계정을 지키는 기본 — 2단계 인증부터 로그인 기록 확인까지

계정은 어떻게 털리나

계정이 넘어가는 경로는 생각보다 단순합니다. 가장 흔한 것은 다른 사이트에서 유출된 아이디와 비밀번호 조합을 그대로 여러 사이트에 넣어보는 방식입니다. 같은 비밀번호를 여러 곳에 쓰고 있다면 한 곳만 뚫려도 전부 위험해집니다. 실제 사고의 상당수가 해킹 기술이 아니라 이 재사용 문제에서 시작됩니다.

두 번째는 가짜 로그인 페이지로 유도해 직접 입력하게 만드는 방식입니다. 진짜와 구분하기 어려운 화면을 만들어 두고 링크를 뿌립니다. 세 번째는 공용 기기에서 로그아웃하지 않고 자리를 뜨는 경우입니다. 기술적으로 정교한 공격보다 이런 기본적인 빈틈이 훨씬 자주 문제를 일으킵니다.

비밀번호 재사용이 가장 큰 위험

여러 서비스에 같은 비밀번호를 쓰는 것은 열쇠 하나로 집과 차와 사무실을 모두 여는 것과 같습니다. 하나가 유출되면 전부 열립니다. 특히 오래전에 가입하고 잊어버린 사이트가 유출되면, 본인은 사고가 났다는 사실조차 모른 채 다른 계정이 위험해집니다.

모든 사이트에 다른 비밀번호를 외우는 것은 현실적으로 불가능합니다. 그래서 최소한 중요한 계정만이라도 고유한 비밀번호를 쓰는 것부터 시작하는 편이 좋습니다. 메일 계정은 다른 모든 계정의 복구 창구이므로 가장 우선해야 합니다.

2단계 인증이 실질적인 방어선

비밀번호가 유출되어도 두 번째 인증 수단이 있으면 로그인이 막힙니다. 실제로 계정 탈취 시도의 대부분을 차단하는 가장 효과적인 조치입니다. 설정에 몇 분이면 되고 로그인할 때마다 몇 초가 더 걸리는 정도의 비용입니다.

방식에는 문자 인증, 인증 앱, 보안 키가 있습니다. 문자는 간편하지만 번호 이전 사기 같은 방법으로 우회될 수 있어 가장 약합니다. 인증 앱은 기기 안에서 코드를 생성하므로 훨씬 안전하고, 대부분의 서비스가 지원합니다. 가능하다면 인증 앱을 쓰는 편을 권합니다.

복구 코드 보관

2단계 인증을 설정하면 복구 코드가 발급됩니다. 휴대폰을 잃어버리거나 기기를 바꿨을 때 계정에 다시 들어가기 위한 수단입니다. 이 코드를 저장해 두지 않으면 정작 본인이 계정에 못 들어가는 상황이 생깁니다.

복구 코드는 인쇄해서 물리적으로 보관하거나, 암호화된 저장소에 두는 것이 안전합니다. 메일함이나 메모 앱에 그대로 두면 그 계정이 뚫렸을 때 함께 넘어가므로 의미가 없습니다.

로그인 기록 확인하기

대부분의 서비스가 최근 로그인 기록을 제공합니다. 언제, 어느 기기에서, 어느 지역에서 접속했는지 볼 수 있습니다. 정기적으로 확인하는 습관을 들이면 이상 징후를 빠르게 알아챌 수 있습니다.

모르는 기기나 낯선 지역의 접속이 보이면 즉시 비밀번호를 바꾸고 모든 기기에서 로그아웃해야 합니다. 다만 지역 정보는 통신망 경로에 따라 실제와 다르게 표시되기도 하므로, 기기 정보와 시각을 함께 보고 판단하는 편이 정확합니다.

세션 정리

로그인 상태는 기기마다 유지됩니다. 예전에 쓰던 휴대폰, 잠깐 빌려 쓴 컴퓨터, 오래전 브라우저에 로그인이 남아 있을 수 있습니다. 설정에서 활성 세션 목록을 확인해 쓰지 않는 것을 정리하면 위험이 줄어듭니다.

기기를 팔거나 넘길 때는 반드시 모든 계정에서 로그아웃해야 합니다. 초기화만으로 충분하다고 생각하기 쉽지만, 클라우드에 남은 세션은 별개로 정리해야 하는 경우가 있습니다.

보안 알림 켜두기

새 기기에서 로그인이 발생했을 때 알림을 보내는 기능이 있습니다. 이를 켜두면 본인이 하지 않은 로그인을 즉시 알 수 있습니다. 알림을 받은 즉시 대응하면 피해를 최소화할 수 있습니다.

알림은 메일과 문자 중 확인이 빠른 쪽으로 설정하는 것이 좋습니다. 메일 알림만 켜두었는데 메일 계정 자체가 뚫린 상황이라면 알림이 소용없기 때문입니다.

공용 기기 사용 시

PC방, 도서관, 회사 공용 컴퓨터에서 로그인할 때는 시크릿 모드나 개인정보 보호 모드를 쓰는 것이 기본입니다. 이 모드는 종료 시 로그인 정보와 기록을 남기지 않습니다.

자동 로그인이나 비밀번호 저장은 절대 선택하지 말아야 합니다. 자리를 뜨기 전에 명시적으로 로그아웃하고, 가능하면 나중에 다른 기기에서 세션 목록을 확인해 남은 것이 없는지 점검하는 편이 안전합니다.

메일 계정이 핵심이다

메일 계정은 다른 모든 계정의 비밀번호 재설정 창구입니다. 메일이 뚫리면 연결된 모든 서비스가 순차적으로 넘어갈 수 있습니다. 그래서 메일 계정에는 가장 강한 보안을 적용해야 합니다.

메일에 설정된 복구 수단도 점검할 필요가 있습니다. 오래전에 등록한 전화번호나 보조 메일이 지금은 쓰지 않는 것이라면, 그것 자체가 취약점이 됩니다. 현재 사용 중인 수단으로 갱신해 두세요.

이상 징후 알아채기

계정이 넘어갔을 때 나타나는 신호가 있습니다. 로그인이 갑자기 안 되거나, 비밀번호 변경 알림이 본인 의사와 무관하게 오거나, 보내지 않은 메시지가 발송함에 있는 경우입니다.

설정이 바뀌어 있는 것도 신호입니다. 알림 수신이 꺼져 있거나, 모르는 전달 규칙이 추가되어 있거나, 복구 연락처가 바뀌어 있다면 이미 침입이 있었을 가능성이 높습니다. 이런 변경은 피해자가 알아채지 못하게 하려는 목적으로 이루어집니다.

침해가 의심될 때의 순서

먼저 비밀번호를 바꾸고, 모든 기기에서 로그아웃합니다. 그다음 2단계 인증을 설정하거나 재설정하고, 복구 연락처와 전달 규칙 같은 설정이 변경되지 않았는지 확인합니다. 마지막으로 같은 비밀번호를 쓰던 다른 계정도 함께 변경합니다.

순서가 중요합니다. 비밀번호만 바꾸고 로그아웃을 하지 않으면 기존 세션이 살아 있어 계속 접근이 가능합니다. 반대로 로그아웃만 하고 비밀번호를 두면 다시 들어옵니다.

정리 — 우선순위

가장 먼저 할 일은 메일 계정에 2단계 인증을 켜는 것입니다. 그다음이 중요한 계정의 비밀번호를 각각 다르게 만드는 것이고, 세 번째가 로그인 기록과 세션을 정기적으로 확인하는 습관입니다.

이 세 가지만 해두어도 흔한 계정 사고의 대부분을 막을 수 있습니다. 완벽한 보안을 목표로 하기보다 큰 구멍부터 막는 편이 실용적입니다.