피싱 방지 인증의 선구자이자 최초의 패스키인 유비키(YubiKey)를 개발한 유비코(Yubico)와 옥타(Okta, Inc.)가 실시한 새로운 설문조사에서 보안 지식과 일상적 실무 사이에 상당한 격차가 있는 것으로 나타났다. 보안 리더들은 피싱 방지 패스키가 비밀번호보다 더 안전하다는 점을 대다수가 인식하고 있지만, 그중 절반 가까이는 일상 업무에서 여전히 취약한 로그인 방식에 의존하고 있다.
토커 리서치(Talker Research)가 실시한 연례 ‘2026 글로벌 인증 현황(2026 Global State of Authentication)’* 보고서는 9개국에 걸쳐 약 2000명의 사이버 보안 및 IT 전문가를 대상으로 설문조사를 진행했다. 이 보고서는 사이버 보안의 주요 취약점이 더 이상 교육이나 인식 부족이 아니라 운영상의 마찰과 낡은 온보딩 기본 설정(defaults)에서 비롯된 구조적 문제라고 강조한다.
조직은 이 격차를 해소하기 위해 추가적인 보안 인식 교육에만 전적으로 의존할 수 없다. 오히려 실질적인 진전은 신규 직원이 입사 첫날 어떤 인증 수단을 지급받는지에서 시작된다.
◇ 주요 조사 결과
· 응답자의 43%가 직장에서 비밀번호에 의존하고 있으며, 이 중 다수가 패스키가 더 안전하다는 것을 알고 있다. 31%는 하드웨어 패스키를 최적의 표준(gold standard)으로 꼽았고, 27%는 동기화 패스키를, 23%는 모바일 기기를 통한 기기 종속형(device-bound) 패스키를 가장 안전한 방식으로 선택했다.
· 52%가 입사 첫날 기존 비밀번호를 그대로 부여받아 레거시 온보딩 기본 설정이 장기적인 보안 습관을 좌우한다는 것이 입증됐다.
· 44%가 지난 12개월간 AI 기반 공격을 겪었으며, 싱가포르가 전 세계에서 가장 높은 비율(58%)을 기록해 일본(30%), 독일(38%)과 극명한 대조를 이뤘다.
· 보안 전문가의 39%가 AI가 생성한 텍스트와 사람이 직접 쓴 글을 구별하지 못했다.
· 인도(68%), 호주(60%), 미국(56%)에서 패스키에 ‘매우 익숙하다’고 답한 직장인 비율이 가장 높았다.
· 91%가 자율 AI 에이전트가 중요한 작업을 실행하기 전에 ‘휴먼 인 더 루프(human-in-the-loop, 인간 개입)’ 승인 단계를 원했다.
· 인도 전문가들은 고객 및 동료와의 커뮤니케이션을 AI 에이전트에 위임하려는 의향에서 글로벌 시장을 선도했으며(‘매우 편안함’ 41%), 일본은 4%, 프랑스는 12%에 그쳤다.
· 미국 보안 전문가의 50%가 직장에서 비밀번호를 사용해 기술적 인식이 가장 높음에도 불구하고 조사 대상 글로벌 시장 중 레거시 비밀번호 의존도가 가장 높았다.
푸팍 엔봄(Poupak Enbom) 유비코 최고시장·성장책임자는 “기업 사이버 보안에는 핵심적인 실행 격차가 있다”며 “보안 리더들은 하드웨어 기반 패스키, 특히 하드웨어 보안 키가 최고 수준의 보호를 제공한다는 것을 알고 있지만, 그중 절반 가까이는 여전히 매일 기본적인 사용자 이름과 비밀번호에 의존하고 있다. 이 격차는 전문성의 문제가 아니라 사용자 도입 시 발생하는 마찰을 극복하는 문제”라고 말했다.
이러한 운영상의 단절은 초기에 시작된다. 보안 전문가의 50% 이상이 입사 첫날 기존 자격 증명을 부여받아 비밀번호 의존도가 기본값으로 자리 잡으며 안전하지 않은 습관이 고착된다. 노련한 사이버 보안 전문가조차 합성 메시지(synthetic messaging)를 식별하는 데 어려움을 겪어 사용자의 경계심에만 의존하기 어렵기 때문에, 생성형 AI는 이러한 리스크를 더욱 악화시킨다.
또한 자율 AI 에이전트의 도입은 이러한 문제를 더욱 가중시킨다. 응답자의 91%가 인간의 승인 단계를 원하고 있는데, 이는 에이전트 이면에 실제 사람이 존재하는지 확인할 수 있는 신뢰할 만한 수단이 필요함을 의미하기 때문이다.
샬럿 와일리(Charlotte Wylie) 옥타 수석부사장 겸 최고보안책임자 대리는 “이 격차를 해소하려면 조직이 온보딩 경험에 보안을 직접 구축해야 한다”며 “레거시 로그인 습관이 지속되면 기업은 현대적 공격 벡터(attack vectors)에 계속 취약할 수밖에 없다. 우리는 유비코와 함께 모든 직원이 입사 첫날부터 제로 트러스트(zero-trust) 기반의 피싱 방지 인증으로 보호받을 수 있는 통합 접근 방식을 제공하고 있다”고 밝혔다.
이러한 구조적 장애물을 극복하기 위해 유비코와 옥타는 기업 신원 시스템이 하드웨어 기반 자격 증명을 발급, 관리, 시행하는 방식을 간소화하기 위해 협력하고 있다. 양사는 피싱 방지 기능을 최신 액세스 관리 플랫폼에 직접 내장함으로써 IT팀이 직원들에게 운영상의 번거로움을 일으키지 않고 비밀번호 의존을 없앨 수 있도록 지원하는 것을 목표로 한다.
