안키는 예비 키를 마련하지 않으면 복구가 번거로울 수 있습니다. 동기화·백업 지원은 앱과 계정마다 다르므로 등록 전에 확인하세요.

    현실적인 절충안은 최소한 SMS 한 가지에만 의존하지 않는 것입니다. 이미 SMS 인증을 쓰고 있다면 OTP 앱을 2차 수단으로 추가하는 것만으로도 심 스와핑 같은 통신망 공격에 대한 노출을 크게 줄일 수 있습니다. 은행, 이메일, 클라우드 저장소처럼 중요도가 높은 계정은 지원 여부를 확인해 보안키나 패스키까지 등록해두는 것이 가장 안전한 조합입니다.

    2026-10-13 해당 설명 교정 확인: 공식 근거 1