One UI 9 비밀번호 13회 실패하면? 자동삭제 아닌 영구 잠금·초기화 기준

One UI 9에서 집계되는 잠금 해제 실패가 13회에 이르면 기기는 영구 잠금 상태가 되고, 다시 사용하려면 공장 초기화가 필요하다. “13회 틀리면 사진이 즉시 자동삭제된다”는 설명은 정확하지 않다. 삼성의 공식 문구는 자동삭제가 아니라 영구 잠금이다. 다만 잠금을 풀 유일한 길인 공장 초기화가 로컬 데이터를 지우므로, 백업하지 않은 사용자에게 최종 결과는 매우 무겁다.

13회

영구 잠금 기준집계되는 실패 횟수

24시간

12회 실패 뒤 대기다음 입력 전 제한

72시간

생체인증 사용자도 PIN 요구Android 강력한 인증

3회

이전 잠금정보 오답 한도해당 복구 기능 이용 시

13번째 실패 순간에는 정확히 무슨 일이 생기나?

삼성전자 한국어 One UI 페이지의 문장이 기준이다. 공식 FAQ는 “13회 실패 후에는 갤럭시 모바일 기기가 영구적으로 잠금 상태가 되며, 공장 초기화를 통해서만 잠금 해제가 가능”하다고 적었다. 필리핀 삼성의 2026년 7월 25일자 One UI 9.0 잠금 화면 보안 정책 안내도 13번째 실패에서 기기가 영구 잠기고 공장 초기화로만 다시 열 수 있다고 같은 내용을 확인한다.

여기서 **잠금(lock)**과 **삭제(erase)**를 분리해야 한다. 삼성은 13번째 실패 직후 저장공간을 자동으로 포맷한다고 쓰지 않았다. 기기에 들어가지 못하도록 영구 잠그고, 사용자가 다시 쓰려면 별도의 공장 초기화 절차를 거치라고 안내했다. 공장 초기화는 앱, 사진, 내려받은 파일, 계정과 설정 등 기기 안의 데이터를 지운다. 즉 사건의 순서는 13번째 집계 실패 → 영구 잠금 → 재사용하려면 공장 초기화 → 로컬 데이터 삭제다.

이 구분은 말장난이 아니다. 자동삭제라면 13번째 입력과 동시에 복구할 틈 없이 데이터가 사라진다는 뜻이다. 영구 잠금이라면 데이터가 기기 안에 남아 있을 수 있어도 사용자가 정상적인 방법으로 접근할 수 없고, 삼성도 로컬 PIN을 원격으로 읽거나 되찾아 주지 않는다. 삼성 공식 지원문은 잊어버린 PIN·패턴·비밀번호를 회사가 원격 조회·복구할 수 없다고 못 박았다. 백업이 없다면 잠긴 채 보관하느냐, 초기화해 기기를 되살리느냐의 불편한 선택만 남는다.

단계	기기 동작	데이터 상태	사용자가 할 수 있는 일
1~4회 집계 실패	즉시 재시도 가능 범위	로컬 데이터 유지	입력을 멈추고 기억 확인
5~12회 집계 실패	1분에서 24시간까지 입력 제한	로컬 데이터 유지	제한시간 대기, 이전 잠금정보 기능 확인
13회 집계 실패	영구 잠금	자동삭제로 안내되지는 않음	재사용하려면 공장 초기화
공장 초기화 실행	초기 설정 상태로 복귀	기기 내 개인 데이터 삭제	백업 복원, 기존 계정으로 소유권 인증

‘13회’는 화면을 무심코 13번 두드린 횟수와 항상 같지도 않다. 동일한 오답의 연속 입력은 스마트 카운팅에서 중복 제외될 수 있다. 그 계산법은 뒤에서 따로 보자.

5회부터 12회까지 대기시간은 어떻게 늘어나나?

삼성이 공개한 계단은 가파르다. 5번째 집계 실패 뒤 1분, 6번째 5분, 7번째 15분, 8번째 30분, 9번째 90분, 10번째 4시간, 11번째 12시간, 12번째 24시간이다. 한국 삼성과 삼성 인도 One UI 공식 페이지에 같은 값이 실려 있다.

5회1분

6회5분

7회15분

8회30분

9회90분

10회240분

11회720분

12회1,440분

자료: 삼성전자 One UI 9 공식 FAQ·잠금 화면 보안 정책(2026-07)

One UI 9 잠금 해제 실패 횟수별 입력 제한

5회	1분
6회	5분
7회	15분
8회	30분
9회	90분
10회	240분
11회	720분
12회	1440분

막대가 초반에는 거의 안 보이는 이유가 이 정책의 핵심이다. 9회에서 90분이던 대기가 10회에 240분, 11회에 720분, 12회에 1,440분으로 뛴다. 공개된 각 단계의 제한시간을 단순히 더하면 5회부터 12회까지 2,541분, 42시간 21분이다. 이는 모든 단계의 타이머를 차례로 기다렸다고 가정한 산술값이지 삼성이 별도로 제시한 ‘누적 잠금시간’은 아니다. 그래도 공격자가 짧은 시간에 13개 후보를 연속 대입할 수 없다는 구조는 분명하다.

왜 5회부터 속도를 줄일까. 4자리 숫자 PIN만 해도 0000부터 9999까지 1만 가지다. 입력 속도를 제한하지 않으면 자동화 장비가 경우의 수를 빠르게 훑을 수 있다. 13개의 집계된 후보만 허용하고, 후반으로 갈수록 시간을 기하급수적으로 늘리면 무차별 대입의 경제성이 크게 떨어진다. 삼성은 이것을 “모든 경우의 수를 순차적으로 시도해 비밀번호를 추측하는 무차별 공격”을 막기 위한 조치라고 설명한다.

사용자에게는 경고 장치도 있다. 필리핀 삼성 안내는 특정 실패 문턱에 도달하면 잠금 화면에 남은 시도 횟수를 정확히 표시하고, 반복해서 틀린 입력에 명시적인 안내 문구를 보여 준다고 한다. 9회 이후라면 기억을 더듬으며 한 번 더 누를 때가 아니다. 화면에 남은 횟수가 보이는 순간 입력을 멈추고 백업 계정과 이전 잠금정보 복구 가능성을 먼저 확인해야 한다.

어떤 갤럭시부터 이 정책이 적용되나?

2026년 7월 26일 현재 가장 안전하게 확정할 수 있는 범위는 One UI 9으로 처음 출시된 세 모델이다. 삼성전자 한국어 페이지는 갤럭시 Z 폴드8 울트라, 갤럭시 Z 폴드8, 갤럭시 Z 플립8에 One UI 9이 우선 적용됐고 다른 갤럭시 기기로 순차 확대될 예정이라고 밝혔다. 삼성 글로벌 뉴스룸의 7월 22일 신제품 발표도 새 Z 시리즈의 운영체제를 Android 17·One UI 9으로 명시한다.

필리핀 삼성 지원문은 적용 범위를 “One UI 9.0으로 출시된 기기부터”라고 표현한다. 이 문구 때문에 기존 갤럭시가 나중에 One UI 9으로 업데이트되면 모두 같은 날, 같은 방식으로 적용된다고 지금 단정하면 안 된다. 한국 공식 페이지는 확대 예정이라고만 썼고 전체 지원 모델표나 국가별 배포일, 통신사별 펌웨어 일정을 한꺼번에 공개하지 않았다.

확인 항목	2026년 7월 26일 현재 답
우선 적용 공식 확인	Z 폴드8 울트라·Z 폴드8·Z 플립8
운영체제	Android 17·One UI 9
기존 갤럭시 확대	순차 적용 예정
정확한 모델별 날짜	삼성 멤버스·소프트웨어 업데이트 공지 확인 필요
국가·통신사 차이	기능·경로·화면은 달라질 수 있다고 삼성 명시

내 폰의 제품명이 익숙하다고 정책을 추정하지 말고 설정 → 휴대전화 정보 → 소프트웨어 정보에서 One UI 버전을 확인하는 게 먼저다. 업데이트 가능 여부는 삼성 멤버스 공지와 설정 → 소프트웨어 업데이트 → 다운로드 및 설치에서 확인한다. 베타 펌웨어, 지역별 정식 펌웨어, 통신사 승인 일정은 서로 다를 수 있다.

또 하나. “One UI 9 지원 기기”와 “13회 정책이 실제 활성화된 현재 펌웨어”도 같은 말이 아닐 수 있다. 삼성은 기능·서비스명·설정 경로·화면이 모델과 소프트웨어 버전, 앱 업데이트에 따라 달라질 수 있다고 단서를 붙였다. 지금 공개된 3개 출시 모델을 넘어선 세부 적용은 실제 배포 공지가 나온 뒤 업데이트해야 할 정보다.

같은 오답을 반복해도 모두 실패 횟수로 세나?

그렇지 않다. 삼성의 공식 표현은 **“동일한 오답을 연속해서 입력한 경우를 제외하는 스마트 카운팅”**이다. 예를 들어 같은 잘못된 비밀번호를 바로 두 번 입력하면 두 번의 별도 실패로 집계하지 않는다. 주머니 속 오입력이나 화면을 잘못 눌러 같은 패턴이 반복되는 상황에서 곧바로 한도를 소진하지 않게 만든 완충장치다.

다만 여기서 범위를 넓혀 해석하면 위험하다. 공식 안내가 확인해 준 것은 ‘동일하고 연속된’ 오답 두 번이 별도 두 건으로 세지지 않는다는 점이다. 1111 → 2222 → 1111처럼 번갈아 입력한 경우, 몇 분 뒤 같은 오답을 다시 쓴 경우, PIN과 패턴을 바꿔 시도한 경우의 내부 카운팅 규칙은 공개문에 없다. “같은 번호만 누르면 무한정 안전하다”거나 “13개의 서로 다른 번호만 위험하다”고 실험해선 안 된다.

스마트 카운팅의 목적은 공격자에게 요령을 주는 게 아니라 정상 사용자의 단순 실수를 걸러내는 데 있다. 공격 방어 관점에선 동일한 후보를 두 번 넣어도 새로운 정보가 없으니 한 번으로 보는 편이 합리적이다. 사용자 관점에선 어린아이가 같은 숫자를 반복해 누르는 사고가 바로 13개 후보 탐색으로 해석되지 않는다. 그렇지만 서로 다른 키가 눌리는 가방 속 오입력이나 화면 오작동까지 전부 제외된다고 보장된 것은 아니다.

잠금 화면에 남은 횟수 경고가 뜨면 카운팅 규칙을 시험하지 말자. 전원을 껐다 켜거나 시간을 바꾸면 실패 기록이 사라진다는 공식 설명도 없다. 오히려 재부팅 뒤에는 생체인증 대신 PIN·패턴·비밀번호가 요구되는 것이 일반적인 보안 흐름이다. 이 글은 공개된 정책만 설명하며 우회 방법을 전제로 하지 않는다.

지문·얼굴 인식을 쓰면 PIN을 잊어도 괜찮을까?

안 된다. 생체인증은 PIN을 없애는 기술이 아니라 평소 입력을 줄이는 보조 수단이다. 삼성은 One UI 9 보안 정책 안내에서 Android의 강력한 인증(Strong Authentication) 정책 때문에 지문이나 얼굴을 주로 써도 적어도 72시간마다 백업 PIN·패턴·비밀번호를 한 번 입력해야 한다고 명시했다. 손가락이 잘 인식되는 동안 PIN을 몇 달째 안 써도 된다는 기대와 정반대다.

72시간은 여기서 두 번 등장해 혼동하기 쉽다. 첫 번째는 방금 말한 생체인증 사용자의 강력한 인증 주기다. 두 번째는 화면 잠금정보를 최근에 바꿨을 때 이전 PIN·패턴·비밀번호를 임시 보관하는 기간이다. 삼성의 이전 화면 잠금 방식 복구 안내는 One UI 6.1 이상에서 잠금정보를 바꾼 뒤 72시간 동안 이전 정보를 이용해 새 잠금을 다시 설정할 수 있다고 설명한다.

이전 잠금정보 복구는 만능 열쇠가 아니다. 조건이 촘촘하다. 최근 72시간 안에 잠금정보를 바꿨어야 하고, 설정에서 이전 정보를 즉시 삭제하지 않았어야 하며, 5회 이상 실패 뒤 나타나는 ‘PIN을 잊으셨나요?’ 같은 메뉴를 이용해야 한다. 이전 PIN 자체도 세 번 틀리면 더 이상 시도할 수 없다. 무엇보다 삼성은 이 기능이 13회 영구 잠금 뒤에도 데이터를 보존한 채 되살리는 수단이라고 안내하지 않았다. 남은 횟수가 있을 때 쓰는 예방적 복구 경로로 보는 편이 안전하다.

PIN을 종이에 그대로 써서 휴대폰 케이스에 넣는 것도 답은 아니다. 기기를 주운 사람이 계정과 잠금을 함께 얻는다. 암호관리자에 저장하더라도 그 암호관리자를 여는 수단이 같은 휴대폰 하나뿐이면 순환 잠금이 생긴다. 현실적인 방법은 신뢰할 수 있는 별도 기기나 오프라인 안전 장소에 복구정보를 보관하고, 삼성·구글 계정의 복구 이메일과 전화번호가 최신인지 확인하는 것이다.

공장 초기화를 하면 데이터와 계정은 어떻게 되나?

삼성 미국 지원문은 공장 초기화가 개인 정보와 데이터를 완전히 지운다고 설명한다. 설치 앱, 앱 데이터, 기기 설정, 내부 저장공간의 로컬 파일이 초기 상태로 돌아간다. 13번째 실패가 직접 삭제를 실행하지 않더라도, 잠긴 폰을 다시 쓰기 위해 초기화를 선택하는 순간 이 결과를 받아들여야 한다.

초기화 뒤 곧바로 새 계정으로 시작할 수 있는 것도 아니다. 삼성의 One UI 9 정책 안내는 등록된 삼성 계정과 구글 계정으로 인증해 공장 초기화 보호(FRP)를 해제해야 한다고 적었다. 구글도 공장 초기화 준비 안내에서 기존 구글 계정의 사용자 이름과 비밀번호를 알아야 하며, 최근 구글 계정 비밀번호를 바꿨다면 초기화 전에 24시간 기다리라고 안내한다. 도난당한 폰을 초기화해 되파는 일을 막는 장치라 정당한 소유자도 계정 정보를 모르면 다시 막힌다.

백업은 ‘켜 둔 것 같다’가 아니라 실제 항목과 최근 시간을 확인해야 한다. 삼성은 Smart Switch·Samsung Cloud·OneDrive·Google One을 공식 백업 경로로 제시한다. 구글 백업은 앱과 일부 앱 데이터, 통화기록, 연락처, 기기 설정, SMS·MMS 등을 계정에 저장하지만 모든 앱이 모든 설정과 데이터를 복원하는 것은 아니라고 명시한다. 사진은 Google Photos나 OneDrive 동기화 상태를 따로 확인해야 한다.

내가 권하는 건 이중화다. 자동 클라우드 백업을 켜고, 중요한 사진·문서가 많은 사람은 Smart Switch로 PC나 외장 저장장치에 주기적으로 한 번 더 복사한다. 삼성의 2026년 Smart Switch 안내는 PC 또는 SD카드로 백업하고 다시 복원할 수 있다고 설명한다. 단, 보안폴더·금융앱·메신저 대화·인증서처럼 앱별 이전 절차가 필요한 항목은 별도 확인이 필요하다. “전체 백업”이라는 버튼 이름이 모든 서비스의 서버 데이터까지 보장하진 않는다.

초기화 전에 폰을 열 수 없는 상황에선 새 백업을 만들기 어렵다. 그래서 13회 정책은 사고 뒤 해결법보다 사고 전 습관이 중요하다. 마지막 백업 날짜가 6개월 전이면 ‘백업 있음’이 아니라 6개월치 데이터가 위험한 상태다.

이 정책을 무조건 더 안전하다고 봐도 될까?

보안 논리는 분명하다. PIN 후보를 무제한 시험하게 두면 공격자는 시간과 장비만 있으면 된다. One UI 9은 초반 다섯 번 뒤부터 시간을 부과하고, 13번째 집계 실패에서 기기를 영구 잠가 공격의 상한을 만든다. Knox Vault가 PIN·비밀번호·생체정보를 격리된 하드웨어 영역에서 보호한다는 삼성의 설명과 합치면, 공격자가 운영체제 취약점이나 물리적 접근을 이용해도 인증정보를 뽑기 어렵게 하고 입력 경로까지 제한하는 이중 방어다.

미국 국립표준기술연구소(NIST)의 2025년 디지털 신원 지침도 실패한 인증 시도에 속도 제한을 두고, 한도에 가까워질수록 대기시간을 늘리는 방식을 권고한다. NIST가 일반적인 온라인 인증에 둔 100회는 상한이며 기관이 더 낮게 정할 수 있다고 설명한다. 이것이 스마트폰 로컬 잠금의 ‘13회’를 승인했다는 뜻은 아니다. 다만 횟수 상한과 점증 대기를 함께 쓰는 삼성의 큰 방향이 무차별 대입 방어의 정석과 맞닿아 있다는 근거는 된다.

그러나 안전과 복구 가능성은 같은 축이 아니다. 공격자에게 가혹한 정책은 기억이 흐릿한 소유자, 고령자, 어린 자녀가 있는 가정에도 가혹하다. 13회가 무제한 시도보다 안전한 건 맞지만, 사용자가 계정 복구와 백업을 준비하지 않았다면 보안 시스템이 자기 데이터 접근도 막는다. 삼성은 동일 오답 연속 입력 제외, 남은 횟수 알림, 단계별 긴 대기시간으로 사고 가능성을 줄였지만 없애지는 않았다.

애플과 비교하면 차이가 더 잘 보인다. Apple은 iPhone에서 사용자가 ‘데이터 지우기’를 켜면 10번 연속 암호 실패 뒤 정보·미디어·설정을 지우도록 설정할 수 있다고 안내한다. One UI 9의 공개 정책은 13회에 자동 지우기가 아니라 영구 잠금 후 공장 초기화 요구다. 숫자 10과 13만 비교하면 안 되는 이유다. 애플의 자동 지우기 옵션과 삼성의 의무적 재사용 절차는 동작도, 사용자가 개입하는 시점도 다르다.

나는 방향 자체는 이해한다. 스마트폰에는 메신저, 사진뿐 아니라 패스키, 결제수단, 업무 문서, 신분증 사본까지 들어간다. 분실 기기에서 공격자가 수천 번 PIN을 시험하는 것보다, 소유자가 백업에서 복원하는 편이 사회 전체 위험은 작을 수 있다. 하지만 정책을 강화할수록 제조사가 해야 할 일도 늘어난다. 남은 횟수 경고를 더 크게 보이고, 초기 설정에서 백업 완료 여부를 확인시키고, 가족·고령 사용자가 복구정보를 준비하도록 안내해야 한다. 보안은 잠그는 데서 끝나지 않고 정당한 소유자가 안전하게 돌아오는 경로까지 포함한다.

지금 당장 무엇을 확인해 두면 될까?

먼저 One UI 버전과 적용 여부를 확인한다. 다음으로 백업 PIN·패턴·비밀번호를 실제로 기억하는지 입력이 가능한 상태에서 점검한다. 기억이 불확실한데 잠금 화면에서 시험하지 말고, 기기가 열린 동안 새 잠금정보로 바꾼 뒤 이전 잠금정보의 72시간 복구 조건을 이해해 둔다. 변경 직후 이전 정보 삭제 여부도 설정에서 확인한다.

그다음 설정 → 계정 및 백업에서 삼성 Cloud와 Google 백업의 마지막 완료 시간을 본다. 사진 앱의 동기화 아이콘만 믿지 말고 웹이나 다른 기기에서 최근 사진 한 장이 실제 열리는지 확인한다. Smart Switch PC 백업이 필요하다면 한 번 복원 가능한 형태로 만들어 둔다. 마지막으로 삼성 계정과 구글 계정을 다른 기기에서 로그인해 보고, 복구 전화번호·이메일과 2단계 인증 대체 수단을 갱신한다.

가족이 함께 쓰는 폰이라면 잠금 규칙을 공유하되 PIN 자체를 널리 공유하진 말자. 아이가 폰을 만졌거나 화면이 오작동해 남은 횟수 경고가 뜨면 추가 입력을 중단한다. 업무용·학교 관리 기기는 조직의 MDM 정책이 별도로 적용될 수 있으니 관리자에게 문의해야 한다. 공식 안내에 없는 ‘재부팅하면 횟수 초기화’, ‘서비스센터에서 데이터 보존 해제’ 같은 온라인 팁은 기대하지 않는 편이 낫다.

One UI 9이 처음 탑재된 기기의 하드웨어 변화까지 보려면 갤럭시 Z 폴드8·폴드8 울트라의 확정 스펙과 검증되지 않은 주장을 함께 읽을 수 있다. 삼성의 새 소프트웨어가 폴더블 3종에서 먼저 시작됐다는 맥락이 연결된다.

13회라는 숫자는 겁을 주기 위한 퀴즈가 아니다. 공격자에게는 시도 상한이고, 사용자에게는 백업 마감선이다. 한 번도 틀리지 않는 사람보다 틀려도 잃지 않게 준비한 사람이 이 정책을 가장 안전하게 쓴다.

자주 묻는 질문

One UI 9에서 비밀번호를 13회 틀리면 데이터가 바로 삭제되나요?

삼성은 13회 실패 후 기기가 영구 잠기고 공장 초기화를 통해서만 다시 열 수 있다고 안내합니다. 13번째 실패 자체가 자동삭제라고 쓰지는 않았지만, 공장 초기화를 실행하면 로컬 데이터는 삭제됩니다.

같은 비밀번호를 계속 잘못 입력해도 13회로 계산되나요?

동일한 오답을 바로 이어 두 번 입력하면 두 번의 별도 실패로 세지 않습니다. 다만 서로 다른 오답, 번갈아 입력한 오답, 시간 간격을 둔 반복의 세부 계산법은 공식 안내가 모두 공개하지 않았으므로 시험하면 안 됩니다.

지문이나 얼굴 인식을 쓰면 PIN을 몰라도 되나요?

아닙니다. 삼성은 Android의 강력한 인증 정책에 따라 생체인증 사용자도 적어도 72시간마다 백업 PIN·패턴·비밀번호를 입력해야 한다고 안내합니다.

어떤 갤럭시가 13회 영구 잠금 정책의 적용 대상인가요?

현재 우선 적용이 확인된 모델은 One UI 9으로 출시된 Z 폴드8 울트라·Z 폴드8·Z 플립8입니다. 다른 갤럭시는 순차 확대 예정이므로 모델·국가·통신사별 공지를 삼성 멤버스에서 확인해야 합니다.