OTP로 다단계 인증을 쓰고 있는데 패스키로 바꿔야 합니까

OTP가 막지 못하는 공격

OTP 기반 MFA는 비밀번호만 쓰는 것보다 훨씬 안전합니다. 다만 사람이 화면에 보이는 코드를 옮겨 입력하는 구조라는 한계가 있습니다. 공격자가 진짜와 똑같은 로그인 화면을 만들어 직원을 유도하면, 직원은 비밀번호와 OTP를 그 화면에 입력하고 공격자는 받은 값을 즉시 진짜 사이트에 넘겨 로그인합니다. 코드의 유효 시간이 짧아도 실시간으로 중계하면 충분합니다.

미국 국립표준기술연구소(NIST)가 2025년 7월 확정한 인증 지침 SP 800-63B-4는 이 점을 명확히 적고 있습니다. 인증 값을 사람이 직접 입력하는 방식은 피싱 저항성이 있는 것으로 볼 수 없고, 피싱 저항성은 암호학적 인증으로만 얻을 수 있다는 것입니다. 같은 지침은 일반적인 보안 수준(AAL2)의 서비스도 피싱에 강한 인증 방식을 최소 하나는 선택지로 제공하도록 요구합니다. 미국 연방기관을 위한 지침이라 국내 기업에 직접 적용되지는 않지만, 인증 방식의 강도를 비교하는 기준으로 참고할 만합니다.

패스키가 다른 이유

패스키는 FIDO 표준에 기반한 인증 수단입니다. 로그인할 때 기기가 개인 키로 서명하고, 서버는 등록해 둔 공개 키로 그 서명을 확인합니다. 핵심은 서명이 접속한 사이트의 도메인과 묶여 만들어진다는 점입니다. 직원이 가짜 사이트에 접속하면 기기는 그 도메인에 등록된 패스키가 없으므로 응답하지 않습니다. 사람의 주의력에 기대지 않고 구조로 막는다는 것이 OTP와의 결정적 차이입니다.

무엇부터 바꾸나

1. 클라우드 루트·관리자 계정탈취되면 모든 자원이 넘어가는 계정입니다. 보안 키 같은 기기 결합형을 우선 검토합니다.
2. 통합 로그인(SSO)·신원 공급자 관리자다른 모든 시스템의 문이므로 다음 우선순위입니다.
3. 원격 접속과 개인정보처리시스템 외부 접속외부에서 내부로 들어오는 경로입니다.
4. 전 직원 업무 계정지원 기기와 복구 절차를 마련한 뒤 단계적으로 넓힙니다.

한꺼번에 전 직원에게 적용하기보다 피해 범위가 큰 계정부터 바꾸는 편이 현실적입니다. AWS는 IAM 사용자와 루트 사용자에 패스키와 보안 키를 MFA로 등록할 수 있게 지원하며, 가능한 곳에서는 패스키·보안 키 같은 피싱 저항형 MFA를 쓰라고 권장합니다. 사용자당 MFA 기기를 여러 개(AWS 문서 기준 최대 8개) 등록할 수 있으므로, 하나를 잃어버려도 다른 하나로 들어올 수 있게 두 개 이상 등록해 두는 것이 기본입니다.

전환할 때 자주 놓치는 것이 약한 경로를 남겨 두는 문제입니다. 패스키를 등록하고도 OTP나 문자 인증을 대체 수단으로 그대로 열어 두면, 공격자는 패스키를 우회해 약한 쪽으로 로그인을 시도합니다. 관리자 계정처럼 우선 전환한 계정은 대체 수단도 패스키나 보안 키로 맞추는 편이 좋습니다.

복구 절차도 공격 지점이 될 수 있습니다. 기기를 잃어버린 직원이 헬프데스크에 전화해 인증 수단을 초기화하는 절차가 허술하면, 공격자도 같은 전화로 계정을 가져갈 수 있습니다. 초기화 요청은 영상 통화나 대면 확인, 상급자 승인처럼 본인 확인 단계를 한 번 더 거치게 하고, 초기화 이력은 기록으로 남깁니다.

전 직원 단계에서는 기술보다 안내와 예외 처리에 더 많은 준비가 필요합니다. 등록 방법을 화면 단위로 안내하고, 회사 기기가 없는 직원이나 여러 사람이 같이 쓰는 공용 PC처럼 패스키를 쓰기 어려운 상황의 대안을 미리 정해 둡니다. 패스키를 지원하지 않는 업무 서비스는 통합 로그인 뒤로 옮겨, 직원이 패스키로 통합 로그인에 들어가면 나머지 서비스는 그 인증을 이어받게 하는 구성이 관리하기 쉽습니다.

동기화 패스키와 기기 결합형 보안 키

FIDO Alliance는 하드웨어 보안 키에 담긴 기기 결합형 패스키가 가장 높은 보안 보증을 제공한다고 설명하고, NIST 지침도 동기화 가능한 인증 수단은 최고 보증 수준(AAL3)에는 쓰지 않도록 정합니다. 그래서 최고 관리자 계정에는 보안 키, 일반 직원에게는 동기화 패스키로 나누는 구성을 검토할 만합니다.

국내 기준과 함께 볼 것

개인정보의 안전성 확보조치 기준 제6조제2항은 외부에서 정보통신망을 통해 개인정보처리시스템에 접속할 때 인증서·보안토큰·일회용 비밀번호 등 안전한 인증수단을 적용하도록 정합니다. 개정 전에는 개인정보취급자가 대상이었고, 2025년 10월 개정으로 「정당한 접근 권한을 가진 자(정보주체 제외)」로 넓힌 조항의 시행일은 2026년 11월 1일입니다. 개인정보보호위원회 안내서(2025.11.)는 안전한 인증수단을 「타인이 쉽게 도용하거나 위조할 수 없는 보안 수준을 갖춘 인증 방식」으로 설명하지만, 고시와 안내서의 예시에 패스키가 명시돼 있지는 않습니다. 패스키를 이 기준의 안전한 인증수단으로 볼 수 있는지는 법률 검토가 필요한 지점이므로 감독기관 해석과 함께 확인하십시오.

참고 자료

• NIST SP 800-63B-4 Digital Identity Guidelines: Authentication (2025)
• Passkeys — FIDO Alliance
• Assign a passkey or security key in the AWS Management Console — AWS 문서
• Top Ten Cybersecurity Misconfigurations (AA23-278A) — CISA·NSA
• 개인정보의 안전성 확보조치 기준 안내서(2025.11.) — 개인정보보호위원회