미국 마이크로소프트(MS)가 '비밀번호 없는 세상'을 앞당기고 있다. 비밀번호 저장 및 자동 입력 기능들을 종료하고, '패스키'(passkey) 기반으로의 변화를 도모하고 있다. 비밀번호 자동 입력 및 저장 기능이 보안에 취약한 만큼 생체 인증 등 패스키 도입을 통해 보안을 강화하기 위한 조치로 보인다.
미국의 보안 전문 매체 '사이버뉴스'(cybernews)는 2일(현지시간) 마이크로소프트의 비밀번호 저장 및 자동 입력 애플리케이션 '마이크로소프트 어센티케이터(Microsoft Authenticator)'가 저장된 모든 비밀번호를 8월부터 영구 삭제한다고 보도했다. 로그인 보안을 위해 2단계 인증(2FA) 및 패스키 지원만 유지한다는 것이다.
앞서 '마이크로소프트 어센티케이터'는 지난 6월 사용자가 앱에 새 비밀번호를 저장할 수 없도록 조치했다. 이어 7월에는 자동 완성 기능을 완전히 중단했고, 이달부터 저장된 모든 비밀번호와 결제 정보를 삭제했다.
다만 사이버뉴스 보도에 따르면 링크드인, 트위터 등의 서비스를 지원하기 위해 2단계 인증은 기존대로 유지하고, 패스키 지원 역시 변경되지 않았다. 사용자 이름, 비밀번호, 결제정보 등을 저장하기 위해 사용됐던 마이크로소프트 어센티케이터가 패스키 기반의 인증 도구로 완전히 재편되는 것이다.
패스키는 지문인식, 얼굴인식 등 방식으로 본인을 인증하고 로그인을 가능케 하는 기술로 '비밀번호 없는 로그인'으로 불린다. 비밀번호가 없기 때문에 피싱 사이트에 계정정보를 입력해 정보가 유출되거나 복잡한 비밀번호를 외우려다 잊어버리는 일도 벌어지지 않는다는 장점이 있다. 또 비밀번호가 유출되면 같은 비밀번호를 사용하는 여러 사이트에서도 정보가 유출될 수 있는 위험을 패스키는 현저히 줄일 수 있다.
사이버뉴스는 '어센티케이터' 내에 사용자의 계정정보가 저장돼 있다면 내보내기 작업을 수행해야 한다고 강조했다. '어센티케이터' 앱의 설정 메뉴에서 저장된 비밀번호가 포함된 CSV 파일을 생성하고 내보내기 도구를 통해 다른 서비스에 정보를 업로드해야 한다는 것이 골자다.
단 모든 비밀번호가 암호화되지 않은 CSV 파일로 PC에 저장할 경우 보안 위협이 있을 수 있는 만큼 계정정보 업로드 이후에는 기존 정보를 반드시 삭제해야 한다고 당부했다.
아울러 계정정보를 다른 위치로 옮긴 이후에도 어센티케이터를 2단계 인증 코드, 패스키 관리자 또는 생체 인식 로그인에 계속 사용할 수 있기 때문에 앱을 삭제하면 안 된다고 지적했다. 앱을 삭제할 경우 해당 패스키를 사용하는 서비스에 접근하는 것이 어려울 수 있기 때문이다. 이 외에도 '어센티케이터'에 결제 정보 등이 저장돼 있는 경우에는 이전되지 않기 때문에 유의해야 한다.
사이버뉴스는 마이크로소프트가 모든 사람을 '비밀번호 없는 미래'로 이끄는 여정에 동참시키고자 하고 있다고 분석했다. 최근 마이크로소프트가 기기 또는 생체 인식 로그인에 인증을 연결하는 패스키 사용을 장려해온 것도 이런 이유에서다.
관련기사
- "탈탈 털린 비번, 당장 바꿔라"…구글·애플·페북 등 데이터 유출에 전 세계 '패닉'2025.06.22
- 해커도 기다리는 여름휴가…개인정보 유출 '주의보'2025.07.03
- 개인정보 줄줄 새는 AI 시대…"아마존 메이시·베드록으로 막는다"2025.06.18
- "미국도 이제 리스크"…시장 넓히는 현대차·기아, 인도가 최대 격전지2025.08.03
사이버뉴스는 "마이크로소프트는 어센티케이터의 기능을 제거하는 데 그치지 않을 것"이라며 "로그인 방식 자체를 바꾸는 것이 목표이며, 많은 주요 기업과 마찬가지로 마이크로소프트 역시 비밀번호가 사라지기를 원하고 있다"고 설명했다.
또한 "비밀번호는 재사용되고 잊어버리기도 하며, 도용되거나 피싱당할 수 있다"며 "패스키는 사용자가 기억하려고 하는 정보가 아니라 지문이나 얼굴 인식처럼 사용자의 신원에 의존하고 있기 때문에 비밀번호가 갖고 있는 취약점이 통하지 않아 새로운 로그인 표준으로 부상하고 있다"고 진단했다.
