패스키

개념

패스키는 비밀번호를 대체하는 로그인 방식입니다. Google은 이를 "비밀번호를 대체하는 간편하고 안전한 수단"이라고 설명합니다.

사용자 입장에서 보이는 모습은 아주 단순합니다.

로그인 버튼을 누른다 → 지문을 대거나 얼굴을 보인다 → 끝

비밀번호를 입력하는 단계가 사라집니다. 지문, 얼굴 스캔, 또는 휴대폰 화면 잠금(PIN)으로 로그인합니다.

여기서 중요한 오해 하나를 먼저 풀어야 합니다. 지문이 서버로 넘어가는 것이 아닙니다. 지문은 내 기기의 잠금을 푸는 데만 쓰이고, 서버로 가는 것은 전혀 다른 값입니다.

진행 전 확인과 막힐 때의 대안

패스키를 만들기 전에 기기 잠금과 복구 수단을 확인하세요. 등록 후에는 기존 로그인 기기를 유지한 채 다른 브라우저에서 로그인해 보고, 분실 기기의 패스키는 서비스와 관리자 양쪽 안내에 따라 제거하세요.

Google 계정 공식 안내의 최소 조건은 Android 9·iOS 16·Windows 10·macOS Ventura·ChromeOS 109 이상이며 브라우저는 Chrome 109·Safari 16·Edge 109·Firefox 122 이상입니다. FIDO2 프로토콜을 지원하는 하드웨어 보안 키도 쓸 수 있습니다. 일부 운영체제·브라우저에서는 시크릿 모드에서 패스키를 만들거나 쓰지 못할 수 있습니다. 이는 Google 계정의 패스키 조건이지 운영체제 보안 지원을 보장하는 기준이 아닙니다. Apple 기기는 iCloud 키체인, 다른 기기로 인증할 때는 Bluetooth 등 추가 조건이 있습니다. 학교·회사 계정은 관리자 설정에 따라 지원이 다릅니다. 실제 기기 시험은 하지 않았으므로 등록 전 공식 안내에서 자신의 환경을 확인하세요.

작동 원리

열쇠를 둘로 나눕니다

패스키는 한 쌍의 열쇠로 이루어집니다.

로그인할 때 서버가 문제를 하나 내면, 내 기기가 개인키로 답을 만들어 보냅니다. 서버는 공개키로 그 답이 맞는지만 확인합니다.

핵심은 로그인하는 서비스에 개인키를 전달하지 않는다는 점입니다. 서버에는 공개키만 있으므로, 그 서비스가 해킹당해도 가져갈 비밀번호가 없습니다.

동기화형과 기기 보관형은 다릅니다

「패스키는 다 동기화된다」고 전제하지 마세요. 내가 만든 것이 어느 쪽인지는 등록할 때 어느 관리자·기기를 골랐는지에 달려 있습니다.

FIDO 용어 정리는 기기 보관형(device-bound)을 「하나의 인증기에 묶인 자격증명」으로, 그 열쇠가 기기를 떠날 수 없는 형태로 설명합니다.

Apple은 「패스키는 iCloud 키체인을 사용하여 사용자의 여러 기기에서 동기화됩니다」라고 밝히고, iCloud 키체인이 Apple에도 공개되지 않는 키로 종단 간 암호화된다고 적습니다. 새 패스키를 등록하려면 이중 인증(Apple 표기, 이 사이트의 2단계 인증)이 켜져 있어야 하고, 켜져 있지 않으면 설정하라는 메시지가 표시됩니다. 모든 기기를 잃어도 iCloud 키체인 에스크로로 복구할 수 있으며, 이때 iCloud 계정과 암호로 인증한 뒤 등록된 전화번호로 온 SMS에 응답하고 기기 암호를 입력해야 합니다. 이것은 Apple 안내의 조건이고, 다른 서비스의 복구 절차는 각각 다릅니다.

생체정보의 역할

지문과 얼굴은 서버로 가는 값이 아니라 개인키를 쓸 수 있게 기기를 여는 열쇠입니다. Google은 생체 인식 데이터가 기기에 보관되며 Google과 절대 공유되지 않는다고 명시합니다.

그래서 "지문이 유출되면 어떡하나"는 걱정은 패스키의 구조와는 다른 이야기입니다.

왜 피싱에 강한가

이것이 패스키의 가장 큰 장점입니다.

비밀번호는 내가 어디에 입력하든 값이 그대로입니다. 가짜 사이트에 입력하면 그 값이 그대로 넘어가고, 공격자가 진짜 사이트에 그대로 넣으면 로그인됩니다.

패스키는 다릅니다. 개인키는 어느 사이트를 위한 것인지 함께 기억합니다. 가짜 사이트에서는 애초에 동작하지 않습니다.

Google은 패스키가 "공유, 복사, 기록하거나 실수로 타인에게 전달하는 것이 불가능"하다고 설명합니다. 비밀번호 문서에서 다룬 유출 목록 대입 공격이 패스키에는 통하지 않습니다.

어디에 쓰이는가

이미 쓸 수 있는 곳

Google 계정은 myaccount.google.com/signinoptions/passkeys 에서 패스키를 만들 수 있습니다. "패스키 생성"을 누르고 기기 잠금을 해제하면 끝입니다. 여러 기기에서 쓸 때는 관리자의 동기화 지원 여부를 먼저 확인하세요. 별도 등록이 필요한 기기도 있습니다.

Apple 계정, Microsoft 계정을 비롯해 지원하는 서비스가 늘고 있습니다. 국내 서비스도 하나씩 도입하는 중입니다.

만들자마자 바로 못 쓸 수 있습니다

Google 계정에서 특히 주의할 점이 세 가지 있습니다. 공식 안내에 적혀 있지만 놓치기 쉬운 것들입니다.

패스키를 만드는 것은 비밀번호를 삭제하는 설정이 아닙니다. Google의 ‘가능한 경우 비밀번호 건너뛰기’는 로그인 우선 방식을 정하는 옵션입니다. 기존 비밀번호로도 로그인할 수 있으므로, 새 패스키가 작동하는지 확인하면서 복구 수단을 유지하세요. Google 공식 안내

• 의심스러운 패스키는 30일 안에 확인해야 합니다(Google 계정 조건). Google이 의심스러운 패스키를 감지하면 사용을 중지하고 알림을 보냅니다. 알림을 받은 날부터 30일 이내에 본인이 추가한 것이 맞다고 확인하지 않으면 그 패스키는 계정에서 삭제됩니다.
• 안드로이드 로그아웃 후 패스키 재로그인은 최대 6시간입니다(Google 계정 조건). 그 이후에는 다른 로그인 방법이 필요하며, 다시 로그인하면 기기에서 새 패스키가 자동 생성되고 이전 것은 만료됩니다. 6시간을 기다려야 로그인할 수 있다는 뜻이 아닙니다. 다른 운영체제에는 이 안드로이드 제한을 그대로 적용하지 마세요.

어디에 저장되나

패스키의 저장 위치는 만들 때 선택한 제공자나 보안 키에 따라 다릅니다. 다음은 동기화 관리자의 예이며, 다른 관리자를 선택할 수도 있습니다.

• 아이폰·맥 — 암호 앱
• 안드로이드·크롬 — Google 비밀번호 관리자

같은 계정으로 로그인한 다른 기기에서도 쓸 수 있도록 동기화되는 것이 일반적입니다. 관리 방법은 비밀번호 관리자에 함께 정리했습니다.

지울 때 — 계정에서 제거하는 것과 관리자에서 삭제하는 것은 다릅니다

서비스 계정에서 패스키 등록을 제거하는 것과 패스키 관리자에 보관된 열쇠를 삭제하는 것은 구분하세요.

FIDO의 해당 설계 지침은 계정에서 제거한 뒤 관리자에 남은 항목 정리를 선택 단계로 안내합니다. 계정의 등록 제거가 분실 기기 자체의 초기화나 모든 로그인 세션 종료를 대신하지는 않습니다. 마지막 패스키를 제거할 때는 다른 로그인 수단을 확인하세요.

Google 계정은 만든 방식에 따라 경로가 다릅니다. 직접 만든 패스키는 보안 및 로그인 → 패스키 및 보안 키에서 삭제합니다. Android에서 자동 생성된 패스키는 내 기기 → 모든 기기 관리에서 해당 기기를 로그아웃하도록 안내합니다. 같은 기기 이름의 세션이 여러 개라면 모두 확인하세요. 앞서 설명한 Android 로그아웃 후 최대 6시간 조건도 함께 확인하세요. 삭제 후에도 선택창에 남으면 사용 중인 서드 파티 인증 관리자에서도 삭제합니다.

로그아웃·분실·복구 뒤에 무엇이 남나

• 로그아웃해도 남습니다. Google은 「Google 계정에서 로그아웃하더라도, 패스키가 생성되어 있다면 기기를 잠금 해제할 수 있는 사람은 누구나 내 Google 계정에 액세스할 수 있습니다」라고 밝힙니다. 기기를 넘기거나 팔기 전에 서비스의 패스키 삭제 안내와 기기별 로그인 세션을 확인하세요.
• 기기를 잃었을 때 어느 형태든 분실 기기에 패스키가 남아 있고 잠금 해제 등 사용 조건이 충족되면 악용될 수 있습니다. 안전한 기기에서 해당 패스키를 서비스 안내에 따라 제거하세요. 동기화된 같은 패스키는 다른 기기에서도 사용할 수 없게 됩니다. 기기를 잃어버렸을 때의 원격 잠금·초기화와 로그인 세션 점검도 별도로 진행하세요.
• 비밀번호를 바꾸거나 계정을 복구한 뒤에도 패스키는 서비스가 따로 정리하지 않는 한 그대로 남습니다. 복구가 끝나면 패스키 목록을 직접 열어 모르는 항목을 지우세요. 이 문서는 서비스별로 비밀번호 변경이나 계정 복구가 패스키를 함께 무효화하는지까지는 확인하지 못했습니다. 계정이 해킹됐을 때에서 세션·복구 연락처를 정리할 때 함께 보세요.

2단계 인증과의 관계

Google은 "패스키로 로그인하면 기기를 갖고 있는 것이 확인되기 때문에 두 번째 인증 단계를 건너뛸 수 있다"고 설명합니다. 패스키 자체가 알고 있는 것(기기 잠금)과 갖고 있는 것(기기) 을 함께 확인하기 때문입니다.

다만 비밀번호를 함께 남겨 둔 계정이라면 2단계 인증도 그대로 켜 두어야 합니다. 공격자는 더 약한 쪽을 노립니다.

오해와 주의점

지문이 서버에 저장된다는 오해

가장 흔한 오해입니다. 앞서 설명한 대로 생체정보는 기기에 남고, 서버로 가는 것은 서명값입니다.

비밀번호를 지금 다 없앨 수 있다는 오해

아직 모든 서비스가 지원하지 않습니다. 당분간은 패스키와 비밀번호를 함께 쓰는 기간입니다. 그래서 비밀번호 관리도 계속 필요합니다.

패스키를 만들면 비밀번호가 사라진다는 오해

대부분의 서비스는 패스키를 추가해도 기존 비밀번호를 그대로 둡니다. 즉 약한 경로가 남아 있을 수 있습니다. 패스키만 쓰기로 했다면 그 계정의 비밀번호도 강하게 유지하거나, 서비스가 지원한다면 비밀번호 로그인을 꺼 두세요.

기기를 잃어버리면 끝이라는 오해

어느 형태인지에 따라 다릅니다. 동기화형이면 같은 관리자 계정의 다른 기기에서 그대로 쓸 수 있고, 기기 보관형이면 다른 기기에서 그 패스키를 복원해 쓸 수 없습니다. 분실 기기에 열쇠가 남아 있을 수 있으므로 분실이 삭제를 뜻하지는 않습니다. 안전하게 하려면 두 가지 중 하나를 해 두세요.

• 다른 기기에도 패스키를 하나 더 만들어 둔다
• 그 서비스의 복구 수단(복구 코드, 복구 연락처)을 확인해 둔다

분실 기기의 접근도 막아야 합니다. 기기 보관형과 동기화형 모두 분실만으로 패스키가 삭제되지는 않습니다. 로그인이 되는지만 확인하고 끝내지 말고, 위의 계정 목록 정리까지 하세요.

기기 잠금이 약하면 의미가 줄어듭니다

Google은 이 점을 분명히 적어 두었습니다. Google 계정에서 로그아웃하더라도, 그 기기에 패스키가 있으면 기기를 잠금 해제할 수 있는 사람은 누구나 계정에 접근할 수 있습니다. 로그아웃이 보호막이 되지 않는다는 뜻입니다.

패스키는 기기 잠금을 신뢰하는 구조입니다. 화면 잠금이 없거나 단순한 4자리 PIN이면 그만큼 약해집니다. 아이폰이나 갤럭시 문서의 화면 잠금 항목을 먼저 처리하세요.

공용 기기에서는 만들지 마세요

PC방이나 공용 컴퓨터에 패스키를 만들면 그 기기에 내 계정 열쇠가 남습니다. 개인 기기에서만 만드세요.

신고 기관

아래 기관은 무료입니다. 피해가 진행 중이라면 순서대로 연락하세요.

• 118 상담센터 (한국인터넷진흥원)

  📞 118

  이용 목적 해킹·악성코드에 감염된 것 같을 때, 불법 스팸을 받았을 때, 개인정보가 침해된 정황이 있을 때 상담하는 곳입니다.

  준비할 정보

  • 무슨 일이 언제 일어났는지 (설치·클릭·수신 시각)
  • 화면 사진 — 문자 원문, 앱 목록, 오류 화면
  • 쓰는 기기 종류와 운영체제

  국번없이 118. 공식 안내 기준으로 1번 해킹/바이러스, 2번 보이스피싱/스미싱, 3번 개인정보, 4번 불법 스팸, 5번 ICT 분쟁조정입니다. 2번을 고르면 경찰청(전기통신금융사기 통합신고대응센터)으로 연결됩니다.

  공식 누리집 열기 ↗

  2026-09-09 확인 · 상담 범위와 메뉴 번호를 공식 안내와 대조했습니다. 운영 시간은 공식 안내에 적혀 있지 않아 이 사이트에도 싣지 않습니다.
  제도와 연락처는 바뀔 수 있으니 최신 정보는 공식 사이트에서 확인하세요.

다른 신고·상담 창구도 보기 →

자주 묻는 질문

Q.지문이 서버로 넘어가나요?▾

아닙니다. Google은 지문이나 얼굴 인식에 쓰이는 생체 인식 데이터가 기기에 보관되며 Google과 절대 공유되지 않는다고 밝히고 있습니다. 생체정보는 기기 잠금을 푸는 열쇠로만 쓰이고, 서버로 가는 것은 다른 값입니다.

Q.비밀번호를 아예 안 써도 되나요?▾

아직은 아닙니다. 패스키를 지원하는 서비스가 늘고 있지만 모든 곳이 지원하지는 않습니다. 당분간은 패스키와 비밀번호를 함께 쓰게 됩니다.

Q.휴대폰을 잃어버리면 로그인 못 하나요?▾

어느 형태의 패스키인지에 따라 다릅니다. 동기화형이면 같은 관리자 계정의 다른 기기에서 그대로 쓸 수 있고, 기기 보관형이면 다른 기기에서 그 패스키를 복원해 쓸 수 없습니다. 분실 기기에 열쇠가 남아 있을 수 있으므로 분실이 삭제를 뜻하지는 않습니다. 안전한 기기에서 분실 기기에 있던 패스키를 서비스 안내에 따라 제거하세요. 동기화된 같은 패스키는 다른 기기에서도 사용할 수 없게 되므로 별도 로그인 수단을 확인하세요.

Q.패스키를 지우려면 어디서 지워야 하나요?▾

두 자리가 다릅니다. 서비스 계정의 패스키 목록에서 지워야 그 패스키로 로그인되지 않습니다. 기기의 패스키 관리자에서 지우는 것은 기기에 남은 열쇠를 없애는 것이고 계정 목록을 대신 정리해 주지 않습니다. 계정에서 제거한 같은 패스키는 동기화된 다른 기기에서도 사용할 수 없습니다. 관리자 삭제의 동기화 범위도 확인하세요. Google 자동 생성 패스키는 기기 관리의 로그아웃 경로를 안내하므로 본문의 구분을 따르세요.

Q.2단계 인증과 뭐가 다른가요?▾

2단계 인증은 비밀번호에 한 겹을 더하는 것이고, 패스키는 비밀번호 자체를 대체합니다. Google은 패스키로 로그인하면 기기를 갖고 있는 것이 확인되기 때문에 두 번째 인증 단계를 건너뛸 수 있다고 설명합니다.

Q.패스키가 유출될 수 있나요?▾

비밀번호처럼 코드를 읽어 주는 방식의 피싱에는 강하지만 기기·패스키 관리자 계정이 탈취되는 위험까지 없어지지는 않습니다. 공유 기기에 등록하지 말고 화면 잠금과 관리자 계정의 복구 수단을 보호하세요.