모든 계정에서 SMS 2FA를 passkey로 바꾸는 법

왜 지금 SMS 2FA에서 passkey로 바꿔야 할까?

SMS 코드는 전화망 내부에서 가로챌 수 있지만 passkey는 피싱에 견디도록 설계되었으며, 대형 업체들도 이제 SMS에서 멀어지고 있습니다. Microsoft는 2027년 2월 1일부터 대부분의 업무·학교 계정용 자체 SMS 및 음성 통화 코드를 없앱니다^[1][8].

이 위험은 이론에 그치지 않습니다. 모바일 보안 기업 Enea는 2026년 11월 11일, 자사가 SilentAir라고 부르는 새로 확인된 행위자가 모바일 네트워크에서 악성 위치 업데이트 요청을 이용해 문자와 통화를 가로챘으며, SilentAir와 관련된 네트워크 요소가 최소 6개 아시아 국가에서 발견되었고, 일부 대상에게는 가로채기 직후 2FA 코드가 도착했다고 밝혔습니다^[11]. 전체 내용은 Pouyam 가이드 Is SMS 2FA Safe? What the SilentAir Attacks Show에 있습니다.

공식 지침도 같은 방향을 가리킵니다. 미국 사이버보안·인프라보안국(CISA)은 2024년 12월 표적이 될 가능성이 매우 높은 사람들에게 "SMS를 두 번째 요소로 쓰지 마세요"라고 말했고, FIDO 보안 키와 passkey를 인증 앱보다 위에 두었습니다^[9]. 미국 표준 기관 NIST는 SMS와 음성 통화 코드를 서비스가 대안을 제공해야 하는 "제한된" 인증 수단으로 분류합니다^[10].

passkey는 다르게 작동합니다. 휴대폰, 컴퓨터 또는 보안 키에 저장되는 암호화 키 쌍으로, 얼굴, 지문 또는 화면 PIN으로 잠금을 풀며, FIDO Alliance는 이를 피싱에 강하다고 설명합니다^[8]. 읽어 주거나 전달할 코드가 없으며, Google은 passkey가 비밀번호보다 "피싱에 더 안전하다"고 말합니다^[2]. 모든 방법을 나란히 비교하려면 Two-Factor Authentication Explained: Which 2FA Method Is Safest?를 참고하세요.

어떤 계정이든 SMS 2FA에서 passkey로 바꾸려면?

안전한 순서는 모든 계정에서 같습니다. passkey 지원 여부를 확인하고, passkey를 만들고, 두 번째 로그인 수단을 추가하고, 백업 코드를 저장한 다음, 두 번째 단계의 전화번호를 삭제하고 테스트하세요^[2][3][12]. 백업 단계를 건너뛰는 것이 계정에서 잠기는 가장 흔한 원인입니다.

1. 지원 여부 확인. 계정의 보안 또는 로그인 설정을 열고 "Passkeys"를 찾으세요. 1Password가 운영하는 커뮤니티 디렉터리 passkeys.directory에는 로그인용 또는 두 번째 요소로 passkey를 제공하는 사이트가 나와 있습니다^[12].
2. passkey 만들기. 가장 많이 쓰는 기기에서 만들고 얼굴, 지문 또는 화면 잠금으로 확인하세요^[2][4].
3. 백업 추가. 다른 기기나 하드웨어 보안 키에 두 번째 passkey를 만들거나 인증 앱을 설정하세요. passkey는 기기 간에 안전하게 동기화되거나 한 기기에만 묶여 있을 수 있습니다^[8].
4. 복구 코드 저장. 서비스가 제공한다면 오프라인으로 보관하세요. 예를 들어 Google은 휴대폰을 잃어버렸을 때 쓸 수 있는 인쇄용 백업 코드를 제공합니다^[3].
5. 두 번째 단계의 SMS 삭제. CISA는 더 강한 수단을 등록한 뒤 SMS를 끄라고 권고합니다. 약한 대체 경로가 남아 있으면 효과가 사라지기 때문입니다^[9].
6. 테스트: 설정 페이지를 닫기 전에 로그아웃한 뒤 passkey로 다시 로그인하세요.

일부 서비스는 SMS 로그인 코드를 끈 뒤에도 계정 복구용으로 전화번호를 보관합니다^[9]. 이것이 전환을 미룰 이유는 아니지만, 가능하다면 통신사 PIN이나 번호 이동 잠금으로 휴대폰 회선을 보호할 이유는 됩니다. passkey의 작동 방식은 What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer를 참고하세요.

Google 계정을 passkey로 바꾸려면?

Google 계정 보안 설정에서 passkey를 만든 다음 2-Step Verification을 열어 전화번호를 직접 삭제하세요. passkey를 추가해도 기존 로그인이나 복구 수단은 변경되거나 삭제되지 않기 때문입니다^[2]. Google은 2-Step Verification을 쓰는 계정에서 passkey로 로그인하면, passkey가 기기를 사용자가 제어하고 있음을 확인해 주므로 두 번째 단계를 건너뛴다고 설명합니다^[2].

1. Google 계정으로 이동해 Security & sign-in을 누르고, How you sign in to Google 아래의 Passkeys and security keys를 열어 passkey를 만드세요^[2].
2. 지문, 얼굴 스캔 또는 화면 잠금으로 확인하세요. Google은 Windows 10, macOS Ventura, ChromeOS 109 이상, Android 9와 iOS 16 이상, 그리고 FIDO2 하드웨어 보안 키에서 passkey를 지원합니다^[2].
3. 휴대폰 한 대에 묶이지 않도록 다른 기기에 두 번째 passkey를 만들거나 보안 키를 추가하세요.
4. Security에서 2-Step Verification을 여세요. 백업 코드를 내려받거나 인쇄하세요. Google은 이를 휴대폰을 잃어버렸을 때 쓰는 8자리 코드라고 설명합니다^[3].
5. 2-Step Verification 수단으로 등록된 전화번호를 삭제하거나 Google 메시지 또는 인증 앱으로 바꾸세요.

두 가지 세부 사항이 중요합니다. 첫째, Google이 2-Step Verification용으로 새로 추가한 전화번호를 신뢰하기까지 최대 7일이 걸릴 수 있으며, 신뢰할 수 있는 passkey나 보안 키가 있으면 더 빨라질 수 있습니다^[3]. Google은 기기 잠금을 풀 수 있는 사람은 누구나 로그인할 수 있으므로 본인 소유 기기에서만 passkey를 만들라고 당부합니다^[2]. 둘째, 직장이나 학교의 Google Workspace 계정에서는 passkey만으로 로그인할 수 있는지를 관리자가 결정합니다. 그래도 두 번째 요소와 복구 수단으로 passkey를 만들 수는 있습니다^[2].

Microsoft 계정에 passkey를 추가하려면?

account.live.com/proofs/manage의 Advanced Security Options에 로그인해 Add a new way to sign in or verify를 고른 뒤 Face, Fingerprint, PIN 또는 Security Key를 선택하세요^[4]. 이 페이지는 개인 Microsoft 계정을 다룹니다^[4].

1. passkey를 둘 기기에서 account.live.com/proofs/manage를 열고 로그인하세요^[4].
2. Add a new way to sign in or verify를 고르세요^[4].
3. Face, Fingerprint, PIN 또는 Security Key를 고르고 안내를 따르세요^[4].
4. 제안된 위치에 passkey를 저장하려면 Continue 또는 Create를, 휴대폰이나 보안 키를 고르려면 Save another way를 선택하세요^[4].
5. 무엇이든 삭제하기 전에, Microsoft의 비밀번호 없는 단계가 의존하는 인증 앱을 설정하세요^[5].

Microsoft는 개인 계정이 한 걸음 더 나아가 비밀번호를 없애는 것도 허용합니다. Additional security options에서 Passwordless account 옆의 Turn on을 고르고 인증 앱에서 요청을 승인하세요^[5]. Microsoft는 2단계 인증이 켜져 있을 때 두 가지 복구 수단에 접근할 수 있어야 한다고 안내합니다^[5].

SMS 코드를 멈추려면 같은 보안 영역에서 본인 확인 수단 목록을 검토하고, passkey와 앱이 작동하면 전화번호를 로그인 수단에서 삭제하세요. Microsoft는 휴대폰을 바꾸면 이전 기기에 묶인 수단을 삭제하라고 권합니다^[5].

Microsoft는 업무 계정의 SMS 코드를 없애나?

네, Microsoft가 직접 보내는 코드에 대해서는 그렇습니다. 2027년 2월 1일부터 조직용 Microsoft 로그인 서비스인 Microsoft Entra ID에서 Microsoft가 제공하는 SMS 및 음성 인증이 Global Administrators와 외부 사용자를 제외한 모든 사용자에게서 제거됩니다^[1]. 이 두 그룹은 2027년 7월 1일에 뒤따릅니다^[1].

변화는 이미 시작됐습니다. 2026년 9월 1일부터 passkey가 Entra ID의 기본 인증 방식이 되었고, SMS나 음성 통화가 활성화된 사용자에게 자동으로 켜졌으며, 이들은 로그인 시 passkey 등록을 요청받습니다^[1]. Microsoft 페이지는 SMS와 음성 통화가 "더 이상 안전한 인증 방식으로 자리매김하지 않는다"고 밝힙니다^[1].

사용자에게 의미하는 바:

• 업무 계정이 passkey 설정을 요청하면 수락하세요. Microsoft의 계획은 사용자가 로그인하고 MFA를 완료할 때 passkey 등록을 유도하는 것입니다^[1]. 일반 Microsoft 로그인 페이지 안에 표시된 요청에만 따르세요.
• 조직 설정에 따라 passkey는 Microsoft Authenticator, FIDO2 보안 키, Windows 또는 동기화되는 자격 증명 관리자에 저장할 수 있습니다^[1].
• 내부 게스트 사용자는 늦은 날짜가 아니라 2027년 2월 1일 일정을 따릅니다^[1].
• 어떤 수단이 허용되는지는 정책을 관리하는 IT 부서에 문의하세요.

본인이 시작하지 않은 로그인이나 passkey 요청은 절대 승인하지 말고, 예상치 못한 이메일이나 메시지의 링크로 passkey를 설정하지 마세요.

Apple 계정에 passkey를 쓸 수 있을까?

두 번째 요소로는 쓸 수 없습니다. Apple 계정의 이중 인증은 6자리 확인 코드를 쓰며, Apple이 제공하는 피싱에 강한 강화 수단은 passkey가 아니라 실물 FIDO 보안 키입니다^[7]. 이 기능에 대한 Apple 페이지는 passkey를 언급하지 않습니다^[7].

Apple의 Security Keys for Apple Account 요건은 분명합니다^[7].

• FIDO Certified 보안 키 최소 2개가 필요하며 최대 6개까지 추가할 수 있습니다^[7].
• Apple 계정으로 로그인한 모든 기기에 iOS 16.3, iPadOS 16.3 또는 macOS Ventura 13.2 이상이 필요합니다^[7].
• 이중 인증이 이미 켜져 있어야 합니다^[7].
• 자녀 계정과 Managed Apple Accounts는 지원되지 않습니다^[7].

iPhone에서 Settings를 열고 이름을 누른 다음 Sign-in & Security, Two-Factor Authentication, Security Keys로 들어가 단계를 따르세요^[7]. Apple은 설정 중 사용하지 않는(90일 넘게 쓰지 않은) 기기는 로그아웃되며, 신뢰할 수 있는 기기와 보안 키를 모두 잃으면 계정에 영구히 접근하지 못할 수 있다고 경고합니다^[7]. 보안 키를 모두 삭제하면 계정은 6자리 코드로 돌아갑니다^[7].

Apple은 보안 키를 피싱이나 사회공학 사기 같은 표적 공격으로부터 추가 보호를 원하는 사람을 위해 만든 것이라고 설명합니다^[7].

WhatsApp passkey는 어떻게 설정하나?

WhatsApp에서 Settings를 열고 Account, Passkeys, Create passkey, Continue를 차례로 누른 뒤 화면 잠금으로 확인하세요^[6]. WhatsApp은 비밀번호나 SMS 인증 코드와 달리 passkey는 암호로 보호되며 실제 기기와 생체 정보 또는 화면 잠금이 있어야만 접근할 수 있다고 말합니다^[6].

1. Android에서는 Android 9 이상, 화면 잠금, 그리고 Google Password Manager나 Samsung Password Manager처럼 휴대폰에 연결된 비밀번호 관리자 계정이 필요합니다^[6].
2. WhatsApp을 열고 메뉴를 누른 다음 Settings를 누르세요^[6].
3. Account, Passkeys, Create passkey를 누른 다음 Continue를 누르세요^[6].
4. 요청이 나오면 지문, 얼굴 또는 화면 잠금으로 확인하세요^[6].

WhatsApp은 passkey를 만든 뒤 앱을 다시 설치하면 등록 과정에서 passkey 사용을 요청받을 수 있다고 안내합니다^[6]. passkey를 바꾸려면 삭제한 뒤 같은 메뉴에서 새로 만드세요^[6].

WhatsApp 페이지는 등록 시 passkey가 SMS 코드를 대신한다고 밝히지 않으므로, 추가 보호 장치로 생각하세요. 2단계 인증 PIN도 유지해 두면, 번호를 탈취한 사람도 여전히 본인만 아는 정보가 필요합니다.

SMS 대신 passkey를 지원하는 계정은?

Google, Microsoft, WhatsApp은 SMS 코드보다 강력한 선택지로 passkey를 제공하고, Apple 계정은 대신 보안 키를 쓰며, 많은 소규모 서비스는 아직 SMS나 인증 앱만 제공합니다^[2][4][6][7]. 아래 표는 2026년 11월 15일 기준 각 서비스의 설정 위치를 정리한 것입니다.

지원 현황은 자주 바뀌므로 시작하기 전에 각 서비스의 보안 페이지를 확인하세요. passkeys.directory 디렉터리에는 로그인용 또는 두 번째 요소로 passkey를 지원하는 서비스가 나와 있습니다^[12].

다른 모든 것을 여는 계정부터 먼저 하세요. 주 이메일, 휴대폰의 클라우드 계정(Google 또는 Apple), 비밀번호 관리자, 은행과 업무 계정입니다. 이메일이 뚫리면 공격자는 다른 비밀번호 대부분을 재설정할 수 있습니다.

계정이 passkey를 지원하지 않으면?

SMS 대신 인증 앱을 쓰고, 앱이 작동하면 대체 수단인 SMS를 끄세요^[9]. CISA는 인증 앱의 코드가 여전히 피싱으로 탈취될 수 있어 FIDO 키와 passkey보다 아래에 두지만, 암호화되지 않아 사업자 네트워크에서 가로채이면 읽힐 수 있는 SMS보다는 낫다고 말합니다^[9]. Enea가 SilentAir에 대해 설명하는 통신 신호 체계를 통한 가로채기는 전화망으로 전송되는 메시지를 노리며, 앱 내부에서 생성되는 코드는 여기에 해당하지 않습니다^[11].

• 코드를 백업하거나 새 휴대폰으로 옮길 수 있는 인증 앱을 고르면 휴대폰을 잃어도 잠기지 않습니다.
• 서비스의 복구 코드는 종이에 적어 보관하세요.
• 서비스 고객지원이라고 주장하더라도 전화나 메시지로 연락해 온 사람에게 코드를 절대 읽어 주지 마세요.
• 몇 달 뒤 다시 확인하세요. passkey 지원은 빠르게 확산되고 있으며, Microsoft가 업무 계정에서 SMS를 줄이는 것이 그 방향을 보여 줍니다^[1].

은행이나 공공 서비스가 SMS만 제공한다면 직접 바꿀 수는 없지만 위험은 줄일 수 있습니다. 통신사 PIN으로 휴대폰 회선을 보호하고, 음성사서함 PIN을 비밀로 하며, SIM 바꿔치기(SIM swap)의 신호일 수 있는 갑작스러운 신호 끊김에 주의하세요. 이 글은 일반적인 보안 안내이며, 각 서비스 설정에 대해서는 해당 서비스의 도움말 페이지가 최종 기준입니다.