비밀번호를 몇 개나 쓰고 계신가요? 몇 개를 조금씩 바꿔 가며 여러 사이트에 돌려 쓰고 있다면, 그게 먼저 고칠 습관이에요. 한 곳이 털리면 나머지가 도미노처럼 무너지거든요.
이 글은 어느 나라, 어떤 서비스에서도 통하는 기준으로 정리했습니다. 오늘 30분만 쓰면 앞으로 몇 년이 편해져요.
1. 뭐부터 하나. 순서가 있습니다 — ① 이메일 계정을 가장 강하게(모든 계정의 열쇠) ② 비밀번호 재사용 중단 ③ 2단계 인증. 이 순서는 저희가 권하는 것입니다 — 이메일이 다른 계정의 비밀번호 재설정 통로라서 맨 앞에 둡니다.
2. 우리가 배운 규칙은 맞나. 「대소문자·숫자·특수문자를 섞어라」와 「90일마다 바꿔라」를 표준기관은 「해서는 안 된다(SHALL NOT)」로 적었습니다 — 전 세계 인증 규격이 참조하는 NIST SP 800-63B입니다.
3. 뭘 놓치나. 「2단계 인증을 켰다」고 다 같은 게 아닙니다 — SMS 문자 인증은 번호 탈취(심 스와핑)에 취약합니다. 없는 것보단 낫지만 가장 약한 축이에요.
우리가 배운 규칙 대부분을 표준기관은 「하지 말라」고 적었습니다
「대문자·숫자·특수문자를 섞고, 90일마다 바꾸세요」 — 회사에서든 은행에서든 들어 본 말입니다. 그래서 표준을 만드는 기관이 실제로 뭐라고 적었는지 열어 봤습니다.
미국 국립표준기술연구소(NIST)의 SP 800-63B는 전 세계 인증 규격이 참조하는 문서입니다. 여기에 「해서는 안 된다(SHALL NOT)」로 못 박힌 항목이 있습니다.
| 흔히 듣는 규칙 | NIST SP 800-63B |
|---|---|
| 대소문자·숫자·특수문자를 섞어라 | “다른 구성 규칙을 부과해서는 안 된다(SHALL NOT)” |
| 90일마다 바꿔라 | “주기적으로 바꾸도록 요구해서는 안 된다(SHALL NOT)” — 다만 침해 증거가 있으면 강제로 바꾸게 해야 한다(SHALL) |
| 기억 안 나면 힌트를 걸어라 | 인증되지 않은 사람이 볼 수 있는 힌트 저장을 허용해서는 안 된다 |
| “어머니 성함” 같은 질문으로 잠금 해제 | 지식기반 인증(KBA)을 쓰도록 유도해서는 안 된다 |
| — | 유출된·흔한 비밀번호 목록과 대조해야 한다(SHALL) |
대신 요구하는 건 길이입니다.
「Tr0ub4dor&3」보다 「어제 저녁 김치찌개 두 그릇」이 낫습니다.
앞의 것은 기억하기 어려운데 짧고, 뒤의 것은 외우기 쉬운데 깁니다. 표준이 길이를 요구하고 구성 규칙을 금지한 이유가 정확히 이것이에요 — 규칙을 강요하면 사람이 「Password1!」처럼 예측 가능한 쪽으로 몰립니다.
다만 길기만 하면 되는 게 아닙니다 — 표준은 유출 목록과 대조하라고 함께 적습니다. 유명한 문장은 이미 목록에 있습니다.
이건 미국 연방 표준이지 국내 의무 규정이 아닙니다. 국내 서비스가 여전히 특수문자와 주기적 변경을 강제하는 경우가 많고, 그건 그 서비스의 정책입니다. 우리가 고를 수 있는 건 「길게 만들고, 관리자에 맡기고, 2단계 인증을 켜는 것」입니다.
미국 사이버보안·인프라보안국(CISA)도 같은 네 가지를 꼽습니다 — 피싱 알아보기 · 강한 비밀번호와 비밀번호 관리자 · 다중 인증 켜기 · 소프트웨어 업데이트 미루지 않기. “소프트웨어의 결함이 범죄자에게 파일이나 계정 접근권을 줄 수 있다”고 적습니다.
1. 왜 이메일이 가장 중요한가
이메일은 모든 계정의 마스터키입니다. 다른 서비스에서 비밀번호를 잊으면 “재설정 링크”가 어디로 가나요? 이메일이죠.
즉 공격자가 이메일을 장악하면, 다른 비밀번호를 몰라도 하나씩 초기화해서 가져갈 수 있어요. 그래서 이메일은 가장 긴 비밀번호 + 가장 강한 2단계 인증을 써야 합니다.
| 우선순위 | 계정 종류 · 보호 수준 |
| 1순위 | 이메일 — 최고 강도 + 하드웨어 키/패스키 권장 |
| 2순위 | 금융·결제 (은행·증권·페이) — 앱 인증 필수 |
| 3순위 | 클라우드 저장소 (사진·문서) |
| 4순위 | SNS·메신저 — 사칭 피해 위험 |
| 5순위 | 쇼핑·기타 — 결제수단 저장 여부 확인 |
2. 2단계 인증 — 방식마다 안전도가 다릅니다
“2단계 인증을 켰다”고 다 같은 게 아니에요. 어떤 방식이냐에 따라 보안 수준이 크게 갈립니다.
| 방식 | 안전도 · 특징 |
| 비밀번호만 | — 유출되면 그대로 뚫림 |
| SMS 문자 인증 | — 없는 것보단 낫지만, 번호 탈취(심 스와핑)에 취약 |
| 인증 앱(TOTP) | — 6자리 코드가 30초마다 변경. 권장 기본값 |
| 패스키(Passkey) | — 기기에 저장된 키 + 생체인증. 피싱에 강함 |
| 보안 키(하드웨어) | — 물리 기기. 가장 강력하지만 분실 대비 필요 |
SMS 인증의 함정 — 공격자가 통신사를 속여 내 번호를 자기 유심으로 옮기면 인증 문자를 대신 받습니다. 그래서 중요한 계정은 인증 앱이나 패스키로 옮기는 게 좋아요. 그래도 SMS라도 켜는 게 안 켜는 것보다 훨씬 낫습니다.
패스키가 뭔가요
비밀번호 없이 기기의 생체인증(지문·얼굴)으로 로그인하는 방식이에요. 원리를 간단히 말하면, 진짜 비밀은 내 기기 안에만 있고 서버로 전송되지 않습니다.
- 서버가 털려도 훔쳐갈 비밀번호가 없어요
- 가짜 사이트에서는 애초에 작동하지 않아 피싱에 강합니다
- 주요 서비스들이 지원을 넓히고 있어요. 지원하는 곳부터 하나씩 전환하면 됩니다
3. 좋은 비밀번호 vs 나쁜 비밀번호
흔한 오해가 있어요. 복잡한 것보다 긴 것이 강합니다. NIST 가 구성 규칙을 금지하고 길이를 요구하는 것도 그래서입니다 — 특수문자를 섞은 짧은 비밀번호보다 단어 여러 개를 이은 긴 비밀번호가 표준의 방향이에요.
| 나쁜 예 | 좋은 방향 |
| 이름·생일·전화번호 포함 | 개인정보와 무관한 조합 |
| P@ssw0rd! 같은 흔한 변형 | 서로 관련 없는 단어 4개 이상 연결 |
| 사이트마다 숫자만 바꾸기 | 사이트마다 완전히 다른 비밀번호 |
| 짧은 비밀번호 | 비밀번호만 쓰면 최소 15자, 2단계 인증과 함께면 최소 8자 (NIST) |
| 브라우저에 메모장으로 저장 | 비밀번호 관리자 사용 |
| 3개월마다 억지로 변경 | 유출 시에만 변경 (강제 주기 변경은 권장되지 않음) |
마지막 줄이 의외일 거예요. 위에서 본 대로 NIST SP 800-63B 는 주기적 변경을 요구해서는 안 된다(SHALL NOT)고 적고, 침해 증거가 있을 때만 바꾸게 합니다. 길고 고유하게 만들고, 유출됐을 때 바꾸는 것이 현재의 기준이에요.
4. 비밀번호 관리자 — 사실상 필수
수십 개를 모두 다르고 길게 만들면 당연히 외울 수 없습니다. 그래서 관리자가 필요해요.
- 마스터 비밀번호 하나만 외우면 나머지는 자동 입력됩니다
- 사이트마다 랜덤한 긴 비밀번호를 생성해줘요
- 가짜 사이트에서는 자동 입력이 안 돼 피싱 방어 효과도 있습니다
- 브라우저·운영체제 내장 기능도 요즘은 충분히 쓸 만해요
단, 마스터 비밀번호는 절대 잊으면 안 되고, 그 계정에는 반드시 2단계 인증을 걸어두세요.
5. 지금 바로 할 일 (30분 코스)
| 순서 | 할 일 · 소요 |
| 1 | 내 이메일·비밀번호가 유출됐는지 확인 (유출 조회 서비스) — 5분 |
| 2 | 이메일 계정 비밀번호를 길고 고유하게 변경 — 5분 |
| 3 | 이메일에 인증 앱 2단계 인증 설정 — 5분 |
| 4 | 복구 코드를 인쇄하거나 안전한 곳에 보관 — 3분 |
| 5 | 금융 계정에 2단계 인증 확인 — 10분 |
| 6 | 비밀번호 관리자 설치, 이후 하나씩 옮기기 — 계속 |
복구 코드를 꼭 챙기세요. 2단계 인증을 켠 뒤 휴대폰을 잃어버리면 본인도 못 들어갑니다. 서비스가 주는 백업 코드를 인쇄해 보관하거나, 인증 앱을 두 기기에 설정해 두세요. 복구 수단이 하나도 없으면 계정을 되찾지 못할 수 있습니다.
6. 피싱 — 결국 사람을 노립니다
아무리 강한 비밀번호도 내가 직접 알려주면 소용없어요. 최근 수법은 매우 정교합니다.
- 링크를 눌러 로그인하지 마세요. 항상 주소를 직접 입력하거나 앱으로 접속
- “계정이 잠겼습니다”, “지금 확인하지 않으면” — 긴급함을 강조하면 의심
- 인증 코드는 누구에게도 알려주지 않습니다. 고객센터도 묻지 않아요
- 발신 주소의 철자를 확인 — 한 글자만 다른 도메인이 흔합니다
- 공용 와이파이에서는 금융 거래 피하기
남는 질문들
비밀번호 관리자가 털리면 다 끝 아닌가요?
이론적으론 그렇지만, 관리자는 암호화되어 저장되고 마스터 비밀번호는 서버에 없습니다. 재사용하다 한 곳이 털리는 위험이 훨씬 현실적이에요.
브라우저 저장 기능만 써도 되나요?
안 쓰는 것보다는 훨씬 낫습니다. 다만 기기 잠금과 계정 2단계 인증은 반드시 걸어두세요.
2단계 인증이 귀찮은데요.
대부분 신뢰하는 기기는 기억해줘서 매번 묻지 않아요. 처음 설정만 하면 체감 불편은 크지 않습니다.
유출됐다는 알림을 받았어요.
해당 사이트 비밀번호를 즉시 바꾸고, 같은 비밀번호를 쓴 다른 사이트도 전부 변경하세요. 그리고 2단계 인증을 켜세요.
패스키로 다 바꿔야 하나요?
지원하는 곳부터 점진적으로 하면 됩니다. 기존 비밀번호와 2단계 인증은 그대로 두고 병행할 수 있어요.
세 가지만 기억한다면 저희는 이걸 고릅니다 — 재사용하지 않기, 2단계 인증 켜기, 링크로 로그인하지 않기. 오늘 이메일 계정 하나만이라도 정리해 보세요.
바로잡습니다(2026년 10월 15일). 3절 표의 「최소 12자, 가능하면 16자 이상」은 출처가 없는 값이었고, 같은 글이 인용한 NIST SP 800-63B 의 기준(비밀번호만 쓰면 최소 15자, 2단계 인증과 함께면 최소 8자)과도 달랐습니다. NIST 값으로 고쳤습니다. 「대부분 2~3개를 돌려 쓴다」, 「보안의 90%」처럼 근거 없는 수치도 지우고, 순서와 세 가지 습관은 저희 권고라고 밝혔습니다.
근거로 삼은 자료
- 미국 국립표준기술연구소(NIST) — SP 800-63B 디지털 신원 지침(2026년 7월 확인). 최소 15자(단일 요소)·8자(다중 인증)·최대 64자 이상 허용, 구성 규칙 금지, 주기적 변경 요구 금지와 침해 시 강제 변경, 힌트·KBA 금지, 유출 목록 대조 의무의 출처입니다.
- 미국 사이버보안·인프라보안국(CISA) — Secure Our World(2026년 7월 확인). 네 가지 행동(피싱 인지·강한 비밀번호와 관리자·다중 인증·소프트웨어 업데이트)과 “소프트웨어의 결함이 범죄자에게 파일이나 계정 접근권을 줄 수 있다”의 출처입니다.
더 확인할 곳
- 국내 서비스가 강제하는 규칙. 이 글의 기준은 전부 미국 표준(NIST)이라, 가입하려는 국내 사이트가 여전히 「특수문자 필수」·「90일 변경」을 요구할 수 있습니다 — 그건 그 사이트 규칙을 따를 수밖에 없습니다. 국내 기준은 한국인터넷진흥원(KISA)의 이용자 보안 안내에서 볼 수 있습니다.
- 2단계 인증 방식별 안전도. 미국 사이버보안·인프라보안청(CISA)의 「More than a Password」는 「피싱 저항형 MFA가 지향할 기준이지만, 어떤 MFA든 없는 것보다 낫다」고 적고, 널리 쓸 수 있는 피싱 저항형 인증은 FIDO/WebAuthn(보안키·패스키)뿐이라고 적습니다(2026년 9월 23일 확인, CISA가 보관 문서로 분류한 페이지). 본문의 「패스키·보안키가 가장 강하고, SMS라도 켜는 게 낫다」와 같은 방향입니다. SMS와 인증 앱 사이의 세부 순서까지 적은 기관 문장은 이 페이지에 없습니다.
- 내 계정이 이미 털렸는지. 개인정보보호위원회·한국인터넷진흥원이 2021년 11월부터 「털린 내 정보 찾기」를 운영합니다 — 이메일 인증 뒤 아이디·비밀번호 같은 계정정보를 넣으면 유출된 이력을 알려 주고, 하루 5건까지 조회됩니다. 나오면 그 비밀번호를 쓰는 모든 곳부터 바꾸라고 안내합니다(정책브리핑, 2026년 9월 28일 확인) — 유출 여부 확인은 비밀번호를 바꾸는 것보다 먼저입니다. 명의도용 확인 편에 조회 방법을 정리해 두었습니다.
2026년 7월 기준으로 작성했습니다. 비밀번호 요건은 NIST SP 800-63B 원문에서, 네 가지 행동은 CISA에서 확인했습니다. 미국 표준이며 국내 의무 규정이 아닙니다. 명의도용이 걱정되면 신용점수 올리는 법, 자료를 잃지 않으려면 3-2-1 백업 편을, 해외 결제·송금 계정이 걱정되면 해외 결제 수수료 편과 해외송금 권리 편을 함께 보세요.
