패스키를 등록했는데 다음 로그인 화면에서도 비밀번호부터 묻는다면, 등록에 실패한 걸까. 꼭 그렇지는 않다. FIDO Alliance가 10월 15일 공개한 2026 Passkey Index 안내에는 뜻밖의 사례가 있다. 조사에 참여한 두 서비스는 이미 패스키가 있는 이용자에게도 비밀번호나 일회용 인증번호를 먼저 보여준다고 답했다.

이번 보고서에서 내가 눈여겨본 것은 새 인증 기술의 성능보다 그 기술로 들어가는 입구의 순서다. 패스키를 만들 수 있게 하는 일, 로그인할 때 그것을 먼저 쓰게 하는 일, 비밀번호를 없애는 일은 서로 다른 단계다. 첫 단계를 마쳤다고 나머지까지 자동으로 바뀌지는 않는다.

열쇠는 만들었는데 다른 문으로 안내한다

패스키는 지문·얼굴 인식이나 PIN처럼 기기의 잠금을 풀 때 쓰는 방식으로 앱과 웹사이트에 로그인하게 해주는 인증 수단이다. 사용자가 외운 비밀번호를 사이트에 입력하는 대신, 기기 등에 보관된 암호학적 열쇠로 인증한다. 여기서 기기 잠금 해제용 PIN과 웹사이트 계정 비밀번호는 같은 것이 아니다.

그런데 서비스가 기존 비밀번호 입력란을 먼저 내밀면 이용자는 늘 하던 절차를 따라갈 수 있다. 패스키가 없어 못 쓰는 경우와, 있는데도 그쪽으로 안내받지 못하는 경우가 화면에서는 비슷하게 보인다. 새 열쇠를 발급해 놓고 입구의 안내판은 바꾸지 않은 셈이다.

보고서 원문의 개별 사례에는 더 구체적인 설명도 있다. 앞서 말한 두 서비스 중 하나는 패스키를 먼저 제시하면 패스키 로그인 비중이 대략 두 배가 될 것으로 추정했다. 실제로 화면을 바꿔 두 배를 달성했다는 실험 결과는 아니다. 다만 서비스 스스로도 이용자의 의지뿐 아니라 자신이 정한 안내 순서를 문제로 보고 있다는 점은 읽을 수 있다. 어느 회사인지는 공개되지 않았다.

36%라는 숫자가 말하지 않는 것

보고서는 패스키가 실제 로그인 수단으로 자리 잡고 있다고 설명한다. 해당 문항에 답한 12개 서비스에서, 성공한 로그인 중 패스키를 쓴 비중은 평균 36%였다. 인터넷 전체 로그인 열 번 중 서너 번이 패스키라는 뜻은 아니다. 서비스마다 이용자 수를 가중한 값도 아니라, 응답한 서비스별 비율을 같은 무게로 평균한 수치다.

전체 조사에는 Google, Microsoft, Amazon, PayPal 등을 포함한 15개 서비스가 참여했고, 결과 집계일은 9월 21일이다. 지난해는 참여 서비스가 9개였으므로 두 해의 숫자 차이를 같은 회사들의 성장률처럼 읽어서도 안 된다. 이번 달 새로 공개된 보고서이지, 10월 이용 기록을 실시간으로 센 자료는 아니다.

등록 계정 비율과 로그인 비율도 분모가 다르다. 한 계정이 여러 번 로그인할 수 있으니, 두 비율의 차이만으로 ‘등록하고 안 쓰는 사람’이 몇 명인지 계산할 수는 없다. 10월 20일 Biometric Update의 보도 역시 등록 이후 실제 사용으로 이어지는 간격을 과제로 짚었다. 여기서 얻을 답은 비밀번호가 이미 사라졌다는 선언보다, 패스키를 제공하는 것만으로 전환이 끝나지는 않는다는 쪽에 가깝다.

비밀번호를 지우기 전에 남겨야 할 길

FIDO가 함께 소개한 Passkey Rubric은 이 문제를 화면 설계와 계정 관리의 기준으로 풀었다. 사용자 이름 입력란의 자동완성에 패스키를 띄우고, 로그인 수단을 요구하기 전에 사용할 패스키가 있는지 확인하도록 권한다. 이용자에게 새 기술을 외우게 하기보다, 평소 누르던 자리에서 사용할 수 있게 하자는 접근이다.

그렇다고 모든 대체 경로를 당장 없애라는 지침은 아니다. 기본 단계에서는 패스키 인증이 실패하거나 취소돼도 다른 로그인 방법과 계정 복구 경로가 보여야 한다. 여러 기기·인증정보 관리자·보안 키에 패스키를 등록할 수 있게 하라는 항목도 있다. 새 로그인 방식이 편해져도, 그 수단을 사용할 수 없는 순간 계정까지 잃어서는 안 되기 때문이다.

한편 가장 높은 단계에서는 비밀번호와 SMS 인증번호처럼 피싱에 취약한 수단을 없애고 강한 복구 방식을 갖추도록 한다. 모순이라기보다 전환의 순서다. 복구할 길을 마련하는 것과 취약한 우회로를 계속 남겨 두는 것은 다르다. 이 등급들은 서비스의 자체 점검 기준이지 FIDO가 발급한 보안 인증도 아니다.

이용자 입장에서 확인할 것은 ‘패스키 등록 완료’ 알림 하나로 끝나지 않는다. 다음 로그인에서 패스키를 실제로 고를 수 있는지, 계정 설정에서 등록된 열쇠를 관리할 수 있는지, 기기를 바꿨을 때 사용할 복구 경로가 있는지가 이어진다. 특정 서비스가 다시 비밀번호를 묻는 이유까지 이 익명 보고서로 진단할 수는 없다. 하지만 등록 실패로 단정하기 전에 살펴볼 구분은 생긴다. 열쇠를 갖게 된 것과, 그 열쇠로 늘 들어가게 된 것은 아직 같은 일이 아니다.