비밀번호 활용법을 조금만 바꿔도 계정 탈취 위험은 크게 줄어듭니다. 실제 유출 사고의 상당수는 정교한 해킹이 아니라, 이미 유출된 비밀번호를 다른 사이트에 그대로 대입해 보는 크리덴셜 스터핑에서 시작됩니다. 한 곳에서 새어 나간 비밀번호가 열 곳의 문을 여는 열쇠가 되는 구조입니다. 그래서 중요한 것은 비밀번호 하나를 얼마나 어렵게 만드느냐가 아니라, 전체 계정을 어떤 구조로 관리하느냐입니다.
첫 번째 원칙: 복잡성보다 길이가 먼저입니다
대문자, 숫자, 특수문자를 억지로 섞은 8자리 비밀번호는 생각보다 약합니다. P@ssw0rd! 같은 조합은 규칙이 뻔해서 공격자가 사용하는 사전 목록에 이미 들어가 있습니다. 반면 의미 없는 단어 네 개를 이어 붙인 16자리 문자열은 조합 경우의 수가 기하급수적으로 늘어나 무차별 대입에 훨씬 강합니다.
보안 기관들도 최근에는 주기적 강제 변경이나 복잡한 문자 조합 요구를 권장하지 않는 쪽으로 방향을 바꿨습니다. 사용자가 규칙을 지키려다 오히려 예측 가능한 패턴을 만들기 때문입니다.
- 최소 12자, 중요 계정은 16자 이상을 목표로 합니다
- 생일, 전화번호, 반려동물 이름 등 공개된 정보는 넣지 않습니다
- 키보드 배열을 그대로 따라간 문자열은 피합니다
- 연도를 붙여 매년 숫자만 바꾸는 방식은 사실상 같은 비밀번호입니다
기억하면서 안전하게, 비밀번호 만드는 3단계
모든 계정의 비밀번호를 외울 필요는 없습니다. 다만 관리 도구의 마스터 비밀번호처럼 반드시 머리로 기억해야 하는 것이 한두 개는 존재합니다. 이때 쓸 수 있는 방법이 문장 기반 생성입니다.
- 1단계 문장 정하기: 남에게 말한 적 없는 개인적 문장을 만듭니다. 예를 들어 "세 번째 이사한 집 앞에는 은행나무가 두 그루 있었다"처럼 구체적일수록 좋습니다.
- 2단계 압축하기: 각 단어의 앞 글자나 초성을 뽑아 문자열로 바꿉니다. 여기에 문장 속 숫자를 그대로 살려 둡니다.
- 3단계 변형 규칙 추가: 특정 위치에만 대문자나 기호를 넣는 나만의 규칙을 하나 정합니다. 규칙은 단순해도 남이 모르면 충분합니다.
이 방식은 기억해야 할 소수의 비밀번호에만 적용하고, 나머지 수십 개 계정은 무작위 문자열을 쓰는 편이 안전합니다. 사람이 만든 문자열에는 아무리 노력해도 패턴이 남기 때문입니다. 이런 무작위 문자열이 필요할 때는 비밀번호 생성기로 길이와 문자 종류를 지정해 뽑아 두면 편리합니다.
계정 등급을 나누는 비밀번호 활용법
모든 계정에 같은 수준의 노력을 쏟을 필요는 없습니다. 잃었을 때의 피해 크기에 따라 등급을 나누면 관리 부담이 크게 줄어듭니다. 핵심은 등급 사이에 비밀번호를 절대 공유하지 않는 것입니다.
| 등급 | 해당 계정 | 권장 길이 | 추가 보호 |
|---|---|---|---|
| 1등급 | 주 이메일, 금융, 클라우드 | 16자 이상 | 2단계 인증 필수, 계정별 고유 |
| 2등급 | SNS, 쇼핑몰, 업무 협업 도구 | 12자 이상 | 가능하면 2단계 인증 |
| 3등급 | 일회성 가입, 뉴스레터 | 12자 | 고유 문자열 사용, 소셜 로그인 활용 |
특히 주 이메일은 다른 모든 계정의 비밀번호 재설정 창구이기 때문에 실질적인 마스터 계정입니다. 여기가 뚫리면 나머지 계정의 강도는 의미를 잃습니다.
비밀번호만으로 부족할 때: 2단계 인증과 패스키
비밀번호는 아는 것 하나에만 의존하는 인증 수단입니다. 여기에 가진 것을 하나 더하면 유출되더라도 곧바로 침입으로 이어지지 않습니다. 2단계 인증은 문자메시지보다 인증 앱이나 보안 키 방식이 안전합니다. 문자메시지는 번호 이동을 악용한 탈취에 취약하기 때문입니다.
최근에는 패스키가 빠르게 확산되고 있습니다. 기기에 저장된 개인 키와 서비스가 가진 공개 키로 인증하는 방식이라 서버에 비밀번호 자체가 저장되지 않습니다. 서버가 털려도 훔쳐 갈 비밀번호가 없고, 피싱 사이트에서는 동작하지 않는다는 점이 결정적인 장점입니다. 지원하는 서비스라면 우선 전환을 권장합니다.
백업 코드는 반드시 별도로 보관해야 합니다. 휴대폰을 분실했을 때 유일한 복구 수단이 되는 경우가 많은데, 정작 그 코드를 휴대폰 안에만 저장해 두는 사람이 적지 않습니다.
유출 점검과 교체 주기 관리하기
주기적으로 무조건 바꾸는 방식은 이제 권장되지 않습니다. 대신 바꿔야 할 신호가 왔을 때 즉시 바꾸는 쪽이 효과적입니다.
- 이용하던 서비스의 유출 사고가 공지되었을 때
- 브라우저나 관리 도구가 유출된 비밀번호라고 경고했을 때
- 공용 PC나 타인의 기기에서 로그인한 적이 있을 때
- 계정에서 모르는 기기의 로그인 기록이 확인될 때
- 과거에 같은 비밀번호를 여러 사이트에 재사용했다는 사실을 알게 되었을 때
점검은 한 번에 몰아서 하기보다 등급 순으로 나눠 진행하는 편이 현실적입니다. 1등급 계정 다섯 개만 먼저 고유한 긴 비밀번호와 2단계 인증으로 정리해도 위험의 대부분이 줄어듭니다. 남은 계정은 로그인할 때마다 하나씩 교체하면 몇 주 안에 자연스럽게 정리됩니다.
보안은 완벽한 상태를 한 번에 만드는 일이 아니라, 뚫렸을 때 피해가 번지지 않도록 칸을 나누는 일에 가깝습니다. 비밀번호 활용법의 목표도 결국 여기에 있습니다.