구글 패스키·비밀번호 관리자 동시 공격 시나리오 노출… 디지털 신원 보호체계 재설계 압박

구글 ‘패스키·패스워드 매니저’ 동시 공격 취약점 노출… 국내 디지털 신원 보호체계 재설계 압박

• 독립 연구자가 크롬·안드로이드용 Google Password Manager에서 패스키와 자동완성 비밀번호를 동시에 탈취 가능한 공격 시나리오를 제시해 멀웨어가 사용자 모르게 패스키 보호 계정을 가로채는 구조적 위험이 드러난 사건이다.
• 공격은 멀웨어가 브라우저 확장·안드로이드 앱 권한을 악용해 Google Password Manager UI를 흉내 내고 사용자의 패스키 승인 흐름을 가로채는 방식으로 이루어지며, 단일 기기 신뢰에 의존하는 현재 FIDO 기반 패스키 설계가 사회공학·권한 오남용에 취약하다는 점을 보여준다.
• 연구자는 실증 PoC에서 Google Password Manager에 저장된 계정 중 패스키 보호 계정에 대해 멀웨어가 자동완성 비밀번호와 패스키 인증을 연계해 로그인 세션을 탈취할 수 있다고 밝히며, 이는 국내 공공·금융에서 도입 중인 패스키 기반 간편인증 설계 전반을 다시 검증해야 한다는 신호이다.
• 구글 사례는 패스키를 도입해도 비밀번호 관리자·브라우저 자동완성과 얽힌 사용자 경험이 그대로 유지될 경우 멀웨어에 의한 전체 디지털 신원 탈취가 가능함을 보여주고, 국내 마이데이터·원스톱 전자증명 서비스의 통합 인증 UX 설계가 공격면을 키우지 않는지 선제 점검이 필요하다.
• 이번 취약점 논의는 FIDO·패스키를 차세대 표준으로 채택하는 글로벌 흐름 속에서 디바이스 신뢰·애플리케이션 권한·보안 UI 규제까지 아우르는 ‘디지털 신원 보호 프레임워크’가 국가 단위로 필요함을 시사하며, 한국 정부가 추진 중인 제로트러스트 전환로드맵과 연계해 브라우저·OS 레벨까지 규제·인증 정책을 확장할 기회이다.

패스키 도입을 디지털 전환의 만능 열쇠로 보지 말고, 비밀번호 관리자·브라우저 확장·모바일 OS 권한체계까지 아우르는 통합 위험평가를 즉시 착수해 공공·금융 인증 UX를 국가 차원에서 재설계할 것을 권고한다.

주요 용어: 패스키(비밀번호 대신 기기·생체를 이용하는 FIDO 기반 로그인 수단), Google Password Manager(구글 계정에 저장된 비밀번호·패스키를 브라우저·모바일에서 자동 관리하는 기능)

출처: The Hacker News