SNS 계정 보안 관리 완벽 가이드 - 해킹 전에 반드시 해야 할 7가지 설정

어느 날 아침 인스타그램에 로그인하려는데 비밀번호가 틀렸다고 나옵니다. 이메일을 확인해 보니 새벽 3시에 "비밀번호가 변경되었습니다"라는 메일이 와 있습니다. 몇 년간 쌓아 온 팔로워, 고객 문의가 오던 DM, 협찬 대화 기록이 한순간에 남의 손에 넘어간 것입니다. 이런 일은 유명인에게만 생기는 것이 아닙니다. 팔로워 500명짜리 계정도 광고 계정이나 사기 계정으로 재활용하려는 사람들에게는 충분히 탐나는 자산입니다.

SNS 계정 보안 관리는 어렵거나 돈이 드는 일이 아닙니다. 대부분의 해킹은 고도의 기술이 아니라 사용자가 기본 설정을 하지 않은 틈을 파고듭니다. 지금부터 실제로 계정이 털리는 경로와 그것을 막는 설정을 하나씩 정리하겠습니다.

SNS 계정은 왜 털리는가

계정 탈취의 경로는 생각보다 단순합니다. 크게 네 가지로 나뉩니다.

네 가지 중 세 가지는 사용자의 습관과 설정만으로 거의 완전히 차단됩니다. 특히 크리덴셜 스터핑은 가장 흔한 경로인데, 어떤 쇼핑몰이나 커뮤니티에서 유출된 비밀번호를 그대로 SNS에도 쓰고 있다면 공격자는 별다른 노력 없이 로그인에 성공합니다.

해커는 당신의 계정을 "뚫는" 것이 아니라, 당신이 열어 둔 문으로 "들어오는" 경우가 대부분입니다. 보안 관리의 핵심은 문을 닫는 것이지 성벽을 쌓는 것이 아닙니다.

비밀번호 관리, 가장 기본이자 가장 많이 뚫리는 곳

계정마다 다른 비밀번호를 쓰는 것이 출발점

강력한 비밀번호 하나를 모든 곳에 쓰는 것보다, 평범한 비밀번호를 계정마다 다르게 쓰는 것이 실제로는 더 안전합니다. 유출은 내가 아니라 내가 가입한 서비스에서 일어나기 때문입니다. 문제는 사람이 수십 개의 서로 다른 비밀번호를 외울 수 없다는 점인데, 이 부분은 비밀번호 관리자가 해결합니다.

• 브라우저 내장 관리자: 크롬, 사파리, 엣지에 기본 탑재. 별도 설치 없이 사용 가능하며 자동 생성과 자동 입력을 지원합니다.
• 전용 관리자: Bitwarden(무료 플랜 있음), 1Password 등. 기기와 브라우저를 가리지 않고 동기화되고, 유출된 비밀번호를 알려 주는 기능이 있습니다.
• OS 기본 기능: iOS와 macOS의 암호 앱, 안드로이드의 구글 비밀번호 관리자. 애플이나 구글 생태계만 쓴다면 충분합니다.

길이가 복잡도보다 중요합니다

특수문자를 억지로 섞은 8자리 비밀번호보다 12자 이상의 긴 비밀번호가 무차별 대입에 훨씬 강합니다. 관리자를 쓴다면 16자 이상 랜덤 생성으로 설정하고 직접 외울 필요를 없애는 것이 가장 편합니다. 직접 만들어야 한다면 관련 없는 단어 3~4개를 이어 붙이는 방식이 기억하기도 쉽고 길이도 확보됩니다.

2단계 인증 설정법과 방식별 차이

비밀번호가 유출되더라도 로그인을 막는 마지막 방어선이 2단계 인증(2FA)입니다. 인스타그램, 페이스북, X, 유튜브(구글 계정), 틱톡, 네이버, 카카오 모두 지원하며 설정에 5분이 걸리지 않습니다. 그런데 방식에 따라 보안 수준이 크게 다릅니다.

플랫폼별 설정 위치

• 인스타그램: 설정 및 활동 > 계정 센터 > 비밀번호 및 보안 > 2단계 인증
• X(트위터): 설정 > 보안 및 계정 액세스 > 보안 > 2단계 인증
• 유튜브: 구글 계정(myaccount.google.com) > 보안 > 2단계 인증
• 틱톡: 설정 및 개인정보 > 보안 및 권한 > 2단계 인증
• 네이버: 내정보 > 보안설정 > 2단계 인증

연결된 앱과 로그인 세션 정리

권한을 준 앱이 곧 뒷문입니다

팔로워 분석, 언팔로우 확인, 자동 좋아요 같은 서드파티 앱에 "계정으로 로그인"을 허용한 적이 있다면 그 앱은 지금도 내 계정에 접근할 수 있는 토큰을 들고 있습니다. 앱 운영사가 해킹당하거나 서비스가 팔려 넘어가면 그 토큰이 악용됩니다. 실제로 계정에서 모르는 게시물이나 DM이 발송되는 사례의 상당수가 이 경로입니다.

각 플랫폼에서 연결된 앱 목록을 분기에 한 번은 열어 보고, 지난 3개월간 쓰지 않은 앱은 모두 연결 해제하는 것이 좋습니다. 인스타그램은 설정 > 웹사이트 권한 > 앱 및 웹사이트, 구글은 보안 > 서드파티 앱 및 서비스, X는 보안 및 계정 액세스 > 앱 및 세션에서 확인할 수 있습니다.

반대로 말하면, 계정 권한을 요구하는 도구를 고를 때는 운영 주체가 분명한 서비스인지가 중요합니다. 예를 들어 방송 채팅이나 SNS 댓글의 욕설, 스팸을 자동으로 가려 주는 파리채(가리기봇)처럼 목적과 운영사가 명확한 도구는 권한 범위를 확인하고 쓰면 되지만, 출처를 알 수 없는 "팔로워 늘리기" 류의 앱은 권한을 아예 주지 않는 것이 원칙입니다.

로그인 세션 점검

대부분의 플랫폼은 현재 로그인된 기기와 위치 목록을 보여 줍니다. 기억나지 않는 기기, 가 본 적 없는 지역의 세션이 있다면 즉시 로그아웃 처리하고 비밀번호를 바꾸세요. PC방이나 지인 기기에서 로그인한 뒤 로그아웃을 잊은 세션도 여기서 한 번에 정리됩니다.

DM과 댓글로 오는 피싱 대처법

SNS 피싱은 이메일 피싱보다 성공률이 높습니다. 플랫폼 안에서 오는 메시지라 경계심이 낮기 때문입니다. 자주 쓰이는 패턴을 알아 두면 대부분 걸러집니다.

• 저작권 위반 경고: "귀하의 게시물이 저작권을 침해하여 24시간 내 계정이 삭제됩니다. 이의 제기는 아래 링크에서" 형태. 인스타그램이나 메타는 DM으로 이런 통보를 하지 않습니다.
• 인증 배지 제안: "블루 배지 대상자로 선정되었습니다"라며 로그인 정보 입력 유도.
• 협찬, 광고 제안: 브랜드를 사칭해 계약서라며 파일이나 링크를 보내는 방식. 이메일 도메인이 공식 브랜드 도메인인지 반드시 확인해야 합니다.
• 지인 계정 도용: 이미 털린 친구 계정에서 "이거 너 맞아?"라며 링크를 보내는 방식. 친구 계정이라도 링크는 의심해야 합니다.

공통 대처법은 하나입니다. 메시지 안의 링크로는 절대 로그인하지 않는다. 정말 계정에 문제가 있다면 앱을 직접 열어 설정 메뉴나 공식 도움말 센터에서 확인하면 됩니다. 링크 주소에 instagram-support.xyz, meta-verify.co 같은 변형 도메인이 보이면 100% 피싱입니다.

협찬 제안이나 고객 문의가 많은 계정이라면 DM 자체가 업무 창구가 되는데, 이런 경우 DM을 별도로 정리하고 기록해 두는 것이 관리 측면에서도 유리합니다. TodayDM 같은 DM 관리 서비스를 쓰든, 수동으로 스프레드시트에 정리하든, 누가 언제 어떤 제안을 보냈는지 남아 있으면 사칭 메시지와 실제 제안을 구분하기가 훨씬 쉬워집니다.

해킹당했을 때 복구 순서와 사전 준비

복구 순서

이미 계정이 넘어갔다면 시간이 생명입니다. 공격자는 보통 가장 먼저 복구용 이메일과 전화번호를 자기 것으로 바꿉니다.

• 1단계: 플랫폼이 보낸 "이메일이 변경되었습니다" 메일을 찾아 그 안의 "변경 취소" 링크를 누릅니다. 이 링크는 보통 며칠간만 유효합니다.
• 2단계: 로그인 화면에서 "비밀번호를 잊으셨나요"를 통해 재설정을 시도합니다.
• 3단계: 실패하면 공식 계정 복구 절차를 진행합니다. 인스타그램은 instagram.com/hacked, 구글은 계정 복구 페이지, X는 help.x.com의 계정 접근 양식을 이용합니다. 본인 확인용 셀피 영상을 요구하는 경우도 있습니다.
• 4단계: 복구 후 비밀번호 변경, 모든 세션 로그아웃, 연결 앱 전부 해제, 2단계 인증 재설정을 순서대로 진행합니다.

복구를 쉽게 만드는 사전 준비

복구 절차는 "이 계정이 내 것"임을 증명하는 과정입니다. 증명 수단이 많을수록 빠릅니다. 복구 이메일과 전화번호를 최신 상태로 유지하고, 그 복구 이메일 자체에도 2단계 인증을 걸어 두어야 합니다. 복구 이메일이 뚫리면 나머지 모든 계정이 연쇄적으로 넘어가기 때문에, 사실상 가장 먼저 보호해야 할 계정은 SNS가 아니라 이메일입니다.

오늘 할 일은 두 가지면 충분합니다. 첫째, 주력 SNS 계정과 그 계정에 연결된 이메일에 인증 앱 기반 2단계 인증을 켜고 백업 코드를 안전한 곳에 저장하세요. 둘째, 연결된 앱 목록을 열어 기억나지 않는 앱을 전부 해제하세요. 이 두 가지만 해도 SNS 계정 보안 관리의 80%는 끝납니다.