계정 보안 3단계 how-to: 강한 비밀번호 → 관리자 → 2단계 인증(2FA)

한 곳에서 유출된 비밀번호 하나로 메일·쇼핑·은행 계정이 줄줄이 뚫리는 일은 영화 속 이야기가 아니다. 원인은 대부분 같다. 같은 비밀번호를 여러 사이트에 재사용한 것. 이 글은 "오늘 당장" 따라 할 수 있는 계정 보안 강화를 3단계로 정리한다. 강한 비밀번호 만들기 → 관리자 도입 → 2단계 인증, 순서대로 가면 된다.

왜 비밀번호 재사용이 가장 위험한가

공격자는 한 사이트에서 유출된 아이디·비밀번호 목록을 다른 사이트에 그대로 대입한다(크리덴셜 스터핑). 비밀번호가 사이트마다 다르면 한 곳이 털려도 나머지는 안전하다. 즉 재사용을 끊는 것이 1순위다. 보안 기초가 더 궁금하면 tools의 보안·암호 가이드도 함께 보자.

1단계: 강한 비밀번호 만들기

강도의 핵심은 복잡함이 아니라 길이와 예측 불가능성이다. 같은 문자 집합이라도 길수록 경우의 수가 기하급수로 늘어난다.

위 수치는 문자 집합 크기의 거듭제곱으로 계산한 어림값이다(예: 26^8 ≈ 2,090억). 실제 안전성은 무작위성·재사용 여부에 더 크게 좌우된다.

실천 팁: 외우기 쉬운 패스프레이즈(예: 무관한 단어 4개 + 숫자/기호)를 쓰면 길이를 확보하면서도 기억하기 쉽다. 무작위 문자열이 필요하면 비밀번호 생성 도구로 만들면 된다.

2단계: 비밀번호 관리자 도입

수십 개 사이트마다 다른 긴 비밀번호를 외우는 건 불가능하다. 관리자는 마스터 비밀번호 하나만 기억하면 나머지는 암호화해 저장·자동 입력해 준다.

• 사이트마다 자동으로 강한 비밀번호 생성·저장
• 가짜 도메인(피싱)에서는 자동완성이 뜨지 않아 피싱 1차 방어 역할
• 마스터 비밀번호는 절대 재사용하지 말고 가장 길게

마스터 비밀번호만큼은 종이에 적어 안전한 곳에 보관하는 백업도 고려하자.

3단계: 2단계 인증(2FA) 켜기

비밀번호가 뚫려도 두 번째 관문이 있으면 막을 수 있다. 2FA 방식은 안전성과 편의가 다르다.

가능하면 SMS보다 **인증 앱(OTP)**을 쓰고, 중요한 계정(메일·금융)은 보안 키까지 고려하자. 메일 계정은 다른 계정 비밀번호 재설정의 관문이므로 가장 먼저 2FA를 켜야 한다.

주의점: 흔한 실수들

• 비밀번호 끝에 1, !만 바꿔 "다른 비밀번호"라고 착각하기 → 사실상 같은 비밀번호
• 인증 앱을 한 기기에만 두고 백업 코드를 안 챙겨 기기 분실 시 잠김
• 공용 PC·와이파이에서 로그인 후 로그아웃 안 함

자주 묻는 질문

비밀번호를 주기적으로 바꿔야 하나요?

유출 정황이 없다면 무작정 주기적으로 바꾸는 것이 더 안전하다고 보기 어렵습니다. 강제 변경은 오히려 pw1→pw2처럼 약한 변형을 부르기 쉽습니다. 길고 고유한 비밀번호 + 2FA 유지가 더 효과적이며, 유출 알림을 받으면 즉시 바꾸세요.

2FA를 켜면 비밀번호는 단순해도 되나요?

아닙니다. 2FA는 추가 방어막일 뿐, 비밀번호 자체가 약하면 위험은 남습니다. 강한 비밀번호와 2FA를 함께 써야 합니다.

SMS 인증도 안전한가요?

없는 것보다는 낫지만, 유심 스와핑이나 문자 가로채기에 취약합니다. 가능하면 인증 앱(OTP)이나 보안 키로 전환하는 것을 권합니다.

비밀번호 관리자가 털리면 다 끝 아닌가요?

관리자는 데이터를 강하게 암호화하고, 마스터 비밀번호는 보통 서버에 저장하지 않습니다. 마스터 비밀번호를 길고 고유하게 두고 관리자 계정에도 2FA를 걸면 위험을 크게 낮출 수 있습니다.

마무리

순서가 곧 우선순위다. 재사용 끊기 → 관리자 → 2FA. 오늘 메일 계정 하나만이라도 이 3단계를 적용해 보자. 더 많은 생활·보안 정보는 kimgoon 라이프스타일 가이드에서 볼 수 있다. 무작위 키가 자주 필요하면 형제 앱 solo 계산기 옆에 tools를 함께 북마크해 두자.