비밀번호가 불안해서 2단계 인증까지 켰는데도 계정이 털릴 수 있다는 소식이 나옵니다. 최근 Microsoft 365 계정을 노린 공격 중에는 로그인 화면 사이에 끼어들어 비밀번호와 인증번호만 훔치는 데서 그치지 않고, 인증이 끝난 로그인 세션 자체를 가로채는 방식도 확인됐습니다. 그렇다면 OTP도 소용없다는 뜻일까요?
결론부터 말하면 아닙니다. OTP는 비밀번호만 쓰는 것보다 훨씬 안전합니다. 다만 사람이 가짜 사이트에 코드를 입력하면 공격자가 그 코드를 실시간으로 중계할 수 있다는 한계가 있습니다. 반면 패스키는 비밀번호를 서버로 보내 확인하는 대신, 내 기기에 있는 키로 ‘내가 맞다’는 사실을 증명하고 등록된 진짜 사이트에서만 작동하도록 설계된 로그인 방식입니다.
루트입니다. 기준으로 패스키란 무엇인지, Face ID와 무엇이 다른지, 휴대폰을 잃어버리면 어떻게 되는지, 비밀번호·OTP보다 왜 피싱에 강한지를 일상적인 로그인 장면으로 풀어보겠습니다.
먼저, 2단계 인증이 정말 뚫린 걸까요?
Microsoft가 공개한 Storm-2755 조사 내용을 보면 공격자는 이른바 AiTM(Adversary-in-the-Middle), 즉 ‘중간자 피싱’ 방식을 사용했습니다. 사용자가 가짜 로그인 페이지에 접속하면 그 페이지는 뒤에서 진짜 Microsoft 로그인 서비스와 통신합니다. 사용자가 입력한 비밀번호와 MFA 확인은 진짜 서버로 전달되고, 정상 인증이 끝나 발급된 세션 쿠키나 OAuth 토큰은 공격자에게 복사됩니다.
이 토큰은 이미 인증을 마친 사용자를 표시하는 일종의 임시 출입증입니다. 공격자가 재사용하면 다시 비밀번호나 MFA를 묻지 않는 상황이 생길 수 있습니다. Microsoft는 해당 공격에서 같은 세션 ID를 유지한 채 사용자 에이전트가 바뀌는 토큰 재사용 흔적을 설명했습니다. 중요한 표현은 OTP를 계산해서 풀었다가 아니라 정상 인증 뒤의 세션을 중계하고 재사용했다입니다.
이 구분이 중요한 이유는 대응이 달라지기 때문입니다. 비밀번호를 더 복잡하게 만들거나 OTP 숫자를 더 빨리 입력하는 것으로는 가짜 로그인 페이지를 진짜로 착각하는 문제를 해결하지 못합니다. 로그인 방식 자체가 어느 사이트에 로그인하는지 확인해야 합니다. 패스키가 주목받는 핵심도 여기에 있습니다.
그렇다고 패스키 하나가 세션 탈취를 전부 없애는 만능 방패라는 뜻은 아닙니다. 기기가 악성코드에 감염됐거나 이미 로그인된 브라우저가 장악되면 다른 공격 경로가 남습니다. 조직에서는 패스키와 함께 세션 수명 제한, 민감 작업 재인증, 토큰 보호, 이상 로그인 탐지가 필요합니다. CISA도 피싱 저항성 MFA와 더불어 세션 토큰 수명 제한과 재인증을 권고합니다.
패스키란? 한 문장으로 설명하면
패스키는 사이트마다 다른 디지털 열쇠 한 쌍을 만들고, 비밀 쪽은 내 기기에 보관한 채 사이트에는 확인용 공개키만 맡기는 방식입니다. 로그인할 때 내 기기가 사이트의 요청에 전자서명을 하고, 사이트는 보관한 공개키로 그 서명이 맞는지만 확인합니다.
공개키 암호학을 깊게 알 필요는 없습니다. 아파트 출입으로 비유해보겠습니다.
- 비밀번호는 경비실에 암구호를 말하는 방식입니다. 누가 엿듣거나 가짜 경비실에 말하면 복사될 수 있습니다.
- OTP는 암구호 뒤에 잠깐만 유효한 숫자를 하나 더 말하는 방식입니다. 더 안전하지만 가짜 경비원이 실시간으로 진짜 경비실에 전달할 수 있습니다.
- 패스키는 내 손에 있는 열쇠로 경비실이 낸 일회성 과제에 서명하는 방식입니다. 열쇠 자체는 건네지 않고, 다른 아파트 경비실에서는 같은 열쇠가 작동하지 않습니다.
FIDO Alliance는 패스키가 서비스마다 고유하고 피싱 저항성을 갖도록 설계됐다고 설명합니다. 서버가 보관하는 것은 공개키이므로 비밀번호 데이터베이스가 유출됐을 때처럼 공격자가 로그인용 비밀 문자열을 그대로 가져갈 대상도 줄어듭니다.
여기서 “패스키는 절대 해킹되지 않는다”라고 말하면 과장입니다. 기기 잠금이 풀린 상태로 다른 사람에게 넘어가거나, 계정 복구 절차가 약하거나, 서비스가 패스키 옆에 약한 비밀번호 로그인을 그대로 열어두면 위험이 남습니다. 정확한 표현은 패스키가 비밀번호와 사람이 입력하는 OTP보다 피싱 사이트에 속아 인증정보를 넘기기 어렵게 설계됐다입니다.
패스키와 Face ID는 같은 건가요?
같지 않습니다. Face ID, 지문, Windows Hello 얼굴 인식, 기기 PIN은 내 기기에서 패스키를 사용해도 되는 사람인지 확인하는 잠금장치입니다. 패스키는 그 확인이 끝난 뒤 사이트 로그인에 쓰이는 실제 자격증명입니다.
아이폰에서 Face ID로 로그인했다고 해서 얼굴 사진이 Google이나 Microsoft로 전달되는 것은 아닙니다. Apple의 공식 보안 설명에 따르면 Face ID나 Touch ID는 패스키 사용을 승인하고, 사이트에는 공유 비밀 대신 서명 결과가 전달됩니다. 생체정보를 쓰기 싫거나 사용할 수 없다면 기기 PIN이나 암호로 패스키 사용을 승인할 수도 있습니다.
정리하면 Face ID는 ‘열쇠를 꺼내도 되는 사람인가’를 확인하고, 패스키는 ‘이 사이트의 문을 열 수 있는 열쇠인가’를 증명합니다. 같은 화면에서 연달아 일어나기 때문에 하나처럼 느껴질 뿐 역할은 다릅니다.
패스키가 피싱 사이트에 강한 진짜 이유
보통 피싱 방지 설명은 “주소를 잘 보세요”에서 끝납니다. 하지만 micros0ft처럼 비슷한 철자를 쓰거나 광고 링크, QR 코드, 단축 URL을 섞으면 사람은 실수합니다. 패스키는 이 판단을 사람의 눈에만 맡기지 않습니다.
패스키를 만들 때 브라우저와 운영체제는 그 키를 특정 웹사이트의 도메인에 묶습니다. 진짜 사이트에서 만든 패스키를 가짜 도메인이 요청하면 브라우저가 일치하지 않는 사이트로 판단해 같은 서명을 내주지 않습니다. 사용자가 아무리 진짜처럼 보이는 화면을 보고 Face ID를 해도, 등록 대상이 다른 사이트라면 진짜 계정용 패스키가 전달되지 않습니다.
이것이 ‘피싱에 강하다’는 말의 구체적인 의미입니다. 사용자가 입력창에 복사할 비밀번호나 OTP가 없고, 키가 만들어진 사이트와 지금 요청하는 사이트의 관계를 기기가 검사합니다. 공격자가 가짜 화면을 완벽하게 복제해도 도메인까지 같은 것으로 만들 수는 없습니다.
다만 공격자가 이미 로그인된 기기를 원격제어하거나 브라우저 확장 프로그램·악성코드로 세션을 훔치면 패스키 로그인 바깥의 문제가 됩니다. 패스키로 바꾼 뒤에도 운영체제 업데이트, 화면 잠금, 의심스러운 앱과 확장 프로그램 제거, 로그인 기기 점검은 계속 필요합니다. 패스키는 피싱 저항성을 크게 높이는 인증 방식이지 기기 보안 전체를 대신하지 않습니다.
Microsoft가 지금 패스키를 기본으로 미는 이유
Microsoft Entra ID는 부터 SMS 또는 음성 인증이 설정된 조직 사용자를 패스키 사용 대상으로 자동 활성화하고, MFA 로그인 때 적격 기기에서 패스키 등록을 안내하기 시작했습니다. 이는 모든 개인 Microsoft 계정의 비밀번호나 문자가 당장 사라졌다는 뜻이 아닙니다. Entra ID 조직 환경에서 Microsoft가 제공하는 SMS·음성 인증을 쓰는 사용자가 정책의 직접 대상입니다.
또한 Microsoft가 제공하는 Entra ID의 SMS·음성 통신 전달은 종료될 예정입니다. 그 뒤에도 SMS나 음성이 꼭 필요한 조직은 Microsoft Security Store를 통한 고객 관리형 제공자를 구성해야 합니다. Microsoft는 그 전에 패스키, Windows Hello for Business, FIDO2 같은 피싱 저항성 방식으로 옮기라고 안내합니다.
이 변화는 “문자가 내일부터 작동하지 않는다”는 소비자 공지가 아닙니다. 회사 계정을 관리하는 조직이라면 현재 SMS·음성 사용자를 파악하고 등록 캠페인, 지원 기기, 복구 정책을 준비해야 한다는 운영 일정입니다. 개인 사용자라면 자신이 쓰는 주요 서비스가 패스키를 지원할 때 등록하고, 기존 복구수단을 함께 정리하는 계기로 이해하면 됩니다.
Google·Apple·Microsoft에서 이미 쓸 수 있나요?
네. 다만 ‘패스키를 지원하는 운영체제’와 ‘내가 로그인할 서비스가 패스키를 지원하는가’는 별개의 조건입니다.
- Google: Google 계정 보안 설정의 패스키 및 보안 키 메뉴에서 현재 기기나 FIDO2 보안키에 패스키를 만들 수 있습니다. 컴퓨터 화면의 QR 코드를 휴대폰으로 스캔해 휴대폰 패스키를 사용하는 교차 기기 로그인도 지원합니다.
- Apple: iPhone, iPad, Mac의 iCloud 키체인에 패스키를 저장하고 기기 간 동기화할 수 있습니다. Face ID, Touch ID 또는 기기 암호로 사용을 승인합니다.
- Microsoft: 개인 Microsoft 계정과 지원되는 회사·학교 계정에서 패스키를 만들 수 있습니다. Windows Hello, 휴대폰·태블릿, FIDO2 보안키, 지원되는 동기화 자격증명 관리자에 저장할 수 있습니다. 조직 계정은 관리자의 정책에 따라 선택지가 제한될 수 있습니다.
웹사이트에서 ‘패스키 만들기’가 보이지 않는다면 내 휴대폰이 낡아서라고 단정하지 마세요. 서비스 자체가 아직 지원하지 않거나, 회사 관리자가 허용하지 않았거나, 현재 브라우저·운영체제 조합에서 제한될 수 있습니다. 이 경우 비밀번호 관리자에서 고유한 비밀번호를 쓰고 가능한 가장 강한 MFA를 유지하는 편이 낫습니다.
휴대폰을 잃어버리면 패스키도 끝인가요?
패스키가 어디에 저장됐는지에 따라 다릅니다. iCloud 키체인이나 Google Password Manager, Microsoft Password Manager처럼 동기화되는 자격증명 관리자에 저장했다면 같은 계정으로 안전하게 복구한 다른 기기에서 다시 사용할 수 있습니다. 기기에만 묶인 패스키라면 다른 기기에 별도 패스키를 만들어두거나 FIDO2 보안키 같은 예비 수단이 필요합니다.
휴대폰 한 대를 잃었다고 서버에 비밀번호처럼 읽을 수 있는 패스키가 노출되는 것은 아닙니다. 기기 잠금이 보호하고 있기 때문입니다. 하지만 누군가가 기기의 잠금 PIN까지 알고 있거나 잠금이 풀린 상태라면 위험합니다. 분실 사실을 알게 되면 계정의 기기 목록에서 해당 기기를 로그아웃하고, 패스키 목록에서 분실 기기에 연결된 항목을 제거하며, 낯선 세션도 종료해야 합니다.
Google은 패스키를 만든 기기를 분실했을 때 계정의 ‘패스키 및 보안 키’에서 해당 패스키를 삭제하도록 안내합니다. Apple은 iCloud 키체인의 종단간 암호화와 복구 절차를 설명하지만, 복구가 자동으로 무조건 성공한다는 뜻은 아닙니다. 계정 암호, 신뢰할 수 있는 전화번호, 기기 암호 등 플랫폼별 복구 조건을 미리 충족해야 합니다.
중요한 이메일이나 회사 관리자 계정은 휴대폰 하나에만 의존하지 않는 편이 좋습니다. 최소한 다른 로그인 기기 한 대와 최신 복구수단을 확인하고, 위험도가 높은 계정이라면 보안키 두 개를 등록해 하나는 안전한 장소에 보관하는 방식도 고려할 수 있습니다. 자동화하지 않으면 기술 부채입니다. 계정 복구도 사고가 난 뒤 기억으로 해결하는 일이 아니라 미리 시험한 절차여야 합니다.
그러면 OTP는 앞으로 필요 없어지나요?
당장 없어지지는 않습니다. 모든 사이트가 패스키를 지원하지 않고, 회사 정책이나 기기 환경 때문에 OTP가 필요한 경우도 많습니다. 패스키를 등록했어도 서비스가 비밀번호 로그인을 복구 경로로 남겨두거나 민감 작업에 추가 인증을 요구할 수 있습니다.
현실적인 우선순위는 다음과 같습니다.
- 패스키를 지원하면 우선 등록합니다. 특히 이메일, 비밀번호 관리자, 금융·업무 계정처럼 다른 계정의 복구 열쇠가 되는 곳부터 시작합니다.
- 패스키가 없으면 인증 앱 OTP를 사용합니다. 문자보다 SIM 교체나 통신망 의존 위험을 줄일 수 있지만, 가짜 사이트에 숫자를 입력하는 피싱 가능성은 남습니다.
- 문자 MFA만 있으면 끄지 말고 유지합니다. 비밀번호 하나만 쓰는 것보다는 낫습니다. 지원되는 더 강한 방식이 생기면 옮깁니다.
- 복구수단을 같이 정리합니다. 강한 정문 옆에 약한 비밀번호 복구문이 열려 있으면 공격자는 그쪽을 찾습니다.
즉 “패스키냐 OTP냐”를 하나만 고르는 문제가 아닙니다. 서비스가 허용하는 범위에서 피싱 저항성이 높은 수단을 기본으로 두고, OTP와 백업 코드는 장애와 복구를 위한 보조수단으로 관리하는 방향입니다.
오늘 바로 설정할 때 확인할 것
패스키 등록 버튼을 발견했다고 무조건 누르기 전에 저장 위치부터 확인하세요.
- 개인 소유 기기인지 확인합니다. 공용 PC나 다른 사람과 잠금을 공유하는 기기에는 만들지 않습니다.
- 패스키가 iCloud 키체인, Google Password Manager, Microsoft Password Manager, 별도 비밀번호 관리자, 현재 기기 중 어디에 저장되는지 봅니다.
- 휴대폰 잠금 PIN을 생일이나 반복 숫자가 아닌 값으로 바꾸고 생체인증을 설정합니다.
- 같은 계정에 등록된 패스키와 로그인 기기 목록을 확인해 모르는 항목을 제거합니다.
- 다른 기기나 보안키로 실제 로그인이 되는지 한 번 시험합니다.
- 복구 이메일·전화번호·백업 코드가 최신인지 확인합니다.
- 회사 계정이라면 관리자 안내 없이 기존 MFA를 임의로 지우지 않습니다.
공유 기기에 패스키를 만들면 그 기기를 잠금 해제할 수 있는 사람이 내 계정에 접근할 가능성이 생깁니다. Google도 개인이 소유하고 사용하는 기기에만 패스키를 만들라고 안내합니다. 편해진 로그인이 곧 계정 공유 허용을 뜻하지는 않습니다.
자주 묻는 질문
패스키를 쓰면 비밀번호를 완전히 삭제해도 되나요?
서비스가 패스키 전용 계정을 지원하는지 확인해야 합니다. 어떤 서비스는 패스키를 기본 로그인으로 쓰면서도 비밀번호를 복구수단으로 유지합니다. 비밀번호가 남는다면 길고 고유하게 관리하고, 패스키를 우회하는 약한 복구 경로가 없는지도 살펴보세요.
패스키도 클라우드에 동기화되면 유출되는 것 아닌가요?
동기화형 패스키는 여러 기기에서 쓸 수 있도록 자격증명 관리자의 보호 체계 안에서 동기화됩니다. Apple은 iCloud 키체인이 종단간 암호화된다고 설명합니다. 하지만 플랫폼 계정과 기기 잠금의 보안이 중요해지는 만큼 강한 기기 암호, 계정 보호, 복구 연락처를 함께 관리해야 합니다. 더 높은 통제가 필요한 조직은 기기 결합형 패스키나 하드웨어 보안키를 선택할 수 있습니다.
QR 코드로 로그인하면 피싱에 약해지나요?
컴퓨터에서 휴대폰 패스키를 사용할 때 QR 코드와 근거리 확인을 쓰는 교차 기기 로그인이 있습니다. QR을 스캔했다는 사실만으로 안전을 판단하지 말고, 휴대폰에 표시되는 요청의 서비스와 계정을 확인해야 합니다. 모르는 사람이 보낸 QR이나 원격 통화 중 지시받은 로그인 요청은 승인하지 마세요.
패스키를 만들었는데 계속 OTP를 요구합니다
서비스 정책상 특정 작업에 추가 인증이 필요하거나, 지금 접속한 기기·브라우저에서 패스키를 찾지 못했거나, 회사 관리자가 단계적 전환 중일 수 있습니다. 패스키 목록과 저장 위치를 확인하고, 조직 계정은 관리자 문서를 따르세요. OTP가 뜬다는 이유만으로 오류나 해킹이라고 단정할 수 없습니다.
패스키면 세션 탈취도 완전히 막나요?
가짜 사이트가 정상 로그인 과정을 중계하는 AiTM 피싱에는 강한 방어가 됩니다. 하지만 로그인 뒤 기기나 브라우저가 장악되는 공격까지 모두 막지는 않습니다. 세션 만료, 재인증, 기기 보안과 이상 활동 점검이 함께 필요합니다.
결론 — 로그인 횟수가 아니라 로그인 구조가 바뀝니다
비밀번호에 OTP를 하나 더 붙이는 것은 잠금장치를 한 겹 더 만드는 방식입니다. 패스키는 애초에 사람이 가짜 사이트에 건넬 수 있는 공용 비밀을 없애고, 사이트마다 다른 열쇠로 바꾸는 접근입니다. 그래서 피싱 공격자가 똑같은 화면을 만들어도 진짜 사이트용 열쇠를 받아가기 어렵습니다.
Microsoft의 전환 일정이 보여주는 것은 ‘MFA가 무용지물이 됐다’가 아니라, MFA도 피싱에 견디는 방식으로 세대교체 중이라는 사실입니다. OTP는 여전히 비밀번호 단독보다 낫지만, 지원되는 곳에서는 패스키를 먼저 선택할 이유가 분명해졌습니다.
오늘은 가장 중요한 이메일 계정 하나만 열어 패스키 지원 여부와 복구수단을 확인해보세요. 그리고 다른 기기에서 실제로 로그인되는지 시험하세요. 로그인 보안은 설정 버튼을 누른 순간보다, 기기를 잃어버린 날에도 계정을 되찾을 수 있을 때 완성됩니다.
참고 자료
- Microsoft Learn — Passkeys by default and retirement of Microsoft-provided SMS and voice authentication (공식)
- Microsoft Security Blog — Investigating Storm-2755 AiTM attacks (공식)
- Microsoft Support — What are passkeys and why they matter (공식)
- FIDO Alliance — Passkeys (표준 단체)
- Google Account Help — Sign in with a passkey instead of a password (공식)
- Apple Support — About the security of passkeys (공식)
- CISA — Require Multifactor Authentication (정부 기관)
- CISA — Enhanced Visibility and Hardening Guidance for Communications Infrastructure (정부 기관)
Apple, Google, Microsoft의 상표와 서비스명은 각 회사의 소유이며, 이 글에서는 인증 방식 설명을 위해 사용했습니다.
