비밀번호는 디지털 자산을 지키는 첫 번째 방어선입니다. 그러나 여전히 많은 사람들이 1234, password, 생일 같은 약한 비밀번호를 사용하거나 모든 사이트에서 같은 비밀번호를 돌려 씁니다. 한 사이트만 유출되어도 자격증명 도용(credential stuffing) 공격으로 모든 계정이 위험해질 수 있습니다. 이 가이드에서는 2026년 기준 최신 비밀번호 관리 베스트 프랙티스를 정리합니다.
약한 비밀번호의 위험성
매년 발표되는 유출 비밀번호 순위에서 123456, password, qwerty, abc123이 항상 상위권을 차지합니다. 이런 비밀번호는 자동 공격 도구로 1초도 안 되어 뚫립니다. 또한 한 사이트에서 유출된 이메일+비밀번호 쌍은 다크웹에서 거래되고, 공격자는 이를 다른 사이트(은행, 쇼핑몰, 이메일)에 자동으로 시도합니다. 이 공격을 자격증명 도용(credential stuffing)이라고 하며, 같은 비밀번호 재사용이 가장 큰 원인입니다.
특히 최근에는 한 번 유출된 데이터가 수년 뒤까지 공격에 재사용되는 사례가 많습니다. "옛날에 가입했던 잘 안 쓰는 사이트"의 비밀번호도 현재 주력 계정과 같다면 똑같이 위험합니다.
강력한 비밀번호의 조건
미국 국립표준기술연구소(NIST) SP 800-63B 가이드라인은 다음을 권장합니다.
- 길이: 최소 12자, 가능하면 16자 이상
- 복잡성: 대소문자, 숫자, 특수문자 혼합
- 무의미성: 사전 단어, 이름, 생일, 전화번호 금지
- 고유성: 사이트마다 완전히 다른 비밀번호
- 변경 주기: 정기 변경보다 유출 의심 시 즉시 교체가 효과적
과거에는 90일마다 비밀번호를 강제로 바꾸게 했지만, 오히려 사용자가 약한 패턴(Pass2025! → Pass2026!)을 만들어내는 부작용이 커서 NIST는 정기 변경을 더 이상 권장하지 않습니다. 변경 시점은 "의심될 때"가 정답입니다.
패스프레이즈로 외우기 쉬운 강력한 비밀번호 만들기
무작위 문자열 8aH#k2pQ!9Lm@xZ는 안전하지만 외우기 어렵습니다. 대안은 패스프레이즈(passphrase)입니다. 4~5개의 서로 무관한 단어를 조합하면 길이와 엔트로피를 모두 확보할 수 있습니다.
예시:
푸른-망원경-사과-피아노42correct-horse-battery-staple-7우산#노란#코끼리#책상2026
각 단어 사이에 구분자(하이픈, 언더스코어, 특수문자)를 넣고 끝에 숫자나 특수문자를 추가하면 무작위 단순 비밀번호보다도 안전하면서 외우기는 훨씬 쉽습니다. 일상 보안 수준을 한 단계 끌어올릴 더 많은 팁은 kimgoon 라이프스타일 가이드에서 확인할 수 있습니다.
비밀번호 관리자(Password Manager) 도입하기
수십 개 사이트의 고유 비밀번호를 머리로 외우는 것은 사실상 불가능합니다. 비밀번호 관리자를 사용하면 마스터 비밀번호 하나만 기억하면 됩니다.
추천 비밀번호 관리자:
- 1Password: 가족·팀 공유, 비상복구 기능 우수 (유료)
- Bitwarden: 오픈소스, 무료 플랜이 충실
- Apple iCloud Keychain: 애플 생태계 사용자 기본 옵션, 무료
- Google Password Manager: 크롬·안드로이드 기본, 무료
- KeePassXC: 로컬 저장 선호 시 오픈소스 대안
비밀번호 관리자의 핵심 이점:
- 사이트마다 16~32자의 무작위 강력 비밀번호 자동 생성
- 자동 채우기로 키로거 위험 감소
- 가짜 도메인에서는 자동 채우기가 동작하지 않아 1차 피싱 방어선 역할
- 유출 알림 기능으로 위험 비밀번호 즉시 안내
- 기기 간 동기화로 모바일·PC 어디서나 사용
2단계 인증(2FA) 필수 설정
비밀번호가 유출되어도 2단계 인증이 있으면 공격자는 추가 인증 코드를 알 수 없어 계정에 접근할 수 없습니다. 보안 강도 순서로 적용하세요.
- 하드웨어 보안 키(FIDO2): YubiKey, Google Titan Key — 피싱에 가장 강함
- TOTP 앱: Google Authenticator, Authy, 1Password 내장 — 권장 기본 옵션
- 푸시 알림: 카카오톡·네이버 인증 — 편리하지만 푸시 피로 공격 주의
- SMS 문자: SIM 스왑 공격 위험이 있어 가능하면 사용 자제
은행, 이메일, 클라우드 스토리지(Google Drive, iCloud), 비밀번호 관리자 자체 계정에는 반드시 2FA를 적용해야 합니다. 특히 이메일은 모든 비밀번호 재설정의 출발점이므로 가장 강력한 2FA를 걸어야 합니다.
유출 확인과 사고 대응
본인 이메일이 어딘가에서 유출되었는지는 Have I Been Pwned에서 확인할 수 있습니다. 유출이 확인되면 다음 순서로 대응하세요.
- 해당 사이트 비밀번호 즉시 변경
- 같은 비밀번호를 다른 사이트에서 재사용 중이라면 모두 변경
- 2FA 미적용 사이트는 이번 기회에 활성화
- 의심 로그인 활동 확인 및 모든 세션 강제 로그아웃
- 카드·계좌 연결 사이트라면 거래 내역 점검
- 같은 비밀번호 패턴(예:
사이트명+숫자)을 사용했다면 패턴 자체를 폐기
비밀번호 관리자에 따라 다크웹 모니터링 기능을 제공하므로 활성화해두면 자동 알림을 받을 수 있습니다.
피싱과 사회공학 공격 회피
비밀번호가 아무리 강해도 본인이 가짜 사이트에 직접 입력하면 의미가 없습니다.
- URL을 한 번 더 확인 (
kimgoon.krvskim-goon.kr, 숫자0과 알파벳o같은 미묘한 차이) - 이메일·문자 링크 대신 직접 주소 타이핑 또는 북마크 사용
- 비밀번호 관리자가 자동 채우기를 시도하지 않는다면 도메인이 다른 것이므로 의심
- HTTPS 자물쇠가 있어도 도메인이 가짜면 무용지물 — 자물쇠는 암호화 표시일 뿐
- "긴급", "지금 즉시", "계정 정지" 같은 압박 문구는 거의 모두 피싱
- 음성·문자로 비밀번호나 인증 코드를 묻는 곳은 100% 사기
공용 환경에서의 주의사항
공용 Wi-Fi와 공용 PC는 본인이 통제할 수 없는 환경입니다.
- 공용 Wi-Fi에서는 VPN 사용 또는 민감 작업 자제
- PC방·도서관 공용 PC에서는 시크릿·InPrivate 모드 사용, 사용 후 로그아웃 철저
- 모바일 자동 로그인 기능은 가족 공유 기기에서 끄기
- 화면 잠금(PIN, 지문, 페이스ID) 반드시 설정
- 분실 시 원격 로그아웃·기기 잠금 기능 미리 설정
오늘 바로 실천할 체크리스트
- 이메일 계정 비밀번호를 16자 이상 패스프레이즈로 변경
- 이메일 2FA를 TOTP 앱 또는 보안 키로 설정
- 비밀번호 관리자 설치 후 마스터 비밀번호 설정
- Have I Been Pwned에서 본인 이메일 유출 여부 확인
- 같은 비밀번호 재사용하는 사이트 목록 정리 후 순차 교체
