새 사이트에 가입하거나 회사 계정의 비밀번호를 바꿔야 할 때는 길고 복잡한 문자열 하나를 여러 곳에 돌려 쓰기 쉽지만, 답은 계정마다 다른 긴 비밀번호를 만들고 관리자로 저장하는 것입니다. 여기에 다중 인증을 켜고 유출이 의심될 때 즉시 교체하면 추측, 재사용, 피싱으로 인한 피해를 나눠 막을 수 있습니다.
강력한 비밀번호를 가르는 기준
비밀번호의 강도는 대문자·숫자·기호를 몇 개 넣었는지만으로 판단하지 않습니다. 공격자가 알아내기 어려운지는 다음 기준이 함께 결정합니다.
- 길이: 짧은 문자열에 복잡한 기호를 섞는 것보다 긴 문장형 비밀번호나 무작위 문자열이 유리합니다. 서비스가 허용하는 최대 길이와 사용 가능한 문자는 해당 서비스의 가입·보안 설정 화면에서 확인합니다.
- 예측 가능성: 이름, 생일, 전화번호, 회사명, 키보드 배열, 계절이나 연도처럼 공개 정보와 흔한 패턴을 피합니다. 숫자를 뒤에 붙이거나 특정 문자를 기호로 바꾸는 방식도 이미 널리 알려진 규칙입니다.
- 고유성: 이메일, 쇼핑몰, 메신저, 업무 시스템에 같은 비밀번호를 쓰지 않습니다. 한 서비스에서 유출된 비밀번호가 다른 계정에도 자동으로 대입되는 것을 막는 기준입니다.
기억해야 하는 계정이 하나뿐이라면 서로 관련 없는 단어를 길게 이어 만든 문장형 비밀번호를 고려할 수 있습니다. 다만 문장에 본인과 가족의 정보가 들어가면 길어도 추측 대상이 됩니다.
반대로 금융·업무·관리자 계정처럼 탈취 피해가 큰 계정은 기억하기 쉬운 문구보다 비밀번호 관리자가 만든 무작위 값을 우선하는 편이 낫습니다. 서비스가 긴 비밀번호를 거부한다면 길이를 억지로 늘리기보다 해당 사이트가 안내하는 허용 범위 안에서 무작위성과 고유성을 확보해야 합니다.
계정마다 다른 비밀번호를 적용하는 순서
먼저 이메일 계정부터 분리합니다. 이메일은 다른 서비스의 비밀번호 재설정 메일을 받을 수 있으므로, 이 계정이 뚫리면 연쇄적으로 계정이 넘어갈 수 있습니다. 그다음 업무용 계정, 금융·결제 계정, 클라우드와 관리자 계정 순으로 고유 비밀번호를 배정합니다.
- 현재 같은 비밀번호를 쓰는 계정을 목록으로 적습니다.
- 이메일과 업무 시스템처럼 복구와 권한이 집중된 계정부터 새 비밀번호로 변경합니다.
- 각 서비스의 보안 설정에서 로그인 기록, 등록된 기기, 복구 이메일과 전화번호를 확인합니다.
- 변경한 비밀번호는 브라우저나 비밀번호 관리자의 보안 저장소에 기록하고 메모장, 메신저 대화, 종이에 평문으로 남기지 않습니다.
모든 계정을 한 번에 바꾸기 어렵다면 재사용 계정의 위험도가 높은 순서로 나눠도 됩니다. 하지만 이미 유출 통지를 받은 계정은 순서를 기다리지 말고 즉시 바꿔야 합니다.
비밀번호를 주기적으로 무조건 바꾸는 방식이 항상 안전한 것은 아닙니다. 유출 징후가 없는데 자주 바꾸면 사용자가 규칙적인 변형을 만들거나 재사용할 가능성이 커질 수 있습니다. 반대로 유출, 피싱 입력, 의심스러운 로그인 알림이 있었다면 변경 주기와 관계없이 교체하고 다른 계정에서 재사용한 값도 함께 바꿉니다.
비밀번호 관리자로 실수를 줄이는 방법
계정 수가 늘면 사람의 기억만으로 고유성을 유지하기 어렵습니다. 이때 비밀번호 관리자는 서비스별 무작위 비밀번호를 생성하고 저장하는 도구로 사용할 수 있습니다. 선택할 때는 운영체제와 브라우저 지원 여부, 휴대전화·업무 컴퓨터 간 동기화 방식, 복구 절차, 내보내기와 삭제 기능을 확인합니다.
관리자 자체의 주 비밀번호는 다른 곳에서 사용하지 않는 긴 값으로 정합니다. 이 값은 관리자 금고를 여는 열쇠이므로 생일이나 회사명 조합보다 직접 만든 긴 문장형 값 또는 신뢰할 수 있는 무작위 생성값이 적합합니다. 주 비밀번호를 잊었을 때 복구가 가능한지는 서비스마다 다르므로 가입 전에 공식 도움말에서 확인해야 합니다.
- 관리자 로그인에는 가능한 경우 다중 인증을 켭니다.
- 자동 완성은 공식 도메인에서만 작동하는지 확인한 뒤 사용합니다.
- 공용 컴퓨터나 다른 사람의 기기에는 금고를 저장하거나 동기화하지 않습니다.
- 가족이나 팀과 공유해야 하는 계정은 개인 메신저로 비밀번호를 보내지 말고 권한 공유 기능을 사용합니다.
- 주 비밀번호와 복구 수단을 본인만 관리하는가
- 다중 인증과 새 기기 로그인 알림을 지원하는가
- 업무용 계정의 퇴사·담당자 변경 때 접근 권한을 회수할 수 있는가
- 백업 파일을 만들 경우 암호화 상태와 보관 위치를 알고 있는가
비밀번호 관리자를 쓰지 않는 것이 곧바로 취약하다는 뜻은 아닙니다. 계정 수가 적고 모든 값을 고유하게 기억할 수 있다면 가능하지만, 업무용 계정이 늘거나 담당자가 바뀌는 조직에서는 관리 방식이 문서화되지 않으면 누락과 공유 문제가 커집니다.
다중 인증과 유출 대응까지 연결하기
강력한 비밀번호도 피싱 페이지에 직접 입력하면 보호 효과가 사라집니다. 로그인 주소를 메시지의 링크로 바로 열지 말고 즐겨찾기나 직접 입력한 공식 주소에서 접근합니다. 비밀번호를 요구하는 이메일이나 전화가 오면 발신자에게 회신하지 말고 해당 서비스의 공식 앱이나 웹사이트에서 사실을 확인합니다.
다중 인증은 비밀번호 외에 인증 앱, 보안 키, 일회용 코드 등을 추가하는 방식입니다. 지원한다면 이메일과 관리자 계정부터 켭니다. 문자 인증만 가능한 서비스도 미사용보다 낫지만, 통신사 계정 보호와 복구 수단 관리가 함께 필요합니다. 인증 앱을 옮기거나 휴대전화를 분실할 때 쓸 복구 코드는 비밀번호와 같은 곳에 평문으로 보관하지 않습니다.
유출이나 비정상 로그인 알림을 받았다면 해당 서비스의 공식 사이트에서 비밀번호를 바꾸고 모든 세션 로그아웃 기능을 실행합니다. 같은 값을 쓴 계정은 각각 새 값으로 바꾸며, 복구 이메일·전화번호와 로그인 기기 목록도 점검합니다. 회사 계정이라면 개인적으로만 처리하지 말고 조직의 계정 관리자에게 알림과 조치 기록을 남겨야 합니다.
가장 중요한 판단 기준은 한 계정에서만 쓰이는가입니다. 비밀번호가 조금 덜 복잡해 보여도 고유하면 피해 확산을 막을 수 있지만, 아무리 복잡해도 여러 서비스에서 재사용하면 한 번의 유출이 전체 계정으로 이어집니다.