계정을 새로 만들 때마다 겪는 익숙한 풍경이 있다. "대문자와 특수문자를 포함해 10자 이상"이라는 안내를 보며 한숨을 쉬고, 예전에 쓰던 비밀번호를 살짝 바꿔 넣고, 며칠 뒤엔 그마저 기억나지 않아 "비밀번호 찾기"를 누른다. 우리는 지금까지 수십 개의 서비스에서 이 과정을 반복해 왔다. 그런데 최근 로그인 화면에서 비밀번호 칸 대신 지문이나 얼굴 인식을 요구하는 서비스가 부쩍 늘었다. 그 정체가 바로 패스키(passkey)다.

비밀번호는 왜 이렇게 불편해졌을까

비밀번호라는 방식 자체가 낡았다기보다, 우리가 관리해야 할 계정이 너무 많아진 것이 문제다. 사람 한 명이 평범하게 쓰는 온라인 서비스만 해도 쇼핑몰, 은행, 이메일, SNS, 회사 시스템까지 수십 개에 이른다. 이 모든 곳에 서로 다른 복잡한 비밀번호를 외우는 건 사실상 불가능하다.

그래서 대부분의 사람은 편법을 쓴다. 하나의 비밀번호를 여러 곳에 돌려쓰거나, 규칙을 정해 살짝 변형하는 식이다. 문제는 이 습관이 보안의 가장 약한 고리가 된다는 점이다. 어느 한 사이트에서 비밀번호가 유출되면, 공격자는 그 조합을 다른 사이트에 그대로 대입해 본다. 이른바 크리덴셜 스터핑이라 불리는 공격인데, 실제 계정 탈취의 상당수가 이 방식으로 일어난다.

두 번째 문제는 피싱이다. 진짜와 똑같이 생긴 가짜 로그인 페이지에 아이디와 비밀번호를 그대로 입력하는 순간, 그 정보는 통째로 공격자에게 넘어간다. 아무리 복잡하게 만든 비밀번호라도, 내 손으로 가짜 사이트에 넘겨주면 소용이 없다. 비밀번호는 결국 "사람이 외우고, 사람이 입력하는" 정보이기 때문에 이런 실수에서 자유로울 수 없다.

패스키는 무엇이 다른가

패스키는 이 구조를 근본적으로 바꾼다. 비밀번호처럼 "외워서 입력하는 문자열"이 아니라, 내 기기 안에 저장되는 암호 열쇠 한 쌍으로 작동하기 때문이다.

원리를 아주 단순하게 풀면 이렇다. 패스키를 만들 때 기기 안에서 두 개의 열쇠가 생성된다. 하나는 서비스 서버에 보관되는 '공개 열쇠', 다른 하나는 내 스마트폰이나 노트북 밖으로 절대 나가지 않는 '개인 열쇠'다. 로그인할 때 서버가 문제를 하나 내면, 내 기기가 개인 열쇠로 그 답을 풀어 보낸다. 정작 비밀번호에 해당하는 개인 열쇠는 네트워크를 오가지 않는다.

외울 것이 없고, 입력할 것이 없으며, 넘겨줄 것도 없다. 이것이 패스키가 피싱에 강한 이유다.

그리고 그 개인 열쇠를 꺼내 쓰려면 지문, 얼굴 인식, 또는 기기 잠금 PIN으로 본인 확인을 해야 한다. 화면에는 "지문을 대세요"라고만 뜨지만, 그 뒤에서는 이런 암호 절차가 순식간에 처리되는 셈이다. 사용자는 편해지고, 보안은 오히려 강해진다. 게다가 패스키는 그 서비스의 진짜 주소에만 반응하도록 묶여 있어서, 가짜 사이트에서는 애초에 작동하지 않는다.

어디서 쓸 수 있을까

2026년 현재 패스키는 특정 서비스의 실험이 아니라 사실상 업계 표준으로 자리 잡았다. 구글, 애플, 마이크로소프트가 자사 계정에 모두 패스키를 지원하고, 국내에서도 네이버와 카카오가 웹·앱 로그인에 패스키를 도입했다. 통신사 인증 앱과 금융·쇼핑 앱에서도 "비밀번호 없이 로그인" 옵션으로 빠르게 확산되는 중이다.

특히 스마트폰 운영체제 차원에서 패스키가 클라우드에 안전하게 동기화되기 때문에, 애플 기기끼리 혹은 안드로이드·구글 계정끼리는 한 기기에서 만든 패스키를 다른 기기에서도 이어서 쓸 수 있다. 폰을 바꿔도 로그인 정보를 하나하나 다시 설정할 필요가 줄어든다는 뜻이다.

지금 바로 설정해 보려면

방법은 생각보다 간단하다. 자주 쓰는 서비스에 로그인한 뒤 보안 설정이나 로그인 방법 메뉴로 들어가면, 요즘은 대부분 '패스키 등록' 항목이 보인다. 이를 누르고 지문이나 얼굴 인식으로 본인 확인을 한 번 해 주면 그 기기에 패스키가 저장된다. 다음 로그인부터는 아이디를 고르고 지문만 대면 끝이다.

처음 등록하는 순서를 간단히 정리하면 이렇다.

  • 서비스의 계정 · 보안 설정으로 이동한다
  • 패스키(또는 '비밀번호 없이 로그인') 만들기를 선택한다
  • 화면 안내에 따라 지문 · 얼굴 · PIN으로 본인 확인을 한다
  • 이후 로그인 때 비밀번호 대신 생체 인증으로 접속한다

한 가지 기억해 둘 점은, 패스키를 등록하더라도 기존 비밀번호가 곧바로 사라지는 것은 아니라는 것이다. 당분간은 두 방식이 함께 존재하니, 새 기기에서 로그인이 막히는 상황을 피하려면 복구 수단(백업 이메일, 2단계 인증 등)은 그대로 유지해 두는 편이 안전하다.

완벽한 만능은 아니다, 그래도 방향은 분명하다

패스키에도 고민거리는 있다. 기기를 잃어버렸을 때의 복구, 서로 다른 운영체제 사이의 이동, 가족과 기기를 함께 쓰는 상황 같은 것들이다. 다만 이런 부분은 클라우드 동기화와 복구 절차가 계속 다듬어지며 빠르게 개선되고 있다.

분명한 것은 방향이다. "더 복잡한 비밀번호를 더 자주 바꾸라"는 요구는 이제 한계에 다다랐고, 업계는 아예 사람이 비밀번호를 외우지 않아도 되는 쪽으로 움직이고 있다. 오늘 자주 쓰는 서비스 한두 곳에만 패스키를 등록해 두면, 그 편리함과 안심을 바로 체감할 수 있다.

비밀번호를 잊어버려 쩔쩔매던 시간은 생각보다 우리 하루에서 꽤 많은 자리를 차지해 왔다. 그 자리를 지문 한 번으로 대신할 수 있다면, 그것만으로도 시작해 볼 이유는 충분하다. 오늘 저녁, 가장 자주 들어가는 사이트의 보안 설정을 한 번 열어 보시길.