비밀번호 관리 실전 — 외우지 않고도 안전하게 쓰는 법

복잡한 비밀번호가 답이 아니다

오랫동안 대문자, 숫자, 특수문자를 섞으라는 지침이 표준처럼 쓰였습니다. 그런데 이 방식은 사람에게 매우 불편하면서 실제 안전성은 기대만큼 높지 않습니다. 사람들은 규칙을 지키기 위해 예측 가능한 패턴을 쓰게 됩니다. 단어 끝에 숫자 1을 붙이고 느낌표를 더하는 식입니다.

공격 도구는 이런 흔한 변형 패턴을 이미 알고 있습니다. 그래서 겉보기에 복잡한 비밀번호가 실제로는 빠르게 뚫리는 경우가 많습니다. 최근 보안 지침이 복잡성 요구를 완화하고 다른 요소를 강조하는 방향으로 바뀐 이유입니다.

길이가 복잡성보다 중요하다

비밀번호의 안전성은 경우의 수에서 나옵니다. 문자 종류를 늘리는 것보다 길이를 늘리는 쪽이 경우의 수를 훨씬 빠르게 키웁니다. 8자리 복잡한 비밀번호보다 16자리 단순한 비밀번호가 대체로 더 안전합니다.

그래서 최근에는 단어 여러 개를 이어 붙인 긴 문구를 권장하는 경우가 많습니다. 이를 패스프레이즈라고 합니다. 서로 관련 없는 단어 네다섯 개를 이으면 외우기 쉬우면서도 충분히 깁니다. 다만 유명한 인용구나 가사처럼 이미 알려진 문장은 피해야 합니다.

재사용이 최대의 취약점

아무리 좋은 비밀번호라도 여러 곳에 쓰면 소용이 없습니다. 유출은 내가 관리할 수 없는 다른 사이트에서 발생하며, 그 순간 같은 비밀번호를 쓰는 모든 계정이 위험해집니다. 비밀번호의 품질보다 재사용 여부가 실제 사고에 더 크게 작용합니다.

완전히 다르게 만드는 것이 이상적이지만, 최소한 계층을 나누는 방법도 있습니다. 메일과 금융 관련 계정은 각각 고유하게, 중요도가 낮은 사이트는 별도 그룹으로 관리하는 식입니다. 전부를 완벽하게 하려다 아무것도 못 하는 것보다 낫습니다.

비밀번호 관리자

수십 개의 서로 다른 긴 비밀번호를 외우는 것은 불가능합니다. 비밀번호 관리자는 이 문제를 해결합니다. 하나의 마스터 비밀번호만 기억하면 나머지는 프로그램이 생성하고 저장하며 자동으로 입력해 줍니다.

모든 계정에 무작위로 생성된 긴 비밀번호를 쓸 수 있게 되므로 재사용 문제가 근본적으로 사라집니다. 브라우저에 내장된 기능도 있고 전용 프로그램도 있습니다. 어느 쪽이든 아무것도 쓰지 않는 것보다 훨씬 낫습니다.

관리자를 쓸 때의 주의점

마스터 비밀번호가 유일한 관문이 되므로 이것만큼은 길고 고유해야 합니다. 다른 어디에도 쓰지 않은 것이어야 하고, 잊어버리면 복구가 불가능한 경우가 많으니 안전하게 보관해야 합니다.

관리자 계정 자체에도 2단계 인증을 걸어야 합니다. 모든 비밀번호가 한곳에 모여 있으므로 그 계정이 뚫리면 피해가 큽니다. 이 점 때문에 관리자 사용을 꺼리는 시각도 있지만, 재사용으로 인한 위험이 훨씬 크다는 것이 일반적인 평가입니다.

정기 변경은 필요한가

과거에는 90일마다 비밀번호를 바꾸라는 지침이 흔했습니다. 그런데 강제로 자주 바꾸게 하면 사람들이 기억하기 쉬운 형태로 조금씩만 변형합니다. 결과적으로 안전성이 오히려 떨어집니다.

최근 지침은 유출 정황이 있을 때만 변경하는 쪽을 권합니다. 대신 강한 비밀번호를 만들고 2단계 인증을 함께 쓰는 것이 더 효과적이라고 봅니다. 다만 유출이 확인되면 즉시 바꿔야 한다는 점은 변함이 없습니다.

유출 여부 확인

내 계정 정보가 과거 유출 사고에 포함되었는지 확인할 수 있는 서비스들이 있습니다. 메일 주소를 입력하면 어떤 사고에 포함되었는지 알려줍니다. 한 번 확인해 보면 생각보다 많은 경우가 나옵니다.

포함된 사고가 있다면 그 사이트의 비밀번호는 물론, 같은 비밀번호를 썼던 다른 사이트도 함께 변경해야 합니다. 유출된 정보는 오랫동안 유통되므로 사고가 몇 년 전이라도 여전히 위험합니다.

보안 질문의 함정

출신 학교나 어머니 이름 같은 보안 질문은 사실상 또 하나의 비밀번호입니다. 문제는 답이 공개된 정보이거나 추측 가능한 경우가 많다는 점입니다. 소셜 미디어를 조금만 찾아봐도 알 수 있는 내용이 대부분입니다.

그래서 보안 질문에는 실제 답이 아니라 무작위 문자열을 넣고 그것을 관리자에 저장하는 방법이 권장됩니다. 질문과 무관한 답이어도 서비스는 그대로 받아들입니다.

입력할 때의 주의

비밀번호를 입력하기 전에 주소창을 확인하는 습관이 중요합니다. 도메인이 미묘하게 다른 가짜 사이트가 많기 때문입니다. 관리자를 쓰면 이 문제도 완화됩니다. 저장된 도메인과 일치하지 않으면 자동 입력이 되지 않으므로 그 자체가 경고 신호가 됩니다.

다른 사람이 볼 수 있는 곳에서는 화면 노출에도 주의해야 합니다. 비밀번호 표시 버튼을 눌러둔 채로 자리를 뜨는 일이 없도록 해야 합니다.

공유가 필요할 때

계정을 가족과 공유해야 하는 경우가 있습니다. 이때 메신저로 비밀번호를 보내는 것은 위험합니다. 대화 기록에 남아 오랫동안 유통될 수 있기 때문입니다.

관리자의 공유 기능을 쓰면 비밀번호를 직접 노출하지 않고 접근 권한만 줄 수 있습니다. 그런 기능이 없다면 최소한 전달 후 대화 내용을 삭제하고, 가능하면 별도의 계정을 만드는 편이 안전합니다.

기기 자체의 잠금

비밀번호를 아무리 잘 관리해도 기기가 잠겨 있지 않으면 소용이 없습니다. 잠금이 풀린 휴대폰을 잠시 두고 자리를 비우는 것만으로 저장된 모든 계정이 노출됩니다.

화면 자동 잠금 시간을 짧게 설정하고 생체 인증을 함께 쓰면 편의성과 보안을 모두 챙길 수 있습니다. 비밀번호 관리자 앱에도 별도 잠금을 걸어두는 편이 안전합니다.

정리 — 실행 순서

첫째, 비밀번호 관리자를 하나 정해 설치합니다. 둘째, 메일 계정부터 길고 고유한 비밀번호로 바꾸고 2단계 인증을 켭니다. 셋째, 중요한 계정부터 순차적으로 옮겨갑니다.

한 번에 모든 계정을 정리하려 하면 지쳐서 중단하게 됩니다. 로그인할 때마다 하나씩 바꾸는 방식으로 몇 주에 걸쳐 진행하면 부담 없이 끝낼 수 있습니다.