비밀번호를 몇 개나 쓰고 계신가요? 대부분 2~3개를 조금씩 바꿔가며 수십 개 사이트에 씁니다. 그리고 그게 가장 위험한 습관이에요. 한 곳이 털리면 나머지가 도미노처럼 무너지거든요.
이 글은 어느 나라, 어떤 서비스에서도 통하는 기준으로 정리했습니다. 오늘 30분만 쓰면 앞으로 몇 년이 편해져요.
우선순위 세 가지 — ① 이메일 계정을 가장 강하게 (모든 계정의 열쇠) ② 비밀번호 재사용 중단 ③ 2단계 인증 켜기. 이 순서대로만 해도 위험의 대부분이 사라집니다.
1. 왜 이메일이 가장 중요한가
이메일은 모든 계정의 마스터키입니다. 다른 서비스에서 비밀번호를 잊으면 "재설정 링크"가 어디로 가나요? 이메일이죠.
즉 공격자가 이메일을 장악하면, 다른 비밀번호를 몰라도 하나씩 초기화해서 가져갈 수 있어요. 그래서 이메일은 가장 긴 비밀번호 + 가장 강한 2단계 인증을 써야 합니다.
| 우선순위 | 계정 종류 · 보호 수준 |
| 1순위 | 이메일 — 최고 강도 + 하드웨어 키/패스키 권장 |
| 2순위 | 금융·결제 (은행·증권·페이) — 앱 인증 필수 |
| 3순위 | 클라우드 저장소 (사진·문서) |
| 4순위 | SNS·메신저 — 사칭 피해 위험 |
| 5순위 | 쇼핑·기타 — 결제수단 저장 여부 확인 |
2. 2단계 인증 — 방식마다 안전도가 다릅니다
"2단계 인증을 켰다"고 다 같은 게 아니에요. 어떤 방식이냐에 따라 보안 수준이 크게 갈립니다.
| 방식 | 안전도 · 특징 |
| 비밀번호만 | ⭐ — 유출되면 그대로 뚫림 |
| SMS 문자 인증 | ⭐⭐ — 없는 것보단 낫지만, 번호 탈취(심 스와핑)에 취약 |
| 인증 앱(TOTP) | ⭐⭐⭐⭐ — 6자리 코드가 30초마다 변경. 권장 기본값 |
| 패스키(Passkey) | ⭐⭐⭐⭐⭐ — 기기에 저장된 키 + 생체인증. 피싱에 강함 |
| 보안 키(하드웨어) | ⭐⭐⭐⭐⭐ — 물리 기기. 가장 강력하지만 분실 대비 필요 |
SMS 인증의 함정 — 공격자가 통신사를 속여 내 번호를 자기 유심으로 옮기면 인증 문자를 대신 받습니다. 그래서 중요한 계정은 인증 앱이나 패스키로 옮기는 게 좋아요. 그래도 SMS라도 켜는 게 안 켜는 것보다 훨씬 낫습니다.
패스키가 뭔가요
비밀번호 없이 기기의 생체인증(지문·얼굴)으로 로그인하는 방식이에요. 원리를 간단히 말하면, 진짜 비밀은 내 기기 안에만 있고 서버로 전송되지 않습니다.
- 서버가 털려도 훔쳐갈 비밀번호가 없어요
- 가짜 사이트에서는 애초에 작동하지 않아 피싱에 강합니다
- 주요 서비스들이 지원을 넓히고 있어요. 지원하는 곳부터 하나씩 전환하면 됩니다
3. 좋은 비밀번호 vs 나쁜 비밀번호
흔한 오해가 있어요. 복잡한 것보다 긴 것이 강합니다. 특수문자를 섞은 8자리보다, 단어 4개를 이은 20자리가 훨씬 안전해요.
| ❌ 나쁜 예 | ✅ 좋은 방향 |
| 이름·생일·전화번호 포함 | 개인정보와 무관한 조합 |
| P@ssw0rd! 같은 흔한 변형 | 서로 관련 없는 단어 4개 이상 연결 |
| 사이트마다 숫자만 바꾸기 | 사이트마다 완전히 다른 비밀번호 |
| 8자리 이하 | 최소 12자, 가능하면 16자 이상 |
| 브라우저에 메모장으로 저장 | 비밀번호 관리자 사용 |
| 3개월마다 억지로 변경 | 유출 시에만 변경 (강제 주기 변경은 권장되지 않음) |
마지막 줄이 의외일 거예요. 예전엔 주기적 변경을 권했지만, 지금은 오히려 약한 비밀번호를 만들게 된다는 이유로 권장되지 않는 추세입니다. 길고 고유하게 만들고, 유출됐을 때 바꾸는 것이 현재의 기준이에요.
4. 비밀번호 관리자 — 사실상 필수
수십 개를 모두 다르고 길게 만들면 당연히 외울 수 없습니다. 그래서 관리자가 필요해요.
- 마스터 비밀번호 하나만 외우면 나머지는 자동 입력됩니다
- 사이트마다 랜덤한 긴 비밀번호를 생성해줘요
- 가짜 사이트에서는 자동 입력이 안 돼 피싱 방어 효과도 있습니다
- 브라우저·운영체제 내장 기능도 요즘은 충분히 쓸 만해요
단, 마스터 비밀번호는 절대 잊으면 안 되고, 그 계정에는 반드시 2단계 인증을 걸어두세요.
5. 지금 바로 할 일 (30분 코스)
| 순서 | 할 일 · 소요 |
| 1 | 내 이메일·비밀번호가 유출됐는지 확인 (유출 조회 서비스) — 5분 |
| 2 | 이메일 계정 비밀번호를 길고 고유하게 변경 — 5분 |
| 3 | 이메일에 인증 앱 2단계 인증 설정 — 5분 |
| 4 | 복구 코드를 인쇄하거나 안전한 곳에 보관 — 3분 |
| 5 | 금융 계정에 2단계 인증 확인 — 10분 |
| 6 | 비밀번호 관리자 설치, 이후 하나씩 옮기기 — 계속 |
⚠️ 복구 코드를 꼭 챙기세요. 2단계 인증을 켠 뒤 휴대폰을 잃어버리면 본인도 못 들어갑니다. 서비스가 주는 백업 코드를 인쇄해 보관하거나, 인증 앱을 두 기기에 설정해 두세요. 이걸 안 해서 계정을 영영 잃는 경우가 정말 많아요.
6. 피싱 — 결국 사람을 노립니다
아무리 강한 비밀번호도 내가 직접 알려주면 소용없어요. 최근 수법은 매우 정교합니다.
- 링크를 눌러 로그인하지 마세요. 항상 주소를 직접 입력하거나 앱으로 접속
- "계정이 잠겼습니다", "지금 확인하지 않으면" — 긴급함을 강조하면 의심
- 인증 코드는 누구에게도 알려주지 않습니다. 고객센터도 묻지 않아요
- 발신 주소의 철자를 확인 — 한 글자만 다른 도메인이 흔합니다
- 공용 와이파이에서는 금융 거래 피하기
자주 묻는 질문
비밀번호 관리자가 털리면 다 끝 아닌가요?
이론적으론 그렇지만, 관리자는 암호화되어 저장되고 마스터 비밀번호는 서버에 없습니다. 재사용하다 한 곳이 털리는 위험이 훨씬 현실적이에요.
브라우저 저장 기능만 써도 되나요?
안 쓰는 것보다는 훨씬 낫습니다. 다만 기기 잠금과 계정 2단계 인증은 반드시 걸어두세요.
2단계 인증이 귀찮은데요.
대부분 신뢰하는 기기는 기억해줘서 매번 묻지 않아요. 처음 설정만 하면 체감 불편은 크지 않습니다.
유출됐다는 알림을 받았어요.
해당 사이트 비밀번호를 즉시 바꾸고, 같은 비밀번호를 쓴 다른 사이트도 전부 변경하세요. 그리고 2단계 인증을 켜세요.
패스키로 다 바꿔야 하나요?
지원하는 곳부터 점진적으로 하면 됩니다. 기존 비밀번호와 2단계 인증은 그대로 두고 병행할 수 있어요.
보안의 90%는 세 가지예요 — 재사용하지 않기, 2단계 인증 켜기, 링크로 로그인하지 않기. 오늘 이메일 계정 하나만이라도 정리해 보세요.
이 글은 일반적인 정보이며 특정 제품·서비스를 권유하지 않습니다. 서비스별 설정 방법과 지원 기능은 다를 수 있으니 각 서비스의 공식 안내를 확인하세요.
