패스키 논란 총정리 2026 — 비밀번호 대체재의 진짜 문제점과 도입 판단 기준 5가지

비밀번호를 없애자는 이야기는 몇 년째 반복됐지만, 2026년 하반기 들어 온도가 달라졌습니다. 국내 대형 커머스가 실제로 패스키 로그인을 열었고(쿠팡 뉴스룸, 2026년 7월 29일), 같은 해 9월에는 패스키를 미끼로 삼은 기업 계정 탈취가 보도됐습니다(IT조선, 2026년 9월 15일). “패스키는 피싱에 강하다”는 설명과 “패스키 때문에 털렸다”는 제목이 몇 주 간격으로 붙어 있으니 헷갈릴 수밖에 없습니다. 이 글은 그 간극이 어디서 생기는지, 그리고 지금 도입해도 되는지를 판단 기준으로 정리합니다.

논란 1 — 뚫린 것은 패스키가 아니라 ‘등록 절차’였다

IT조선 2026년 9월 15일 보도에 따르면, 마이크로소프트(MS)는 패스키나 다단계 인증(MFA) 설정을 바꿔야 한다는 가짜 안내로 이용자를 속여 기업 계정을 빼앗는 공격을 경고했습니다. MS 기준으로 이런 공격은 2026년 5월부터 여러 계정에서 관찰됐습니다.

공격 흐름은 이렇습니다.

1. 기업 IT 지원 부서를 사칭한 전화·문자, 때로는 이미 탈취한 사내 계정의 팀즈(Teams) 메시지로 접근합니다.
2. “서비스 중단을 피하려면 패스키·MFA·통합인증(SSO) 설정을 즉시 변경해야 한다”며 가짜 로그인 사이트로 유도합니다.
3. 중간자(AiTM) 피싱으로 인증 후 세션 토큰을 가로채거나, 기기 코드 인증용 코드를 “패스키 설정에 필요한 코드”라고 속여 이용자가 직접 승인하게 만듭니다.
4. 접근 권한을 얻은 뒤 공격자 소유의 전화번호·인증 앱·OTP를 새 MFA 수단으로 등록합니다.
5. 마이크로소프트 그래프(Microsoft Graph) API로 정보를 조회하고 셰어포인트·원드라이브·이메일의 자료를 수집합니다.

같은 보도는 이번 공격에서 패스키 자체가 기술적 공격 통로로 이용된 것은 아니다라고 분명히 밝히고 있습니다. 패스키는 등록한 사이트에서만 작동하고 로그인 과정에서 개인키가 외부로 전송되지 않아 일반적인 자격증명 탈취형 피싱에 강합니다. 공격자는 그 벽을 뚫는 대신, 패스키를 등록하고 변경하는 절차에 대한 이용자의 신뢰를 노린 것입니다.

패스키가 막아주는 것은 ‘자격증명 입력’이고, 이번에 뚫린 것은 ‘자격증명 등록’입니다.

그래서 무엇을 점검해야 하나

– 인증 수단이 새로 추가·변경되는 이벤트가 로그로 남고 관리자에게 알림이 가는가
– 기기 코드 인증 흐름이 조직에 필요한지, 불필요하다면 제한할 수 있는지(이번 사고에서 악용된 경로입니다)
– 헬프데스크가 전화·메신저로 설정 변경을 요구하는 일이 정책적으로 있을 수 있는지, 직원이 그것을 어떻게 구별하는지

논란 2 — 사용자 경험은 확실히 좋아졌다

반대쪽 근거도 분명합니다. 쿠팡은 2026년 7월 29일 뉴스룸 공지로 FIDO 규격을 준수한 패스키 로그인을 소개했습니다. 등록은 앱의 [내 정보 관리] → [보안 및 로그인] → [로그인 수단 및 기기]에서 비밀번호 입력 후 [패스키 등록하기]를 고르고, 기기에 등록된 생체인증으로 본인 확인을 마치는 3단계입니다. 안드로이드와 iOS 등 주요 운영체제·브라우저와 호환되어 한 번 등록하면 여러 기기에서 동기화도 가능하다고 안내합니다.

핵심은 사용자의 생체정보를 서버에 저장하지 않는다는 점입니다. 비밀번호 재사용, SMS 인증번호 대기, 자동완성 의존 같은 오래된 불편이 한 번에 줄어듭니다. 플랫폼 단의 인증 변화가 앱에 어떤 영향을 주는지는 iOS 27·macOS 27 총정리 — 2026년 9월 개발자가 지금 대응할 것을 함께 참고하세요.

논란 3 — 패스키를 ‘기반 계층’에 넣는 실험

애플리케이션 위에 얹는 것을 넘어, 패스키를 체인 핵심 계층에 넣겠다는 시도도 진행 중입니다. 불비트(Bullbit)는 2026년 3월 비공개 프로그램으로 시작한 불체인 테스트넷을 2026년 9월 3일 일반에 공개했습니다. 비공개 단계에서 부하 테스트 중 초당 최대 1만 건의 거래량과 약 100~200밀리초의 지연 시간을 기록했다고 불비트가 직접 밝혔습니다(자체 발표 수치이므로 제3자 검증치가 아닙니다). 공개 테스트넷 이후의 실제 처리량은 아직 공식 수치로 공개되지 않았습니다. 이후 EOA 연계를 포함한 v1.01 보완판이 적용됐고, 메인넷 전환은 2026년 4분기로 예정돼 있습니다.

다만 이 수치들은 모두 서비스 측 발표이며 제3자 검증 결과가 아닙니다. 버그 바운티 규모도 2026년 9월 4일자 기사에는 총 1,000달러 규모, 2026년 9월 18일자 기사에는 총상금 1,000 USDC 규모로 표기가 갈립니다. 실제 조건은 공식 공지를 확인해야 합니다.

도입 판단 기준 5가지

패스키와 함께 갖추면 좋은 것들

패스키 하나로 끝나지 않습니다. 위 다섯 항목을 실제로 메우려면 아래 수단이 따라붙습니다.

주의점이 하나 있습니다. 하드웨어 보안키는 분실 시 복구 경로를 미리 만들어 두지 않으면 본인도 못 들어가는 락아웃이 납니다. 키를 사는 날 백업 키 등록까지 같은 자리에서 끝내는 편이 안전합니다.

결론 — 지금 무엇을 고를까

개인이라면 가장 추천하는 선택은 NFC와 USB-C를 함께 지원하는 FIDO2 하드웨어 보안키 2개 구성입니다. 패스키의 약점이 등록·복구 절차에 있다면, 그 절차를 사람의 판단이 아니라 물리적 키로 고정하는 것이 가장 단순한 해법이기 때문입니다. 조직이라면 순서를 바꿔, 인증 수단 등록·변경 이벤트를 남기는 IdP를 먼저 확보한 뒤 패스키를 확산하는 편이 맞습니다. 로그가 없으면 이번 MS 사례처럼 “비정상 로그인 뒤 새 인증 수단이 등록되는” 공통 패턴을 아예 볼 수 없습니다.

패스키는 비밀번호보다 분명히 낫습니다. 다만 2026년 9월 현재의 사고는 기술이 아니라 절차에서 났습니다. 도입 여부보다 등록과 복구를 누가 어떻게 승인하는가를 먼저 정하는 것이 순서입니다.

참고 자료

– “패스키 설정 바꾸세요” 믿었다가… 계정·클라우드 자료 탈취당해
– 비밀번호 없는 로그인, 쿠팡 ‘패스키(Passkey)’
– 불비트, 불체인 테스트넷 일반 공개… 패스키 네이티브 레이어 1 첫선
– 불비트, 최초 패스키 네이티브 레이어 1 구축… ‘대도약’ 시동