증권앱 로그인, 패스키로 바꿔야 할까
패스키는 서버에 훔칠 비밀번호를 남기지 않고 가짜 사이트에 자격 증명을 넘길 수 없게 설계돼 비밀번호보다 안전하지만, 증권앱의 패스키 지원은 아직 제각각이다. 지원하는 앱이면 켜고, 아니라면 생체인증 로그인과 매매·출금 2단계 인증을 강화하는 것이 현실적인 대안이다. AI 비서에게는 설정 방법을 물어도 되지만 비밀번호와 인증번호 같은 비밀 정보는 어떤 경우에도 입력하지 말아야 한다.
지원하는 곳이라면, 켜는 쪽이 낫다
증권사와 거래소를 겨냥한 해킹 소식이 이어지면서 로그인 방식을 패스키로 바꿔야 하나 고민하는 사람이 늘었다. 결론부터 말하면, 쓰는 서비스가 패스키를 지원한다면 비밀번호보다 안전한 선택이 맞다. 다만 증권앱의 패스키 지원은 아직 제각각이라, "무조건 바꿔라"보다 "지원하면 켜고, 아니라면 생체인증과 2단계 인증을 강화하라"가 현실적인 답이다.
왜 그런지 이해하려면 패스키가 비밀번호와 무엇이 다른지부터 봐야 한다.
서버가 털려도 훔칠 비밀번호가 없다
Miguel Á. Padriñán
패스키는 FIDO 표준에 기반한 '비밀번호 없는' 로그인 방식이다. 비밀번호 대신 암호화 키 한 쌍을 쓰는데, 개인키는 내 휴대폰이나 PC 안에 남고 서버에는 공개키만 저장된다.
핵심 차이가 여기서 나온다. 비밀번호 방식은 서버가 내 비밀을 보관하고 있어, 서버 데이터베이스가 유출되면 그 비밀번호가 통째로 샐 수 있다. 패스키는 서버에 훔칠 비밀 자체가 없다. 최근처럼 기업 전산망이 뚫리는 사고에서 패스키가 주목받는 이유다.
피싱에도 강하다. 패스키의 키는 서비스별로 구분돼 있어, 진짜처럼 꾸민 가짜 사이트에는 자격 증명을 넘겨줄 수 없도록 설계됐다. 입력할 비밀번호가 없으니 가로챌 대상도 없는 셈이다. 로그인할 때 쓰는 지문이나 얼굴, PIN은 기기 잠금을 푸는 용도일 뿐, 생체정보 자체는 기기 밖으로 나가지 않는다.
2단계 인증과는 성격이 다르다
패스키를 기존 2단계 인증(2FA)과 헷갈리기 쉬운데, 둘은 역할이 다르다. 문자나 OTP를 쓰는 2단계 인증은 비밀번호에 한 겹을 '덧붙이는' 방식이다. 반면 패스키는 기기를 가지고 있다는 사실(소유)과 생체·PIN으로 본인임을 확인하는 절차(확인)를 하나로 묶는다. 한 번의 동작에 다중 요소의 효과가 담기는 구조다.
그래서 패스키는 2단계 인증을 대체한다기보다 비밀번호 자체를 대신하는 쪽에 가깝다. 다만 패스키가 규제상 공식 다중 인증 수단으로 인정되는 범위는 아직 정리되는 중이라는 점은 FIDO 측도 인정하고 있다. 당장은 둘 중 하나만 고르기보다, 가능한 보안 장치를 겹겹이 두는 편이 안전하다.
증권앱에서 지금 할 수 있는 것
실제 설정은 다음 순서로 접근하면 된다.
먼저 쓰는 증권사·거래소 앱이 패스키를 지원하는지 공지나 보안 설정 메뉴에서 확인한다. 소비자 서비스 중에서는 카카오가 2024년 11월 카카오계정에 패스키를 도입했고, 네이버 등도 보안 설정에서 패스키를 관리할 수 있다. 반면 금융·증권 앱 다수는 아직 완전한 패스키 대신 간편비밀번호와 생체인증을 묶은 방식을 쓴다.
지원한다면 휴대폰 운영체제나 플랫폼 계정에 패스키를 먼저 등록한 뒤 앱 로그인에 연결한다. 지원하지 않는 앱이라면, 앞 장에서 설명한 원리를 그대로 살려 생체인증 로그인을 켜고 매매·출금에 2단계 인증을 추가하는 것이 차선이다. 어느 쪽이든 로그인·거래 알림까지 켜 두면 이상 접속을 바로 알아챌 수 있다.
AI 비서에게 점검을 맡길 때 넘기면 안 되는 것
이런 설정이 번거로우면 AI 비서에게 "증권앱 2단계 인증 어떻게 켜?"처럼 방법을 물어보는 것은 효율적이다. 메뉴 경로나 용어 설명을 받는 데는 충분히 쓸 만하다.
문제는 '방법'을 넘어 '내 정보'를 넘길 때 생긴다. 다음은 어떤 상황에서도 AI 비서 대화창에 입력하지 말아야 한다.
- 로그인 비밀번호, 간편비밀번호, 계좌·거래 비밀번호
- OTP에 뜬 숫자와 OTP 백업 코드, 보안카드 번호
- 문자나 이메일로 받은 일회용 인증번호
- 공동인증서(공인인증서) 비밀번호
패스키는 이 점에서 오히려 마음이 편하다. 개인키가 기기 밖으로 나갈 수 없는 구조라, 애초에 AI에게 '넘길 수' 없는 정보이기 때문이다. 거꾸로 AI 비서를 사칭한 서비스가 "대신 로그인해 줄 테니 인증번호를 알려 달라"고 요구한다면, 그 자체가 위험 신호다. 설정을 묻는 것과 비밀을 건네는 것은 전혀 다른 일이다.