이미지 출처: Pexels (panumas nikhomkhai) · Pexels License
비밀번호를 외우는 시대가 저물고 있습니다. 구글·애플·마이크로소프트에 이어 네이버·카카오까지, 요즘 로그인 화면에 **"패스키로 로그인"**이 부쩍 자주 보입니다.
그런데 이게 정확히 뭔지, 왜 더 안전하다는 건지 설명해 주는 곳은 많지 않습니다. 오늘은 그 패스키를 처음 듣는 분도 이해할 수 있게 정리하겠습니다.
패스키가 대체 뭔가요?
패스키는 비밀번호 대신 지문·얼굴·기기 잠금(PIN)으로 로그인하는 방식입니다. FIDO 얼라이언스와 W3C가 만든 국제 표준(WebAuthn)이라, 특정 회사 기술이 아니라 전 세계가 함께 쓰는 규격입니다.
쉽게 — 비밀번호가 **"아무나 베껴 갈 수 있는 자물쇠 비밀번호"**라면, 패스키는 **"나만 가진 실물 열쇠"**입니다. 비밀번호는 알아내면 누구나 열 수 있지만, 열쇠는 복제하지 않는 한 훔쳐 갈 수 없습니다. 패스키에서 그 열쇠 역할을 하는 것이 내 폰(또는 노트북) 안에 잠겨 있는 비밀 키입니다.
핵심은 로그인할 때 비밀번호라는 "정답"을 서버에 보내지 않는다는 점입니다. 이 한 가지가 뒤에 나올 모든 장점을 만듭니다.
비밀번호와 무엇이 다른가요?
가장 큰 차이는 **"서버에 무엇이 저장되느냐"**입니다.
| 구분 | 비밀번호 | 패스키 |
|---|---|---|
| 서버에 저장되는 것 | 비밀번호(또는 그 변환값) | 공개 키(잠그는 열쇠 절반) |
| 진짜 비밀 | 서버와 나, 둘 다 알고 있음 | 내 기기만 가짐(개인 키) |
| 유출 시 | 비밀번호가 새면 계정 위험 | 공개 키가 새도 로그인 불가 |
| 외우기 | 필요 | 필요 없음(지문·얼굴로 해제) |
| 피싱(가짜 사이트) | 잘 속음 | 원리상 안 통함 |
패스키는 한 쌍의 키로 이뤄집니다. 하나는 자물쇠를 잠그는 공개 키, 하나는 그 자물쇠를 여는 개인 키입니다. 공개 키는 서비스 서버에 두고, 개인 키는 내 기기 밖으로 절대 나가지 않습니다.
왜 가짜 사이트(피싱)에 안 당하나요?
이게 패스키의 진짜 강점입니다. 로그인 과정을 그림으로 보겠습니다.
로그인할 때 내 기기가 서버에 보내는 것은 비밀번호가 아니라 "이 기기의 주인이 방금 인증했다"는 암호학적 서명 한 장뿐입니다. 그리고 이 서명은 정확한 사이트 주소(도메인)에 묶여 만들어집니다.
그래서 해커가 진짜와 똑같이 생긴 가짜 로그인 페이지를 만들어도, 주소가 다르면 패스키가 아예 동작하지 않습니다. 비밀번호는 사람이 속아서 입력하면 그대로 새지만, 패스키는 속을 사람 대신 기계가 주소를 확인하기 때문에 피싱이 통하지 않습니다.
자주 하는 오해 3가지 (여기서 대부분 헷갈립니다)
단골 오해 — 짚고 넘어갑시다
① "내 지문이 회사 서버로 넘어가는 거 아냐?" → 아닙니다. 지문·얼굴 정보는 기기 밖으로 나가지 않습니다. 그것은 내 폰 안에서 개인 키의 잠금을 푸는 용도로만 쓰이고, 서버가 받는 것은 서명뿐입니다.
② "폰 잃어버리면 계정도 끝 아냐?" → 대부분 아닙니다. 패스키는 보통 클라우드 계정(구글·애플 등)에 안전하게 동기화되어 새 기기에서 복구됩니다. 다만 서비스·설정에 따라 다르니, 예비 수단(다른 기기 등록·복구 코드)을 미리 준비하는 편이 좋습니다.
③ "패스키만 있으면 완벽하게 안전하다" → 과신은 금물입니다. 패스키는 피싱과 서버 유출에 강하지만, 기기 자체의 잠금(지문·PIN)이 뚫리면 이야기가 달라집니다. 기기 잠금을 확실히 걸어 두는 것이 전제입니다.
지금 어디까지 왔나요? (2026년 기준)
패스키는 실험 단계를 지나 주류로 넘어오는 중입니다. 다만 아직 세상 모든 곳에서 쓸 수 있는 것은 아닙니다.
- 2026년 5월 FIDO 얼라이언스 추산, 전 세계에서 쓰이는 활성 패스키가 약 50억 개에 이릅니다.
- 구글·애플·마이크로소프트가 주요 플랫폼에서 지원하고, 국내에서는 네이버·카카오도 지원합니다.
- 다만 2026년 초 기준 상위 100대 사이트 중 약 절반가량(약 48%)만 패스키를 지원하고, 여전히 많은 웹은 비밀번호를 씁니다.
정리하면 "쓸 수 있는 곳부터 하나씩 켜 두는" 단계입니다. 아직은 비밀번호와 한동안 공존합니다.
그래서 저는 지금 뭘 하면 되나요?
실용적인 액션은 간단합니다.
- 자주 쓰는 계정부터 패스키를 켜 둡니다. 구글·애플·네이버·카카오 계정 보안 설정에서 "패스키" 항목을 찾아 등록합니다.
- 기기 잠금(지문·얼굴·PIN)을 반드시 설정합니다. 패스키의 안전은 기기 잠금 위에 세워집니다.
- 복구 수단을 하나 더 만들어 둡니다. 기기를 분실해도 들어갈 수 있도록 예비 기기나 복구 코드를 준비합니다.
- 아직 패스키를 지원하지 않는 곳은 비밀번호 + 2단계 인증을 유지합니다.
한 장 정리
| 질문 | 답 |
|---|---|
| 패스키가 뭔가요 | 지문·얼굴·PIN으로 로그인하는 국제 표준 방식 |
| 비밀번호와 차이 | 정답을 서버에 안 보냄. 서버엔 공개 키만 |
| 왜 안전한가 | 서버가 털려도 쓸모없고, 가짜 사이트엔 아예 동작 안 함 |
| 내 지문은? | 기기 밖으로 안 나감(서버엔 서명만) |
| 지금 할 일 | 주요 계정부터 켜기 + 기기 잠금 + 복구 수단 |
이것만 기억하면 됩니다. ① 패스키는 훔칠 비밀번호가 없어서 안전합니다. ② 가짜 사이트엔 원리상 동작하지 않습니다(피싱 저항). ③ 아직 비밀번호와 공존하는 과도기입니다 — 되는 곳부터 켜 두면 됩니다.
기준 시점: 2026년 7월. 각 서비스의 지원 범위·설정 방법은 수시로 바뀌니, 실제 설정 시 해당 서비스의 공식 안내를 확인하시기 바랍니다.
참고 자료
패스키 개념·수치는 아래 표준화 기구와 공식 개발자 자료를 교차 참고해 직접 작성했습니다.
이 글은 위 공식 자료와 신뢰할 수 있는 기술 매체 보도를 교차 참고해 직접 작성한 해설이며, 특정 기사·이미지를 복제하지 않았습니다.