이 글의 핵심
- 같은 비밀번호를 여러 곳에 쓰면 한 곳이 뚫릴 때 전부 뚫립니다.
- 공격자는 유출된 아이디·비밀번호를 다른 사이트에 자동으로 대입합니다(크리덴셜 스터핑).
- 복잡하게 만드는 것보다 사이트마다 다르게 쓰는 것이 훨씬 중요합니다.
- 가장 효과가 큰 조치는 2단계 인증입니다. 비밀번호가 새도 한 단계 더 막힙니다.
왜 재사용이 위험한가
어떤 사이트에서 회원 정보가 유출되면, 그 목록은 곧 다른 곳에서 시험됩니다. 공격자는 유출된 아이디와 비밀번호 조합을 자동화 도구로 수십 개 사이트에 그대로 대입해 봅니다. 이것을 크리덴셜 스터핑이라고 부릅니다.
이 공격이 통하는 이유는 단 하나, 많은 사람이 같은 비밀번호를 여러 곳에 쓰기 때문입니다. 반대로 말하면 사이트마다 다르게만 써도 이 공격은 성립하지 않습니다.
비밀번호를 복잡하게 만드는 것보다 중요합니다. 아무리 복잡한 비밀번호라도 한 사이트에서 통째로 유출되면 복잡도는 의미가 없습니다. 중요한 것은 겹치지 않는 것입니다.
우선순위대로 정리한 수칙
- 11순위 — 중요 계정에 2단계 인증 켜기이메일·금융·주요 SNS부터 켜세요. 비밀번호가 새더라도 추가 인증 단계에서 대부분 막힙니다. 들이는 노력 대비 효과가 가장 큽니다.
- 22순위 — 이메일 비밀번호를 고유하게이메일은 다른 서비스의 비밀번호 재설정 창구입니다. 여기가 뚫리면 나머지도 순서대로 뚫립니다. 다른 어디에도 쓰지 않는 비밀번호를 쓰세요.
- 33순위 — 비밀번호 관리자 도입모두 외우려 하지 말고 도구에 맡기세요. 브라우저 내장 기능도 있고 전용 앱도 있습니다. 하나의 마스터 비밀번호만 기억하면 됩니다.
- 44순위 — 유출 여부 주기적 확인내 이메일이 알려진 유출 사고에 포함된 적이 있는지 확인해주는 서비스들이 있습니다. 포함돼 있다면 해당 계정 비밀번호를 즉시 바꾸세요.
어떤 비밀번호가 좋은가
흔히 “대문자·숫자·특수문자를 섞으라”고 하지만, 사람이 기억하려다 보니 Password1! 같은 뻔한 형태가 됩니다. 이런 조합은 이미 공격 사전에 들어 있습니다.
| 방식 | 예시 형태 | 평가 |
|---|---|---|
| 짧고 복잡 | P@ss1! | 기억하기 어렵고 실제로는 약함 |
| 긴 문장형 | 관계없는 단어 네 개를 이어 붙이기 | 기억하기 쉽고 충분히 강함 |
| 관리자 자동 생성 | 무작위 20자 이상 | 가장 강함 (도구가 기억해 줌) |
직접 만들어야 한다면 서로 관계없는 단어 여러 개를 이어 붙이는 방식이 현실적입니다. 길이가 길수록 강해지고, 사람은 문장을 더 잘 기억합니다.
계정별 중요도 나누기
모든 계정을 똑같이 관리하려면 지쳐서 오래 못 갑니다. 등급을 나누는 편이 현실적입니다.
- ✓1등급(이메일·금융·본인인증) — 고유 비밀번호 + 2단계 인증 필수
- ✓2등급(쇼핑·SNS 등 결제정보 있는 곳) — 고유 비밀번호, 가능하면 2단계 인증
- ✓3등급(단순 가입 사이트) — 겹치지 않는 선에서 관리자에 맡기기
자주 묻는 질문
브라우저에 비밀번호를 저장해도 되나요?
본인만 쓰는 기기라면 대체로 괜찮습니다. 다만 기기 잠금(암호·생체인증)을 반드시 설정하고, 공용 기기에서는 저장하지 마세요.
주기적으로 바꿔야 하나요?
무조건 자주 바꾸는 것보다, 겹치지 않게 쓰고 유출 정황이 있을 때 즉시 바꾸는 편이 효과적입니다. 억지로 자주 바꾸면 오히려 단순한 비밀번호를 쓰게 됩니다.
2단계 인증이 번거로운데 꼭 해야 하나요?
중요 계정만이라도 권장합니다. 비밀번호가 유출되는 상황은 내가 통제할 수 없지만, 2단계 인증은 그 상황에서도 계정을 지켜줍니다.
비밀번호 관리자가 뚫리면 전부 털리는 것 아닌가요?
그 위험은 있습니다. 그래서 마스터 비밀번호는 아주 강하게 만들고 2단계 인증을 함께 켜야 합니다. 그럼에도 재사용보다는 훨씬 안전한 선택입니다.
참고한 자료
- 한국인터넷진흥원 보호나라 — 개인정보 침해 신고 및 계정 보호 안내
- 한국인터넷진흥원(KISA) 인터넷침해대응센터 — 피싱·스미싱 신고 상담 국번 없이 118
이 문서는 일반적인 인터넷 이용 정보를 제공하기 위한 것이며, 법률·보안 자문을 대신하지 않습니다. 소개된 외부 서비스의 안전성이나 운영 상태를 보증하지 않으며, 최종 판단과 이용에 대한 책임은 이용자 본인에게 있습니다. 사실과 다른 내용을 발견하시면 신고 페이지로 알려주시면 확인 후 정정합니다. · 주소팡 편집 방침 · 최종 확인 2026년 8월 1일