지난 주말에 부모님 댁에 갔다가 거실 서랍에서 노트 한 권을 발견했어요. 펼쳐보니 이메일, 은행, 아마존 비밀번호가 사이트별로 정리돼 있더라고요.

솔직히 웃음이 먼저 나왔는데, 웃을 처지가 아니었어요. 제 비밀번호도 반은 강아지 이름에 숫자 붙인 거라서요. 보안 의식으로 따지면 저나 부모님이나 거기서 거기입니다.

그래서 그날 오후를 통째로 써서 부모님 폰에 패스키를 설정해 드렸어요. 결론부터 말하면 이건 진짜 worth it이었습니다.

먼저 왜 이게 급한지부터 얘기해볼게요. FBI 인터넷범죄신고센터(IC3)가 올해 4월에 낸 2025년 보고서를 보면, 60세 이상이 신고한 피해액이 77억 달러를 넘었어요.

2024년과 비교하면 59%나 늘어난 숫자예요. 처음 봤을 때 숫자를 잘못 읽은 줄 알고 두 번 확인했습니다.

더 눈에 띄는 건 신고 건수 기준으로 가장 흔한 유형이 피싱과 스푸핑이었다는 점이에요. 가짜 문자나 가짜 사이트로 비밀번호를 빼가는 그 수법이요.

평균 피해액도 1인당 3만 8,500달러였어요. 한 번 당하면 은퇴 자금 한 덩어리가 날아가는 수준이죠.

여기서 제가 좀 날카롭게 말하고 싶은 게 있어요. 우리가 부모님께 해드리는 보안 조언이 대부분 "비밀번호 어렵게 만드세요, 아무 링크나 누르지 마세요"에서 끝나잖아요.

근데 이 방식은 문제가 있어요. 사람한테 매번 완벽하게 의심하라고 요구하는 거라서, 피곤한 날 한 번만 실수해도 끝이거든요.

패스키는 접근 자체가 달라요. 비밀번호를 외우거나 입력하는 대신, 폰에 저장된 암호 키를 지문이나 얼굴 인식, 화면 잠금 PIN으로 꺼내 쓰는 방식이에요.

핵심은 이 키가 진짜 웹사이트 주소에만 묶여 있다는 거예요. 그래서 가짜 은행 사이트에 들어가도 패스키는 아예 작동하지 않아요.

부모님이 속아서 링크를 눌러도, 넘겨줄 비밀번호 자체가 없는 셈이죠. 사람의 판단력에 기대지 않고 구조로 막는다는 점이 제일 마음에 들었어요.

문자로 오는 인증번호는 피싱 사이트가 중간에서 가로챌 수 있다는 지적이 보안 업계에서 꾸준히 나와요. 패스키가 이런 피싱에 강하다고 평가받는 이유가 여기 있습니다.

그럼 어디서부터 설정하냐. 저는 구글 계정부터 했어요. 구글은 2023년 10월부터 개인 계정에서 패스키를 기본 로그인 옵션으로 밀고 있거든요.

안드로이드 폰이면 구글 계정 설정의 보안 메뉴에서 패스키 만들기를 누르면 돼요. 생각보다 너무 간단해서 오히려 허무했어요.

아이폰은 iOS 16 이상이어야 하고, iCloud 키체인이 켜져 있어야 해요. 애플 계정에 이중 인증도 설정돼 있어야 하고요.

저희 부모님 아이폰은 키체인이 꺼져 있어서 여기서 30분을 날렸어요. 업데이트 미루기 장인이신 분들이라 소프트웨어 업데이트부터 했습니다.

설정이 끝나면 로그인할 때 비밀번호 입력창 대신 지문이나 얼굴 인식을 하라는 창이 떠요. 어머니가 처음 보시고는 "이게 끝이야?" 하시더라니까요. 그 반응 보는 순간 오후 반나절 쓴 게 하나도 안 아까웠어요.

아마존도 패스키를 지원해요. 계정 메뉴에서 로그인 및 보안으로 들어가면 패스키 항목이 있고, 거기서 설정 버튼을 누르면 됩니다.

은행 앱은 은행마다 지원 여부와 메뉴 위치가 달라요. 거래하시는 은행 앱 보안 설정에 패스키나 생체 인증 항목이 있는지 직접 확인해 보시는 게 제일 정확해요.

설정하면서 느낀 life hack 몇 가지도 공유할게요. 첫째, 이메일 계정부터 하세요. 다른 계정 비밀번호 재설정이 다 이메일로 오니까 여기가 제일 중요해요.

둘째, 부모님이 직접 손가락을 대게 하세요. 제가 대신 다 눌러드렸더니 다음 날 "그거 어떻게 하는 거였지?" 전화가 왔어요.

셋째, 폰을 잃어버렸을 때를 대비해 복구 방법을 꼭 같이 확인하세요. 복구용 전화번호나 이메일이 옛날 번호로 남아 있는 경우가 의외로 많아요.

넷째, 패스키를 만들었다고 기존 비밀번호가 바로 사라지는 건 아니에요. 사이트마다 비밀번호 로그인이 병행되는 경우가 많으니 비밀번호도 따로 정리해 두시는 게 좋아요.

물론 패스키가 만능은 아니에요. 전화로 손주인 척하거나 기술 지원이라며 돈을 보내게 만드는 사기는 패스키로 못 막아요.

IC3 보고서에서도 투자 사기와 기술 지원 사기 피해가 컸어요. 그러니 "모르는 전화에 돈 얘기 나오면 일단 끊고 자식한테 연락" 같은 가족 룰은 여전히 필요합니다.

그래도 비밀번호를 빼앗기는 경로 하나를 확실히 닫는다는 건 큰 차이예요. 저라면 다음 명절에 모였을 때 한 시간만 따로 빼서 꼭 해드릴 것 같아요.

그 노트는 어떻게 됐냐고요? 아직 서랍에 있어요. 아버지가 "이건 내 보물이다" 하셔서 일단 휴전 중입니다.

대신 노트에 적힌 계정 몇 개는 이제 비밀번호 없이도 지문 한 번으로 열려요. 이 정도면 오후 하나 투자한 보람은 충분하지 않나 싶습니다.