비밀번호를 몇 개나 쓰고 계신가요? 대부분 2~3개를 조금씩 바꿔가며 수십 개 사이트에 씁니다. 그리고 그게 가장 위험한 습관이에요. 한 곳이 털리면 나머지가 도미노처럼 무너지거든요.
이 글은 어느 나라, 어떤 서비스에서도 통하는 기준으로 정리했습니다. 오늘 30분만 쓰면 앞으로 몇 년이 편해져요.
1. 뭐부터 하나. 순서가 있습니다 — ① 이메일 계정을 가장 강하게(모든 계정의 열쇠) ② 비밀번호 재사용 중단 ③ 2단계 인증. 이 순서대로만 해도 위험의 대부분이 사라집니다.
2. 우리가 배운 규칙은 맞나. 「대소문자·숫자·특수문자를 섞어라」와 「90일마다 바꿔라」를 표준기관은 「해서는 안 된다(SHALL NOT)」로 적었습니다 — 전 세계 인증 규격이 참조하는 NIST SP 800-63B입니다.
3. 뭘 놓치나. 「2단계 인증을 켰다」고 다 같은 게 아닙니다 — SMS 문자 인증은 번호 탈취(심 스와핑)에 취약합니다. 없는 것보단 낫지만 가장 약한 축이에요.
우리가 배운 규칙 대부분을 표준기관은 「하지 말라」고 적었습니다
「대문자·숫자·특수문자를 섞고, 90일마다 바꾸세요」 — 회사에서든 은행에서든 들어 본 말입니다. 그래서 표준을 만드는 기관이 실제로 뭐라고 적었는지 열어 봤습니다.
미국 국립표준기술연구소(NIST)의 SP 800-63B는 전 세계 인증 규격이 참조하는 문서입니다. 여기에 「해서는 안 된다(SHALL NOT)」로 못 박힌 항목이 있습니다.
| 흔히 듣는 규칙 | NIST SP 800-63B |
|---|---|
| 대소문자·숫자·특수문자를 섞어라 | “다른 구성 규칙을 부과해서는 안 된다(SHALL NOT)” |
| 90일마다 바꿔라 | “주기적으로 바꾸도록 요구해서는 안 된다(SHALL NOT)” — 다만 침해 증거가 있으면 강제로 바꾸게 해야 한다(SHALL) |
| 기억 안 나면 힌트를 걸어라 | 인증되지 않은 사람이 볼 수 있는 힌트 저장을 허용해서는 안 된다 |
| “어머니 성함” 같은 질문으로 잠금 해제 | 지식기반 인증(KBA)을 쓰도록 유도해서는 안 된다 |
| — | 유출된·흔한 비밀번호 목록과 대조해야 한다(SHALL) |
대신 요구하는 건 길이입니다.
「Tr0ub4dor&3」보다 「어제 저녁 김치찌개 두 그릇」이 낫습니다.
앞의 것은 기억하기 어려운데 짧고, 뒤의 것은 외우기 쉬운데 깁니다. 표준이 길이를 요구하고 구성 규칙을 금지한 이유가 정확히 이것이에요 — 규칙을 강요하면 사람이 「Password1!」처럼 예측 가능한 쪽으로 몰립니다.
다만 길기만 하면 되는 게 아닙니다 — 표준은 유출 목록과 대조하라고 함께 적습니다. 유명한 문장은 이미 목록에 있습니다.
이건 미국 연방 표준이지 국내 의무 규정이 아닙니다. 국내 서비스가 여전히 특수문자와 주기적 변경을 강제하는 경우가 많고, 그건 그 서비스의 정책입니다. 우리가 고를 수 있는 건 「길게 만들고, 관리자에 맡기고, 2단계 인증을 켜는 것」입니다.
미국 사이버보안·인프라보안국(CISA)도 같은 네 가지를 꼽습니다 — 피싱 알아보기 · 강한 비밀번호와 비밀번호 관리자 · 다중 인증 켜기 · 소프트웨어 업데이트 미루지 않기. “소프트웨어의 결함이 범죄자에게 파일이나 계정 접근권을 줄 수 있다”고 적습니다.
1. 왜 이메일이 가장 중요한가
이메일은 모든 계정의 마스터키입니다. 다른 서비스에서 비밀번호를 잊으면 “재설정 링크”가 어디로 가나요? 이메일이죠.
즉 공격자가 이메일을 장악하면, 다른 비밀번호를 몰라도 하나씩 초기화해서 가져갈 수 있어요. 그래서 이메일은 가장 긴 비밀번호 + 가장 강한 2단계 인증을 써야 합니다.
| 우선순위 | 계정 종류 · 보호 수준 |
| 1순위 | 이메일 — 최고 강도 + 하드웨어 키/패스키 권장 |
| 2순위 | 금융·결제 (은행·증권·페이) — 앱 인증 필수 |
| 3순위 | 클라우드 저장소 (사진·문서) |
| 4순위 | SNS·메신저 — 사칭 피해 위험 |
| 5순위 | 쇼핑·기타 — 결제수단 저장 여부 확인 |
2. 2단계 인증 — 방식마다 안전도가 다릅니다
“2단계 인증을 켰다”고 다 같은 게 아니에요. 어떤 방식이냐에 따라 보안 수준이 크게 갈립니다.
| 방식 | 안전도 · 특징 |
| 비밀번호만 | — 유출되면 그대로 뚫림 |
| SMS 문자 인증 | — 없는 것보단 낫지만, 번호 탈취(심 스와핑)에 취약 |
| 인증 앱(TOTP) | — 6자리 코드가 30초마다 변경. 권장 기본값 |
| 패스키(Passkey) | — 기기에 저장된 키 + 생체인증. 피싱에 강함 |
| 보안 키(하드웨어) | — 물리 기기. 가장 강력하지만 분실 대비 필요 |
SMS 인증의 함정 — 공격자가 통신사를 속여 내 번호를 자기 유심으로 옮기면 인증 문자를 대신 받습니다. 그래서 중요한 계정은 인증 앱이나 패스키로 옮기는 게 좋아요. 그래도 SMS라도 켜는 게 안 켜는 것보다 훨씬 낫습니다.
패스키가 뭔가요
비밀번호 없이 기기의 생체인증(지문·얼굴)으로 로그인하는 방식이에요. 원리를 간단히 말하면, 진짜 비밀은 내 기기 안에만 있고 서버로 전송되지 않습니다.
- 서버가 털려도 훔쳐갈 비밀번호가 없어요
- 가짜 사이트에서는 애초에 작동하지 않아 피싱에 강합니다
- 주요 서비스들이 지원을 넓히고 있어요. 지원하는 곳부터 하나씩 전환하면 됩니다
3. 좋은 비밀번호 vs 나쁜 비밀번호
흔한 오해가 있어요. 복잡한 것보다 긴 것이 강합니다. 특수문자를 섞은 8자리보다, 단어 4개를 이은 20자리가 훨씬 안전해요.
| 나쁜 예 | 좋은 방향 |
| 이름·생일·전화번호 포함 | 개인정보와 무관한 조합 |
| P@ssw0rd! 같은 흔한 변형 | 서로 관련 없는 단어 4개 이상 연결 |
| 사이트마다 숫자만 바꾸기 | 사이트마다 완전히 다른 비밀번호 |
| 8자리 이하 | 최소 12자, 가능하면 16자 이상 |
| 브라우저에 메모장으로 저장 | 비밀번호 관리자 사용 |
| 3개월마다 억지로 변경 | 유출 시에만 변경 (강제 주기 변경은 권장되지 않음) |
마지막 줄이 의외일 거예요. 예전엔 주기적 변경을 권했지만, 지금은 오히려 약한 비밀번호를 만들게 된다는 이유로 권장되지 않는 추세입니다. 길고 고유하게 만들고, 유출됐을 때 바꾸는 것이 현재의 기준이에요.
4. 비밀번호 관리자 — 사실상 필수
수십 개를 모두 다르고 길게 만들면 당연히 외울 수 없습니다. 그래서 관리자가 필요해요.
- 마스터 비밀번호 하나만 외우면 나머지는 자동 입력됩니다
- 사이트마다 랜덤한 긴 비밀번호를 생성해줘요
- 가짜 사이트에서는 자동 입력이 안 돼 피싱 방어 효과도 있습니다
- 브라우저·운영체제 내장 기능도 요즘은 충분히 쓸 만해요
단, 마스터 비밀번호는 절대 잊으면 안 되고, 그 계정에는 반드시 2단계 인증을 걸어두세요.
5. 지금 바로 할 일 (30분 코스)
| 순서 | 할 일 · 소요 |
| 1 | 내 이메일·비밀번호가 유출됐는지 확인 (유출 조회 서비스) — 5분 |
| 2 | 이메일 계정 비밀번호를 길고 고유하게 변경 — 5분 |
| 3 | 이메일에 인증 앱 2단계 인증 설정 — 5분 |
| 4 | 복구 코드를 인쇄하거나 안전한 곳에 보관 — 3분 |
| 5 | 금융 계정에 2단계 인증 확인 — 10분 |
| 6 | 비밀번호 관리자 설치, 이후 하나씩 옮기기 — 계속 |
복구 코드를 꼭 챙기세요. 2단계 인증을 켠 뒤 휴대폰을 잃어버리면 본인도 못 들어갑니다. 서비스가 주는 백업 코드를 인쇄해 보관하거나, 인증 앱을 두 기기에 설정해 두세요. 이걸 안 해서 계정을 영영 잃는 경우가 정말 많아요.
6. 피싱 — 결국 사람을 노립니다
아무리 강한 비밀번호도 내가 직접 알려주면 소용없어요. 최근 수법은 매우 정교합니다.
- 링크를 눌러 로그인하지 마세요. 항상 주소를 직접 입력하거나 앱으로 접속
- “계정이 잠겼습니다”, “지금 확인하지 않으면” — 긴급함을 강조하면 의심
- 인증 코드는 누구에게도 알려주지 않습니다. 고객센터도 묻지 않아요
- 발신 주소의 철자를 확인 — 한 글자만 다른 도메인이 흔합니다
- 공용 와이파이에서는 금융 거래 피하기
남는 질문들
비밀번호 관리자가 털리면 다 끝 아닌가요?
이론적으론 그렇지만, 관리자는 암호화되어 저장되고 마스터 비밀번호는 서버에 없습니다. 재사용하다 한 곳이 털리는 위험이 훨씬 현실적이에요.
브라우저 저장 기능만 써도 되나요?
안 쓰는 것보다는 훨씬 낫습니다. 다만 기기 잠금과 계정 2단계 인증은 반드시 걸어두세요.
2단계 인증이 귀찮은데요.
대부분 신뢰하는 기기는 기억해줘서 매번 묻지 않아요. 처음 설정만 하면 체감 불편은 크지 않습니다.
유출됐다는 알림을 받았어요.
해당 사이트 비밀번호를 즉시 바꾸고, 같은 비밀번호를 쓴 다른 사이트도 전부 변경하세요. 그리고 2단계 인증을 켜세요.
패스키로 다 바꿔야 하나요?
지원하는 곳부터 점진적으로 하면 됩니다. 기존 비밀번호와 2단계 인증은 그대로 두고 병행할 수 있어요.
보안의 90%는 세 가지예요 — 재사용하지 않기, 2단계 인증 켜기, 링크로 로그인하지 않기. 오늘 이메일 계정 하나만이라도 정리해 보세요.
근거로 삼은 자료
- 미국 국립표준기술연구소(NIST) — SP 800-63B 디지털 신원 지침(2026년 7월 확인). 최소 15자(단일 요소)·8자(다중 인증)·최대 64자 이상 허용, 구성 규칙 금지, 주기적 변경 요구 금지와 침해 시 강제 변경, 힌트·KBA 금지, 유출 목록 대조 의무의 출처입니다.
- 미국 사이버보안·인프라보안국(CISA) — Secure Our World(2026년 7월 확인). 네 가지 행동(피싱 인지·강한 비밀번호와 관리자·다중 인증·소프트웨어 업데이트)과 “소프트웨어의 결함이 범죄자에게 파일이나 계정 접근권을 줄 수 있다”의 출처입니다.
더 확인할 곳
- 국내 서비스가 강제하는 규칙. 이 글의 기준은 전부 미국 표준(NIST)이라, 가입하려는 국내 사이트가 여전히 「특수문자 필수」·「90일 변경」을 요구할 수 있습니다 — 그건 그 사이트 규칙을 따를 수밖에 없습니다. 국내 기준은 한국인터넷진흥원(KISA)의 이용자 보안 안내에서 볼 수 있습니다.
- 2단계 인증 방식별 안전도 순서. 본문의 순서는 널리 쓰이는 통념이고 이번에 기관 원문으로 대조하지 못했습니다. 다만 SMS가 가장 약하다는 것은 여러 곳이 공통으로 지적하니, 앱 기반이나 보안키로 옮길 수 있으면 옮기는 편이 낫습니다.
- 내 계정이 이미 털렸는지. 이 글에서 다루지 않았습니다 — 유출 여부 확인은 비밀번호를 바꾸는 것보다 먼저입니다. 명의도용 확인 편에 조회 방법을 정리해 두었습니다.
2026년 7월 기준으로 작성했습니다. 비밀번호 요건은 NIST SP 800-63B 원문에서, 네 가지 행동은 CISA에서 확인했습니다. 미국 표준이며 국내 의무 규정이 아닙니다. 명의도용이 걱정되면 신용점수 올리는 법, 자료를 잃지 않으려면 3-2-1 백업 편을, 해외 결제·송금 계정이 걱정되면 해외 결제 수수료 편과 해외송금 권리 편을 함께 보세요.
