패스키는 덫이다—쓰지 마라
원제: Passkeys are a trap. Do not use them
왜 중요한가
패스키가 업계 표준으로 빠르게 확산되는 시점에, 사용자 자율성 침해 가능성을 정면으로 제기한 드문 비판적 시각이다.
보안 전문 블로거 'The Hack'이 2026년 10월 10일 Substack에 게재한 글에서, FIDO Alliance가 주도하는 패스키 표준이 사용자 통제권을 사실상 박탈하는 구조적 문제를 안고 있다고 주장했다. 저자는 소비자 권익 단체가 FIDO Alliance 회원사에 단 한 곳도 없다는 점을 핵심 근거로 제시했다.
패스키(passkey)는 FIDO Alliance가 설계한 비밀번호 대체 인증 방식이다. Alliance 회원사에는 Google, Apple 등 빅테크, 각국 정부 기관, 정보기관, 은행, Mozilla 등이 포함돼 있다. 저자는 이들의 이해관계가 각각 다르지만, 공통적으로 '사용자의 이익'을 대변하는 소비자 권익 단체는 단 한 곳도 없다고 지적한다.
비밀번호와 달리, 패스키는 사용자가 저장 위치나 공유 대상을 자유롭게 선택하기 어렵다. 저자에 따르면 패스키 표준에는 웹사이트가 사용자의 패스키 통제 권한을 점진적으로 제한할 수 있는 '숨겨진 다이얼'이 내장돼 있다. 비밀번호는 어디에든 적어둘 수 있고, OTP 앱은 교체 가능하며, 물리적 보안키는 신뢰하는 동료에게 건넬 수 있다. 하지만 패스키는 이 모든 유연성을 구조적으로 제거한다.
저자는 비밀번호의 보안 취약성 자체는 인정한다. SolarWinds가 'solarwinds123'이라는 비밀번호를 사용했던 사례, 하와이 비상관리국 직원의 포스트잇 유출 사건 등을 예로 들며 비밀번호 문제의 심각성을 설명한다. 그러나 이 문제는 이미 2단계 인증(2FA) 등으로 상당 부분 해결됐다고 주장한다. 결국 패스키가 해결한다는 문제는 이미 해결된 문제이며, 그 대가로 사용자가 치르는 비용—통제권 상실—이 너무 크다는 것이 저자의 핵심 논지다.