패턴, PIN, 지문, 얼굴 인식 - 스마트폰 잠금, 진짜 안전한 순서는?

여러분은 어떤 스마트폰 잠금 방식을 사용하고 계시나요?

• 0000으로 된 PIN 번호?

• 내 최애의 생일로 이뤄진 PIN 번호?

• 아니면 L, Z, N 모양의 패턴 잠금?

패턴은 조합 수가 워낙 많으니까 4자리 PIN보다는 안전하다고 생각하실 수도 있어요. 실제로 안드로이드 3x3 패턴의 조합은 이론적으로 389,112가지나 돼요. 하지만 2017년 SysPal 연구 결과에 따르면, 안드로이드가 허용하는 최대 시도 횟수인 20회 안에 패턴의 32.5%를 맞힐 수 있다고 해요.

지문도 마찬가지인데요. 15달러짜리 회로 기판 하나로 안드로이드 지문 잠금을 최단 45분 만에 해제한 연구가 2023년에 발표됐어요. 이론상 안전해 보이지만 실제로는 안전하지 않을 수도 있다는 뜻인데요.

이번 글에서는 패턴, PIN, 지문, 얼굴 인식 네 가지 잠금 방식이 실제로 안전한지 확인해 볼게요. 어떤 방식이 왜 뚫리기 쉽고, 어떤 방식이 안전한지 알아본 다음 내 스마트폰은 어떻게 설정해야 하는지까지 확인해 보세요.

읽기 전에, 내 잠금 화면은 안전할까요?

어떤 잠금 방식이 더 안전한지 확인하기 전에, 내가 쓰는 방식부터 점검해 볼게요.
같은 방식이라도 어떻게 설정하는지에 따라 안전할 수도, 그렇지 않을 수도 있거든요.

• 4~5개 점만 연결하는 짧은 패턴 잠금을 쓴다

• 패턴이 L, Z, N 같은 알파벳 형태이거나 왼쪽 상단 모서리에서 시작한다

• PIN이 4자리이고 생년월일이나 연속된/동일한 숫자 조합이다 (예, 1234, 8888)

• 지문만 등록하고 백업 PIN은 간단하게 설정했다

• 얼굴 인식만 켜놓고 이게 카메라 방식인지, 3D 방식인지 확인해 본 적 없다

• 잠금 실패 시 데이터 삭제 기능이 꺼져 있다

체크한 항목이 있다면 그 설정이 왜 위험한지 아래에서 하나씩 확인해 보세요.

생각보다 쉽게 뚫리는 패턴 잠금

앞서 본 것처럼 38만 가지가 넘는 패턴이 어떻게 단 20번의 시도만으로 32.5%나 뚫릴 수 있을까요?

Uellenbeck의 연구(CCS 2013)에 따르면 사용자의 77%가 네 모서리 중 한 곳에서 패턴을 시작했고, 그중 44%는 왼쪽 상단에서 시작한다고 해요. 4~5개 점만 쓰는 짧은 패턴도 전체의 65%를 차지했어요. 사용할 수 있는 조합은 수만 가지지만 실제로 쓰는 조합이 몇 개 없는 셈이죠.

패턴은 별도의 장비 없이도 유추할 수 있는데요. 화면을 만지면 손가락 유분이 흔적을 남기는데, 이걸 특수 조명으로 촬영하면 이상적인 조건에서 68%의 패턴이 완전히 복원돼요. 옆에서 한 번 보는 것만으로도 6개 점 패턴의 64.2%가 파악되지만(ScienceDirect의 1,173명 대상 연구), 화면에 선 표시를 꺼두면 이 수치가 35.3%로 줄어든다고 해요.

이렇게 주변 사람의 화면이나 손동작을 훔쳐보는 걸 숄더 서핑(Shoulder Surfing)이라고 해요. 카페, 지하철, 공항처럼 사람이 많은 공간에서 가장 흔하게 일어나는 정보 노출 경로 중 하나예요.

더 놀라운 연구 결과도 있어요. 2017년 랭커스터 대학 공동 연구팀은 스마트폰 카메라로 2.5미터, DSLR 카메라로 9미터 떨어진 곳에서 사용자의 손가락 움직임만 촬영해도 5회 시도 안에 95% 이상 패턴을 알고리즘으로 복원해냈어요. 화면이 안 보여도 손이 움직이는 궤적만으로 알아볼 수 있는 것이죠.

패턴 잠금은 옆에서 한 번 보거나 화면에 남은 지문 자국을 찍거나 멀리서 손 움직임만 봐도 뚫리는 것처럼 별도 장비, 돈이 필요 없다는 점이 가장 큰 약점이에요.

자릿수보다 중요한 것, PIN 잠금

패턴이 옆에서 보는 것만으로 뚫린다면, PIN은 어떨까요?
4자리 PIN의 경우의 수는 10,000가지, 6자리는 1,000,000가지로 패턴보다 훨씬 많아 보이죠. 하지만 여기도 편향이 존재해요. 유출된 신용카드 PIN 340만 건을 분석한 연구(Data Genetics, Nick Berry, 2012)에 따르면 1234가 전체의 약 11%를 차지했어요. 약 374,000개의 신용카드 PIN 번호가 1234였다는 것이죠. 스마트폰 PIN만 따로 분석한 연구에서도 유사한 결과가 확인됐어요. 카드든 폰이든 사람이 설정하는 숫자 4~6자리는 유사하다는 것이죠.

그러니 생일, 반복되는 숫자, 1234 같은 뻔한 조합만 피해도 예측 공격에 대한 방어는 충분히 돼요.

다만 PIN은 패턴과 다른 지점이 있어요. 패턴은 화면을 직접 터치하지 않고 비밀번호를 알아낼 수 있다면, PIN은 기기에 직접 입력해 봐야 해요. 그래서 어떤 번호를 쓰는지 만큼 기기가 그 시도를 얼마나 잘 막아주는지도 안전도에 영향을 줘요.

아이폰의 PIN 보안

법 집행기관이 사용하는 포렌식 장비(GrayKey)로 구형 아이폰의 4자리 PIN은 평균 6.5분, 늦어도 13분 만에 풀렸어요(AppleInsider, 2018). 반면 iPhone SE 2020(A13칩) 이후 모델은 192일이 걸리고, iPhone 12(A14칩) 이후 모델은 아직 알려진 방법도 없다고 해요(ElcomSoft, 2025).

아이폰은 몇 번 틀리면 새로운 시도까지 기다려야 하는 시간이 점점 길어지죠. 이 대기 시간은 아이폰을 통째로 조작해도 건너뛸 수 없게 설계돼 있어요. 특히 10회 이상 틀렸을 경우 기기가 비활성화되기 때문에 섣불리 여러 비밀번호를 시도하며 해킹하기도 어렵죠.

안드로이드의 PIN 보안

갤럭시나 구글 픽셀 최신 모델은 어떨까요? 포렌식 업체 Cellebrite의 내부 기기 지원 목록을 보면 픽셀 6 이상은 PIN을 무작위로 시도하는 방법 자체가 지원 안 됨으로 나와 있어요(2025년 유출 문서). 삼성도 Knox Vault라는 비슷한 안전장치로 아이폰과 비슷한 기능이 있어요. PIN을 틀릴 때마다 대기시간이 길어지고 기기를 통째로 조작해도 건너뛸 수 없게 만들어져 있어요. 다만 이건 최신 모델의 경우기 때문에 이전 모델 기기는 여전히 취약할 수 있어요.

정리하면 뻔한 PIN을 피하는 것과 최신 기기를 쓰는 것 모두 도움이 되지만, 둘 다 없어도 PIN은 패턴만큼 쉽게 뚫리진 않아요. 옆에서 한 번 보거나 화면 자국만으로 파악할 수 있는 패턴과 달리 PIN을 뚫기 위해선 일단 기기를 직접 손에 넣는 물리적 접근과 시간이 필요해요.

위조가 쉬운 지문 잠금

몸의 일부인 지문은 안전할까요? 결론부터 말하면 지문도 위조할 수는 있어요.

지문 센서에 여러 종류가 있는데요. 가장 흔한 건 전원 버튼에 들어있는 정전식 센서로 보급형 안드로이드 폰에서 특히 많이 사용해요. 화면 안에 들어있는 센서는 두 종류가 있는데 빛으로 지문을 찍는 광학식이 더 흔하고, 초음파로 지문의 입체 모양까지 읽는 초음파식 센서는 삼성 갤럭시에 주로 사용된다고 해요. 이론적으로는 초음파식이 가장 강력하다고 평가받고 있어요. (참고로 아이폰은 2017년 이후 지문인식이 아닌 얼굴 인식으로 넘어갔다고 해요.)

스마트폰 센서는 어떤 방식이든 손가락 전체가 아니라 일부만 인식하는데요. 여러 사람의 지문 조각을 조합한 가짜 지문(마스터 지문)을 만들면 그중 한 조각만 일치해도 진짜 손가락으로 인식해서 여러 사람이 잠금을 풀 수 있어요. 뉴욕대와 미시간주립대 연구팀이 2018년에 가짜 지문을 만들어 실험했고 피험자의 77%가 잠금을 풀 수 있었어요.

2023년 한 연구팀은 15달러짜리 회로 기판 하나로 안드로이드 지문 잠금을 40분 만에 열었어요. 지문 인증을 일부러 중간에 취소시켜서 실패로 기록되지 않게 만드는 방식이었어요. 지문 데이터가 오가는 구간이 암호화돼 있지 않았기 때문에 가능했던 공격이에요.

옆에서 보기만 해도 뚫리는 패턴과 달리 지문은 최소한 회로 기판이나 위조 재료 같은 도구, 기기에 대한 직접 접근이 필요합니다.

사진 한 장으로 열리는 얼굴 인식

얼굴 인식도 대표적으로 두 종류가 있는데요. 대부분의 안드로이드 폰은 사진을 찍듯 얼굴을 평평하게 저장해요. 아이폰의 Face ID는 얼굴에 적외선 점을 3만 개 이상 쏴서 입체 모형을 만들어요. 평면으로 저장하는 방식은 구조상 인쇄한 사진으로 잠금이 풀리는지 시도해 볼 여지가 생기고 입체로 확인하는 방식은 가능성이 낮아져요.

실제로 영국 소비자단체 Which?가 인쇄한 사진 한 장으로 얼굴 인식 테스트를 했을 때 64%가 잠금이 풀렸어요. 위조 사진을 얼마나 꼼꼼히 걸러내는지에 따라 결과가 갈리는데요. 같은 제조사에서도 이전 기종은 사진 한 장에 뚫렸지만, 다음 기종은 막아낸 사례가 있어요. 제조사가 더 정교하게 거를 수 있도록 발전하고 있다고도 볼 수 있죠. 다만 아직은 이런 사례가 일부일 뿐, 연구 결과에 따르면 대다수의 폰은 여전히 사진 한 장에 뚫리고 있어요.

한편 구글은 얼굴 인식을 보안 등급이 낮다고 판단해 은행 앱이나 결제 인증을 아예 할 수 없게 막아뒀어요. 얼굴 인식만 믿고 결제나 금융 앱까지 맡기기엔 아직 안전하지 않다는 뜻이죠.

잠금 방식별 위험 난이도 한눈에 비교

네 가지 잠금 방식의 공격 조건과 위험도를 정리하면 다음과 같아요.

어차피 위험하면, 꼭 잠금 방식을 써야 할까?

여기까지 읽으면 잠금 방식이 다 위험한 거 아닐까 생각이 들 수도 있어요. 하지만 이 글에서 본 공격들을 다시 보면 대부분 위조 재료, 전문 장비, 특정 조건처럼 뭔가가 갖춰져야 가능했죠. 잠금을 아예 안 걸면 이런 조건 자체조차 필요 없어져요. 폰을 우연히 주운 사람이든 잠깐 곁눈질을 하는 사람이든 화면만 켜면 다 볼 수 있거든요.

한국갤럽 조사에 따르면 2025년 기준 국내 모바일뱅킹 이용률이 79%라고 해요. 웬만한 사람은 휴대폰 하나로 계좌까지 열어볼 수 있다는 뜻이죠. 요즘 폰에는 지킬 게 훨씬 많아졌어요.

보안은 원래 편리함과 안전이 서로 줄다리기하는 영역이기도 해요. 완벽한 잠금은 없지만 아예 안 거는 것과 조금 불편해도 거는 것의 차이는 훨씬 커요. 아래 방법들로 그 격차를 최대한 좁혀보세요.

잠금 화면 보안을 높이는 방법

지금까지 본 것 중에는 특수한 기기나 위조 지문처럼 실제 기술이 필요한 공격도 있는데요. 그런 복잡한 기술 없이 실제로 사람들이 많이 쓰는 뻔한 패턴과 PIN으로 인해 뚫리는 경우도 많아요. 게시글 초반 체크리스트에서 말했던 L자 패턴, 생일 PIN처럼요. 어떻게 설정하는 게 효과적인지 방법을 확인해 보세요.

• [패턴] 선이 그려지는 표시를 꺼두세요.

  • 이 설정만으로 숄더 서핑 성공률이 64.2%에서 35.3%로 줄어요.

• [패턴] 점은 6개 이상, 모서리가 아닌 곳에서 시작하면 좋아요.

• [PIN] 생일, 연속된 숫자 대신 무작위 6자리를 사용하세요.

• [PIN] 여러 번 틀리면 기기가 초기화되는 기능을 켜두세요.

  • iOS는 Face ID 및 암호에서 갤럭시는 보안 잠금 설정에서 켤 수 있어요.

  • 둘 다 기본값은 꺼짐이라 직접 켜야 해요.

• [지문], [얼굴 인식] 강한 PIN(6자리 이상)을 함께 사용하세요.

  • 생체 인증이 실패하면 PIN으로 넘어가기 때문에, 지문이나 얼굴이 위조돼도 두 번째 안전장치를 이용할 수 있어요.

• 결제나 은행 앱과 같이 중요한 서비스는 얼굴 인식, 지문보다 PIN을 쓰세요.

  • 평면 방식 얼굴 인식은 여전히 사진 한 장에 뚫릴 위험이 있어요.

  • 구글도 보안 얼굴 인식으로 결제 인증하는 것을 막은 만큼 유의하면 좋아요.

• 현재 쓰고 있는 기기의 설정 방식을 확인해 보세요.

  • 얼굴 인식이 카메라 방식인지, 3D 방식인지 확인해 보는 것도 좋아요.

  • PIN이나 지문처럼 조금 더 안전한 방식을 이용하는 게 좋아요.

처음 질문으로 돌아가 볼까요? 0000으로 된 PIN, 최애 생일로 만든 PIN, L-Z-N 모양 패턴, 이 중 하나가 내 얘기였다면 이제는 왜 위험한지, 어떻게 바꾸면 되는지 아셨을 거예요.

완벽하게 안전한 잠금 방식은 없어요. 하지만 오늘 짚어본 설정 몇 가지만 바꿔도 실제 위험은 크게 줄어들어요.

이렇게 잠금 화면 하나만 봐도 이론과 실제 사이에 틈이 존재해요. 보안에 관심 있거나 일상 속 더 안전한 방식을 찾아보고 싶다면, 드림핵의 필수 보안 의식 함양 Path를 확인해 보세요.