좋은 소식부터: 보안 규칙 50개를 다 지킬 필요도, 매달 모든 비밀번호를 바꿀 필요도, kX9#mQ2v 같은 문자열을 외울 필요도 없습니다. 실제 계정 침해의 대부분은 한 가지 특정한 방식으로 일어나고, 하룻저녁이면 끝나는 세 가지 조치로 그 경로가 거의 완전히 닫힙니다.
계정은 실제로 이렇게 뚫린다
공격자가 여러분의 비밀번호를 '추측해서 푸는' 일은 드뭅니다. 대신 몇 년 전 가입했던 어떤 웹사이트가 해킹당해 비밀번호 목록이 유출되면, 자동화 도구가 그 이메일-비밀번호 조합을 수백 개의 다른 서비스에 — 은행, 이메일, 쇼핑, SNS — 그대로 대입해 봅니다. 업계에서는 이를 크리덴셜 스터핑이라 부르는데, 이 공격이 통하는 이유는 단 하나: 대부분의 사람이 비밀번호를 재사용하기 때문입니다. 이게 무슨 뜻인지 보세요. 재사용했다면 비밀번호의 강도는 거의 무의미합니다. 20자짜리 걸작이라도 200개 사이트에 똑같이 입력했다면, 유출 한 번이면 200개가 전부 열립니다.
조치 1 — 이메일과 은행만이라도 오늘 밤 고유하게
이메일 계정은 다른 모든 것의 마스터키입니다. "비밀번호 찾기" 링크가 전부 거기로 오니까요. 받은편지함을 장악한 사람은 재설정만으로 여러분 삶의 나머지에 차례차례 들어갈 수 있습니다. 그러니 다른 건 하나도 안 바꾸더라도, 주 이메일과 은행 비밀번호만큼은 지구상 어디에도 없는 것으로 만드세요. 계정 두 개, 10분이면, 앞으로 어떤 유출이 나도 연쇄 반응이 가장 중요한 문 앞에서 멈춥니다.
조치 2 — 기억은 비밀번호 관리자에게 맡기기
모든 사이트마다 고유한 비밀번호라니, 인간의 기억력에겐 불가능한 조언입니다 — 비밀번호 관리자가 존재하는 이유가 정확히 그것이고요. 관리자는 사이트마다 서로 다른 무작위 비밀번호를 만들어 대신 입력해 주고, 여러분이 외우는 단 하나의 강한 암호문구 뒤에 금고 전체를 잠급니다. 브라우저나 휴대폰 내장 기능(iCloud 키체인, 구글 비밀번호 관리자)도 충분히 좋은 출발점이고, 전용 앱은 공유·크로스플랫폼 편의가 더해집니다. 핵심은 어느 것을 쓰느냐가 아니라, 설정한 뒤로는 "내 비밀번호가 뭐였지?"가 더는 여러분의 문제가 아니게 된다는 것 — 그리고 그 부수 효과로 재사용이 사라진다는 것입니다.
조치 3 — 중요한 계정에 2단계 인증 켜기
2단계 인증은 비밀번호가 도난당해도 그것만으로는 못 들어온다는 뜻입니다. 이메일, 은행, 주로 쓰는 SNS에 켜세요. 인증 앱(또는 휴대폰 내장 확인창)이 SMS 코드보다 강합니다 — 문자는 심 스와핑 수법으로 가로챌 수 있거든요. 그래도 SMS가 아무것도 없는 것보다는 월등히 낫습니다. 그리고 패스키를 지원하는 사이트라면 받아들이세요: 얼굴이나 지문으로 로그인하고, 훔칠 비밀번호 자체가 없으며, 피싱 페이지가 수확할 것도 없어집니다.
면죄부: 이제 그만해도 되는 것들
공식 지침은 이미 몇 년 전에 현실을 따라잡았고, 민간에 떠도는 규칙들보다 훨씬 느슨합니다. 현행 NIST 가이드라인 — 미국 정부기관이 따르는 표준 — 은 강제 복잡성보다 길이를 권하고("coffee-horse-window-tuesday" 같은 문구가 "P@ssw0rd!"를 이깁니다), 정기적인 비밀번호 변경을 더는 권하지 않습니다. 강제 교체는 사람들을 Password2024!, Password2025!로 몰아갈 뿐이니까요. 비밀번호는 이유가 있을 때 바꾸세요 — 유출 통지, 공용 기기 사용, 수상한 로그인 — 달력이 시켜서가 아니라.
- 오늘 밤(20분): 이메일+은행에 고유 비밀번호, 둘 다 2단계 인증.
- 이번 주: 비밀번호 관리자를 켜고, 쓰는 대로 로그인들을 저장하게 두기.
- 이후로는: 사이트가 패스키를 제안하면 수락, 유출 메일이 오면 그 비밀번호와 재사용했던 곳만 교체.
세 가지 조치, 하룻저녁. 그러면 실제 계정 탈취의 대부분을 차지하는 그 공격이, 중요한 문마다 전부 잠겨 있는 걸 발견하게 됩니다.