WhatsApp 6자리 PIN이 비밀번호로 바뀐다—협업 계정 탈취 막는 법

WhatsApp은 2026년 8월 25일 기존 6자리 PIN을 더 긴 2단계 인증 비밀번호로 바꾸고, 한 계정의 복수 패스키와 Android용 미등록 발신자 정보를 도입한다고 발표했다. WhatsApp의 계정 보안 발표 는 새 비밀번호에 영문·숫자·특수문자를 사용할 수 있으며, Android에서는 연락처에 없는 발신자의 국가와 공통 그룹을 확인할 수 있다고 설명한다.

세 기능은 2026년 8월 25일부터 순차 배포되는 상태로, 모든 iOS·Android 계정에 동시에 표시되는 것은 아니다. BleepingComputer의 배포 보도 도 강화된 2단계 인증과 복수 패스키의 출시가 시작됐다고 확인했다. 해외 협업용 계정에서는 기능이 보이는 순서대로 비밀번호, 패스키, 미등록 연락 검증 절차를 정비하면 된다.

6자리 PIN은 더 긴 비밀번호로 바뀐다

이번 변경의 핵심은 문자메시지나 통화로 받는 일회용 등록 코드 뒤에 더 강한 장벽을 두는 것이다. 기존 2단계 인증은 이용자가 정한 숫자 여섯 자리만 받았지만, 새 방식은 더 긴 문자열에 영문·숫자·특수문자를 조합할 수 있다. 누군가 일회용 코드를 알아내더라도 별도의 비밀번호를 맞혀야 하므로 계정 이전을 어렵게 만든다.

여기서 말하는 비밀번호는 휴대전화 잠금을 풀거나 WhatsApp을 실행할 때마다 입력하는 번호가 아니다. 새 기기에서 전화번호를 다시 등록할 때 추가로 요구되는 WhatsApp의 2단계 인증 정보다. 일회용 등록 코드, 휴대전화 화면 잠금, 2단계 인증 비밀번호는 역할이 다르므로 같은 문자열을 재사용하면 한 번의 노출이 여러 방어선을 함께 약화시킨다.

새 항목이 활성화되면 공개 프로필에서 짐작할 수 없는 고유한 비밀번호로 기존 PIN을 교체하는 것이 우선이다. 채널명, 생일, 전화번호 일부, 협찬 브랜드명처럼 메일이나 소셜미디어에 드러나는 정보는 피하고 비밀번호 관리 도구에 보관한다. WhatsApp은 이번 발표에서 최소 길이나 필수 문자 조합을 구체적으로 밝히지 않았으므로, 앱이 실제로 제시하는 조건을 따르되 다른 서비스에서 쓰지 않은 긴 조합을 선택해야 한다.

Android와 iOS를 함께 쓰면 패스키를 나눠 등록한다

복수 패스키는 하나의 WhatsApp 계정에 둘 이상의 패스키를 추가하는 기능이다. 패스키는 지문, 얼굴 인식 또는 기기의 화면 잠금으로 본인임을 확인해 계정에 다시 로그인하게 한다. 공식 설정 경로는 설정 → 계정 → 패스키다.

Android 기기와 iPhone을 함께 쓰는 이용자는 각 환경에서 사용할 패스키를 계정에 추가할 수 있다. 한 기기나 한 운영체제의 자격 증명에만 의존하지 않아도 된다는 뜻이다. 다만 복수 패스키를 여러 팀원의 공용 로그인 수단으로 해석해서는 안 된다. 각 패스키는 계정 책임자가 통제하는 기기와 화면 잠금 체계에 연결해야 한다.

먼저 주 기기에서 패스키를 만든 뒤, 두 운영체제를 실제로 사용하는 경우 다른 기기에서도 추가 등록을 진행한다. 기기를 교체하거나 처분할 때에는 이전 기기의 화면 잠금만 지우지 말고 WhatsApp 계정에 남아 있는 인증 수단도 확인해야 한다. 2단계 인증 비밀번호와 패스키는 대체 관계가 아니므로 둘 중 하나를 설정했다는 이유로 다른 하나를 생략할 필요는 없다.

Android 발신자 정보는 확인 단서일 뿐이다

Android에서는 연락처에 저장되지 않은 번호로 전화가 올 때 다른 국가의 번호인지, 발신자와 공통으로 참여한 그룹이 있는지 볼 수 있다. 해외 에이전시나 제작사와 연락하는 계정에는 전화를 받기 전에 맥락을 확인할 수 있는 단서가 하나 더 생긴다. 이번 발표에서 이 기능은 Android에 한정됐으며 iPhone의 동일한 제공 여부는 확인되지 않았다.

국가와 공통 그룹은 상대의 신원을 인증하지 않는다. 정상적인 해외 담당자가 다른 국가 번호를 사용할 수 있고, 사칭 계정도 공개 그룹에 참여해 공통 그룹을 만들 수 있다. 반대로 예상한 국가 번호이거나 공통 그룹이 있다는 이유만으로 안전한 연락이라고 판단해서도 안 된다.

미등록 번호가 협찬 담당자를 자처하며 등록 코드, 2단계 인증 비밀번호, 패스키 승인 또는 계정 이전을 요구하면 통화를 중단하고 별도 경로에서 신원을 확인해야 한다. 상대가 그 대화에서 새로 알려준 번호가 아니라 회사 공식 도메인의 이메일, 기존 계약서 또는 이미 확인된 담당자 연락처를 사용한다. 캠페인 자료를 주고받는 절차와 계정 소유권을 증명하는 절차는 분리하는 것이 안전하다.

협업용 계정은 이 순서로 설정한다

해외 협업용 번호에서는 여러 사람이 편의를 위해 인증 정보를 공유하는 순간 새 기능의 효과가 약해진다. 계정 소유 번호와 인증 수단을 관리할 책임자를 정하고, 팀 대화방에는 등록 코드나 비밀번호를 남기지 않는 것이 기본 원칙이다.

1. WhatsApp을 최신 버전으로 업데이트하고 2단계 인증 설정에 새 비밀번호 항목이 활성화됐는지 확인한다.
2. 항목이 보이면 기존 6자리 PIN을 다른 서비스에서 사용하지 않는 긴 비밀번호로 교체해 안전하게 보관한다.
3. 설정 → 계정 → 패스키에서 주 기기의 패스키를 만들고, Android와 iOS를 모두 사용한다면 본인이 통제하는 다른 환경에도 패스키를 추가한다.
4. 팀원이 메시지 응대를 맡더라도 등록 코드, 2단계 인증 비밀번호와 패스키 승인은 계정 책임자만 처리한다.
5. Android의 국가·공통 그룹 정보는 통화 판단 자료로만 쓰고, 협찬 담당자의 신원은 기존 공식 연락 경로에서 다시 확인한다.

새 비밀번호 항목이나 복수 패스키가 아직 보이지 않는다면 기존 2단계 인증을 먼저 해제할 이유는 없다. 현재 설정을 유지하고 앱 업데이트와 기능 활성화 여부를 다시 확인하면 된다. 순차 배포이므로 같은 팀에서도 기기와 계정에 따라 설정 화면이 다를 수 있다.

이미 탈취됐다면 비밀번호 변경만으로는 부족하다

요청하지 않은 등록 코드가 도착했다고 해서 곧바로 계정이 탈취됐다는 뜻은 아니지만, 누군가 해당 전화번호로 등록을 시도했을 가능성은 있다. 코드를 누구에게도 전달하지 말고, 본인이 시작하지 않은 패스키 요청도 승인하지 않는다. 동료나 협업 상대가 내 계정에서 송금·코드·파일 요청을 받았다고 알려오면 별도 채널로 해당 요청에 응답하지 말라고 알려야 한다.

이미 다른 사람이 계정을 사용하고 있다면 2단계 인증 비밀번호만 바꿔서는 그 사람을 내보낼 수 없다. WhatsApp의 계정 복구 안내 에 따르면 본인 번호로 다시 로그인해 SMS나 전화로 받은 6자리 코드를 입력하고 계정을 재등록해야 기존 로그인 기기들이 자동으로 로그아웃된다. 이후 연결된 기기와 보안 설정을 점검한다.

전화번호 자체에 통신 중단이나 본인이 요청하지 않은 SIM 변경이 발생했다면 먼저 이동통신사에서 번호 통제권을 회복해야 한다. WhatsApp 계정 복구에는 같은 전화번호로 인증 코드를 받을 수 있는 상태가 필요하기 때문이다. 2026년 8월 25일 발표에서 국가별 배포 완료일은 제시되지 않았으므로, 앞으로 확인할 부분은 새 인증 항목이 각 계정에 실제로 활성화되는 시점이다.