구글, 패스키 전환 권고…비밀번호 대신 기기 잠금으로 로그인한다
AI를 활용하여 생성한 이미지입니다.
컴퓨팅 · 해외 이슈
구글이 비밀번호 대신 패스키를 쓰는 로그인 방식으로 전환하라고 권고했어요. 10월 8일 공개된 안내는 패스키가 지문·얼굴 인식·기기 PIN처럼 스마트폰이나 컴퓨터를 잠금 해제할 때 쓰는 방법으로 로그인하도록 만든다고 설명합니다.[1]
패스키의 장점은 사용자가 긴 비밀번호를 외우지 않아도 된다는 데만 있지 않아요. 구글은 패스키가 일반적인 피싱 공격에 강하도록 설계됐고, 지문이나 얼굴 정보는 기기 밖으로 공유되지 않는다고 밝혔습니다.[1] 다만 기기 잠금이 계정 보안의 일부가 되므로, 화면 잠금과 복구 수단을 함께 관리해야 해요.
패스키는 무엇을 바꾸나
비밀번호 로그인은 사이트에 문자열을 입력하는 방식이에요. 사용자가 같은 비밀번호를 여러 서비스에서 재사용하거나 가짜 로그인 페이지에 입력하면 피해가 커질 수 있습니다. 패스키는 기기 안에 개인 키를 보관하고, 웹사이트에는 공개 키를 등록하는 방식으로 작동해 비밀번호를 직접 입력하는 상황을 줄여요.
| 항목 | 패스키에서 달라지는 점 |
|---|---|
| 로그인 동작 | 지문·얼굴·기기 PIN 등 기기 잠금 방식으로 인증해요.[1] |
| 피싱 대응 | 구글은 패스키가 흔한 온라인 공격에 강하도록 설계됐다고 설명해요. |
| 생체 정보 | 지문과 얼굴 정보는 기기에 남고 구글과 공유되지 않는다고 안내합니다.[1] |
| 복구 | 기기를 잃거나 바꿀 때를 대비해 계정 복구 수단과 다른 로그인 기기를 준비해야 해요. |
기기 잠금이 약하면 효과도 줄어요
패스키 자체가 안전하더라도 스마트폰이나 노트북의 잠금이 쉽게 풀리면 보호 수준이 낮아집니다. 짧은 PIN, 다른 사람이 아는 패턴, 잠금 해제 상태로 기기를 방치하는 습관은 패스키 전환 뒤에도 위험 요소로 남아요.
회사 계정이라면 개인 기기와 업무 기기의 정책도 나눠야 합니다. 조직 관리자가 복구 키와 기기 등록을 어떻게 통제하는지, 퇴사나 기기 교체 때 어떤 세션을 해지하는지 먼저 정해 두는 편이 좋아요. 패스키를 도입한다고 해서 계정 관리 절차 전체가 자동으로 없어지지는 않습니다.
구글 계정에서 설정하는 순서
- 구글 계정의 패스키 설정 화면에서 현재 로그인한 기기를 확인해요.
- 본인이 계속 사용할 스마트폰이나 컴퓨터에 패스키를 만들어요.
- 기기 화면 잠금과 운영체제 보안 업데이트가 최신인지 확인해요.
- 기기를 잃었을 때 사용할 복구 이메일·전화번호와 다른 로그인 수단을 점검해요.
- 공용 컴퓨터나 남의 기기에는 패스키를 새로 만들지 않아요.
패스키 설정을 완료한 뒤에는 계정의 등록 기기 목록을 주기적으로 확인하는 게 좋습니다. 낯선 기기가 보이면 세션을 끊고 비밀번호·복구 수단도 점검해야 해요. Google 계정 외 서비스에서 iPhone·Android 기기에 패스키를 등록하는 기본 흐름은 iPhone·Android 패스키 설정 가이드에서 이어서 확인할 수 있어요.
패스키를 켜기 전에 정할 것
패스키는 로그인 화면의 입력을 줄여 주지만, 계정 복구까지 대신해 주는 기능은 아니에요. 스마트폰을 바꾸거나 노트북을 초기화하면 어떤 기기에 패스키가 남아 있는지 다시 확인해야 합니다. 구글 안내처럼 패스키는 기기 잠금 방식과 연결되므로, 기기를 함께 쓰는 가족이나 동료가 있다면 각자 계정과 잠금 수단을 분리하는 게 먼저예요.[1]
특히 업무 계정은 개인 계정과 다르게 관리해야 해요. 퇴사자나 프로젝트 종료자의 기기에서 패스키를 제거할 절차, 분실 기기의 세션을 끊는 담당자, 복구 이메일과 전화번호를 바꾸는 승인 기준을 미리 정해 두면 문제가 생겼을 때 대응이 빨라집니다. 패스키를 많이 만든다고 보안이 자동으로 좋아지는 것은 아니고, 등록 기기 목록을 계속 관리할 수 있어야 해요.
비밀번호를 바로 지워도 될까
패스키를 만들었다고 해서 비밀번호와 복구 수단을 즉시 없애는 방식은 권하지 않아요. 새 기기에서 패스키가 동기화되지 않거나, 특정 서비스가 아직 패스키 로그인을 완전히 지원하지 않는 경우가 있기 때문이에요. 먼저 다른 기기에서 실제로 로그인할 수 있는지 확인하고, 복구 경로가 살아 있는지 점검한 뒤 사용하지 않는 인증 수단을 정리하는 편이 안전합니다.
공용 PC나 다른 사람의 스마트폰에 패스키를 만드는 것도 피해야 해요. 로그인 편의를 위해 등록한 기기가 계정의 신뢰 경계에 들어오기 때문입니다. 잠깐 로그인할 때는 일회성 인증이나 비공개 브라우저를 이용하고, 사용이 끝난 뒤 계정의 세션 목록을 확인하는 습관이 더 적합해요.
자주 묻는 점
패스키가 비밀번호보다 무조건 안전한가요? 구글은 패스키가 일반적인 피싱 공격에 강하도록 설계됐다고 설명하지만, 기기 자체가 안전하다는 조건이 붙어요.[1] 잠금 PIN을 공유하거나 기기를 잠금 해제한 채 방치하면 보호 효과가 줄어듭니다.
생체 정보가 구글로 전송되나요? 구글 안내에 따르면 지문이나 얼굴 정보는 기기에 남고 구글과 공유되지 않아요.[1] 다만 운영체제와 기기 제조사의 생체 인증 설정은 별도로 확인해야 합니다.
가장 먼저 할 일은 무엇인가요? 계정에 현재 등록된 기기를 확인하고, 계속 사용할 본인 기기에 패스키를 하나 만든 뒤 다른 기기에서 로그인과 복구가 되는지 시험해 보세요. 문제가 없을 때 기존 인증 수단을 줄이는 순서가 좋습니다.
