2025년 5월, Microsoft(마이크로소프트)는 수십 년간 유지돼 온 기본값 하나를 조용히 바꿨다. 이제 새로 만드는 모든 Microsoft 계정은 아예 비밀번호 없이 생성된다 [출처: Microsoft, 2025]. Google(구글)은 이미 개인 계정의 기본 로그인 옵션으로 패스키(passkey)를 제공하고 있었고, 2024년 말 FIDO Alliance(파이도 얼라이언스)는 패스키로 로그인할 수 있는 온라인 계정이 150억 개를 넘어섰다고 집계했다 [출처: FIDO Alliance, 2024]. "비밀번호는 죽었다"는 예측이 반복된 지 여러 해 만에, 대형 플랫폼들이 마침내 그 말이 사실인 것처럼 움직이기 시작한 것이다. 하지만 '지원'과 '실사용'은 다르며, 피싱에 강한 로그인은 '문제가 해결된 것'과 다르다. 2025~2026년의 이 전환이 실제로 무엇을 이뤘고, 무엇을 남겨뒀는지 짚어본다.
이 글에서 다루는 내용
- 왜 하필 지금, 2025~2026년에 비밀번호가 무너지고 있는가
- 패스키란 정확히 무엇이며, 왜 피싱에 강한가
- 채택 수치, 그리고 '지원됨'과 '실제 사용됨' 사이의 간극
- 보안 이점: 검증된 것과 마케팅 주장의 구분
- 어려운 부분: 계정 복구, 기기 종속, 이관
- 앞으로 지켜볼 것
왜 지금 비밀번호가 무너지고 있는가
비밀번호에 대한 비판은 새롭지 않지만, 그 압력은 점점 수치로 드러나고 있다. Verizon(버라이즌)은 2025년 데이터 유출 조사 보고서에서 탈취된 자격증명이 여전히 공격자의 최초 침투 경로 1위였으며 전체 유출의 약 22%에 관여했고, 피싱이 그 뒤를 이어 약 16%를 차지했다고 밝혔다 [출처: Verizon, 2025]. 전체 유출의 약 60%에 '사람 요인'—누군가 클릭하거나, 재사용하거나, 속아 넘어가는—이 개입했으며, 탈취된 자격증명은 기본적인 웹 애플리케이션 공격의 대다수에서 등장했다 [출처: Verizon, 2025]. Microsoft는 자사가 관측하는 비밀번호 공격이 초당 약 7,000건 수준으로, 2023년에 보고한 수치의 두 배가 넘는다고 말한다 [출처: Microsoft, 2025].
비밀번호가 실패하는 데에는 구조적인 이유가 있다. 비밀번호는 '공유된 비밀'이다. 사용자가 입력하는 문자열은 서버가 저장한 문자열과 같으며, 이는 곧 그 문자열이 피싱당하거나, 여러 사이트에 재사용되거나, 유출로 새어 나가거나, 추측될 수 있다는 뜻이다. 그 위에 덧붙인 모든 보완책—복잡도 규칙, 주기적 변경, SMS 인증번호—은 근본적 약점을 없애지 못한 채 번거로움만 더한다. 바로 이런 배경에서 Microsoft, Google, Apple(애플)과 수많은 소비자 서비스가 패스키를 하나의 선택지에서 점차 기본 경로로 옮겨 온 것이다.
'왜 지금인가'는 세 가지가 맞물린 결과다. 계속해서 자격증명을 지목하는 유출 데이터, 마침내 모든 주요 운영체제와 브라우저에 탑재되고 있는 표준, 그리고 사용자의 자발적 선택을 기다리는 대신 기본값 자체를 바꾸기로 한 플랫폼 사업자들의 결정이다.
패스키란 정확히 무엇인가
패스키는 공개키 암호에 기반한 FIDO2/WebAuthn(웹오센) 표준의 구현이다. 패스키를 생성하면 기기가 키 한 쌍을 만든다. 공개키는 웹사이트로 가고, 개인키는 인증기—휴대폰, 노트북, 보안 키, 또는 동기화된 자격증명 관리자—를 절대 벗어나지 않는다. 로그인할 때 사이트가 챌린지(challenge)를 보내면, 기기는 지문·얼굴 인식·PIN 같은 로컬 확인을 거친 뒤 개인키로 서명하고, 사이트는 저장해 둔 공개키로 그 서명을 검증한다.
왜 피싱에 강한가
가장 중요한 속성은 생체 인증이 아니라, 개인키가 특정 웹사이트 도메인, 즉 출처(origin)에 묶여 있으며 절대 전송되지 않는다는 점이다. 유사 도메인의 피싱 사이트는 유효한 서명을 끌어낼 수 없다. 브라우저가 패스키를 오직 그것을 등록한 정확한 출처에만 내주기 때문이다. 입력할 비밀이 없으니, 그럴듯한 가짜 로그인 페이지를 만든 공격자에게 넘겨줄 것도 없다. 표준 기관들이—벤더뿐 아니라—패스키를 피싱 저항성 인증이라 부르는 이유가 여기에 있다. NIST(미국 국립표준기술연구소)는 2024년 디지털 신원 지침 보충문서에서 동기화형 인증기, 곧 FIDO 패스키를 피싱 저항 인증으로 인정했고, 이 프레임워크의 2025년 개정판은 패스키를 더 높은 보증 등급에 편입했다 [출처: NIST, 2024]. 영국의 NCSC(국가사이버보안센터)는 이를 단순명료하게 표현한다. 패스키는 "추측될 수 없고" "피싱당할 수 없다" [출처: NCSC, 2025].
이는 입력식 비밀번호에 비한 실질적이고 구조적인 개선이며, 패스키를 지지하는 논거 중 가장 강력한 부분이다. 이 지점 이후의 이야기는 훨씬 더 논쟁적이다.
채택 수치, 그리고 그 수치가 말하지 않는 것
표제 수치는 크다. FIDO Alliance는 2024년 말 기준 패스키로 로그인할 수 있는 온라인 계정이 150억 개를 넘어 1년 전의 약 두 배가 됐다고 보고했다 [출처: FIDO Alliance, 2024]. Google은 자사 계정 8억 개가 패스키를 사용했으며 2년간 패스키 로그인이 25억 건을 넘었다고 밝혔고, Amazon(아마존)은 자사 사이트 로그인을 위해 1억 7,500만 개의 패스키가 생성됐다고 보고했다 [출처: FIDO Alliance, 2024]. 2025년 FIDO 설문에서는 소비자의 74%가 패스키를 인지하고 있었고, 69%가 최소 하나의 계정에 패스키를 활성화한 적이 있는 것으로 나타났다 [출처: FIDO Alliance, 2025].
이 수치들은 사실이지만, 겉보기보다 훨씬 좁은 질문에 답할 뿐이다. "150억 계정이 패스키를 사용할 수 있다"는 것은 지원, 즉 얼마나 많은 서비스가 그 옵션을 제공하는가에 대한 진술이지, 얼마나 많은 사람이 그것에 의존하는가가 아니다. "8억 계정이 패스키를 사용했다"는 것은 패스키를 하나 이상 생성하거나 활성화한 계정을 센 것이지, 매일 패스키로 로그인하는 계정을 센 것이 아니다. 69% 활성화를 보여준 바로 그 2025년 설문에서도, 실사용자 중 "가능할 때마다" 패스키를 켠다고 답한 비율은 38%에 그쳤다 [출처: FIDO Alliance, 2025]. "한 번 켜봤다"와 "이렇게 로그인한다" 사이의 거리, 바로 그곳에 실제 채택의 실상이 있으며, 그 실상은 표제 수치가 시사하는 것보다 작다.
2026년 중반 9to5Mac이 내놓은 회의적 시각도 이 성과들과 나란히 놓고 볼 만하다. 보안에 신경 쓰는 사용자조차 일주일 내내 주로 평범한 비밀번호로 인증할 수 있으며, 대형 소비자 서비스—이 글은 그중 Instagram(인스타그램), Spotify(스포티파이), Netflix(넷플릭스)를 언급한다—는 여전히 패스키를 지원하지 않았다 [출처: 9to5Mac, 2026]. 지원 범위가 파편화돼 있다는 것은, 대다수 사람이 원해도 완전한 무(無)비밀번호로 갈 수 없다는 뜻이다. 지원 가능 범위는 빠르게 오르고 있지만, 일상적 의존은 그보다 느리게 뒤따르고 있다.
보안 이점: 검증된 것과 마케팅
한데 묶여 전달되곤 하는 두 종류의 주장을 구분하면 이해가 쉬워진다.
독립적으로 뒷받침되는 것
피싱 저항성은 검증된 부분이다. 이는 WebAuthn이 자격증명을 출처에 묶는 방식에서 비롯되며, 벤더의 주장에만 기대지 않고 NIST와 NCSC 같은 비영리·공공 기관이 인정한다 [출처: NIST, 2024][출처: NCSC, 2025]. 재사용 가능한 비밀이 없으므로, Verizon 보고서가 지배적 패턴으로 지목한 자격증명 스터핑과 비밀번호 재사용 공격은 패스키 로그인에는 같은 방식으로 적용되지 않는다 [출처: Verizon, 2025].
벤더 텔레메트리인 것
편의성과 성공률 수치는 성격이 다르다. Microsoft는 패스키 로그인의 성공률이 약 98%로 비밀번호의 약 32%를 크게 웃돌며, 비밀번호에 다중 인증을 더한 방식보다 "8배 빠르다"고 보고한다 [출처: Microsoft, 2025]. Google은 로그인 성공률이 30% 높고 속도가 약 20% 빨라졌다고 인용한다 [출처: FIDO Alliance, 2024]. NCSC의 자체 추정치는 패스키 약 8초, 비밀번호 더하기 다중 인증 약 69초다 [출처: NCSC, 2025]. 이 수치들은 그럴듯하고 방향도 일관되지만, 독립 감사가 아니라 회사 텔레메트리이며, 비교에는 교란 요인이 있을 수 있다. 패스키를 일찍 채택한 사용자는 기술적으로 더 능숙할 수 있고, 그 자체만으로 성공률 격차가 부풀려질 수 있기 때문이다. 이 수치들은 정밀하고 외부 검증된 상수가 아니라, 더 나은 경험을 가리키는 강한 신호로 읽는 것이 옳다. Amazon, Google, Microsoft, PayPal(페이팔), Target(타깃), TikTok(틱톡) 등의 배치 데이터를 집계한 FIDO Alliance의 2025년 패스키 인덱스(Passkey Index)는, 이런 이점을 단일 벤더의 마케팅이 아니라 여러 사업자의 측정된 증거 쪽으로 옮기려는 시도다 [출처: FIDO Alliance, 2025].
어려운 부분: 복구, 종속, 이관
피싱 저항성이 패스키의 가장 강한 논거라면, 계정 복구는 가장 약한 고리다. 그리고 소비자 언론부터 국가 보안 기관까지 이 점에는 의견이 일치한다.
복구가 새로운 공격면이 된다
FIDO2 표준 자체에는 내장된 복구 절차가 없다. 패스키를 담은 기기를 전부 잃어버리면, 대체 수단은 대개 이메일 재설정 링크나 고객지원 절차—패스키가 없애려던 바로 그 피싱 가능한 통로—가 된다 [출처: 9to5Mac, 2026]. NCSC도 같은 구조적 지적을 한다. 패스키가 직접 공격을 어렵게 만들수록 공격자는 "점점 더 그 초점을" 취약한 계정 복구 경로로 옮긴다는 것이다 [출처: NCSC, 2025]. 로그인은 잠겼을 때 다시 들어가는 방법만큼만 강하며, 오늘날 그 뒷문은 여전히 비밀번호이거나 인증번호인 경우가 많다.
기기 종속과 잠금 효과
기기 종속형 패스키—단일 휴대폰이나 하드웨어 키를 절대 벗어나지 않는—는 가장 강한 격리를 제공하지만 이관성은 가장 낮다. 기기를 잃으면 계정도 잃을 수 있다. 동기화형 패스키는 개인키를 iCloud Keychain(아이클라우드 키체인)이나 Google Password Manager(구글 비밀번호 관리자) 같은 벤더의 '동기화 패브릭' 전반에 복제해 이 문제를 풀며, NIST는 이를 AAL2 보증 등급에서 허용한다 [출처: NIST, 2024]. 그러나 동기화는 기기 격리를 키를 보관한 클라우드 계정에 대한 의존과 맞바꾸며, 하나의 생태계에 사용자를 묶어두는 경향이 있다. Apple, Google, 서드파티 관리자 사이에서 패스키를 옮기는 일은 NCSC의 표현대로 "현재로선 까다롭다" [출처: NCSC, 2025]. 업계가 추진하는 자격증명 교환 프로토콜(Credential Exchange Protocol)은 이를 이관 가능하게 만드는 것을 목표로 하지만, 널리 가동되기 전까지 플랫폼을 바꾸는 일은 '무비밀번호'를 또 다른 형태의 잠금으로 바꿔놓을 수 있다 [출처: 9to5Mac, 2026].
파편화와 끝나지 않은 전환
더 조용한 마찰도 있다. 플랫폼마다 같은 패스키 절차를 서로 다른 용어로 부르는데, NCSC는 이것이 사용자를 혼란스럽게 할 수 있다고 지적한다 [출처: NCSC, 2025]. 기업들은 복구와 수명주기 관리를 대규모로 표준화하기가 더 어렵기 때문에 도입을 주저한다 [출처: 9to5Mac, 2026]. 그리고 지원 범위가 고르지 않은 탓에 대다수 서비스가 비밀번호 입력란을 예비 수단으로 남겨둔다—이는 패스키가 정문에서 닫은 피싱 공격면이 흔히 옆문에서는 여전히 열려 있다는 뜻이다.
앞으로 지켜볼 것
흐름의 방향은 충분히 분명하다. 비밀번호는 기본값에서 예비 수단으로 강등되고 있고, 패스키를 떠받치는 암호 기술은 견고하며 독립적으로 인정받았다. 남은 질문은 수학이 작동하느냐가 아니라 그 주변의 '배관'에 관한 것이다. 앞으로 1년간 세 가지를 지켜보자. 첫째, 실사용—한 번의 활성화가 아니라 습관적 로그인—이 표제의 지원 수치와의 간극을 좁히는지, 그리고 FIDO 패스키 인덱스 같은 보고서가 발표된 수치가 아닌 측정된 수치를 제공하는지다. 둘째, 자격증명 교환 프로토콜과 벤더 간 이관성이 성숙해, 패스키가 플랫폼이 보관하는 것이 아니라 사용자가 소유하는 것처럼 느껴지는지다. 셋째, 계정으로 다시 들어가는 길이 들어가는 길만큼 피싱에 강해지도록 복구가 재설계되는지다. 그렇게 되기 전까지 비밀번호의 유령은 계정을 가장 자주 잃는 바로 그 지점에 어른거릴 것이다. 패스키는 한 세대를 통틀어 비밀번호에 가장 진지한 도전이다. 그것이 과업을 끝낼지는 채택 구호보다, 이 화려하지 않은 세부에 달려 있다.