비밀번호 안전하게 만드는 법 - 해킹에 뚫리지 않는 조합 원칙과 관리 습관 총정리

회원가입할 때마다 비밀번호를 새로 정하는 일, 솔직히 귀찮습니다. 그래서 많은 분들이 익숙한 비밀번호 하나를 여러 사이트에서 돌려씁니다. 문제는 그중 한 곳만 유출돼도 나머지 계정이 전부 위험해진다는 점입니다. 비밀번호 안전하게 만드는 법은 어렵지 않습니다. 원리를 이해하면 기억하기 쉬우면서도 뚫기 어려운 비밀번호를 누구나 만들 수 있습니다.

비밀번호가 뚫리는 3가지 경로

해커가 비밀번호를 알아내는 방식은 생각보다 단순합니다. 대부분 아래 세 가지 중 하나입니다.

• 무차별 대입 공격: 프로그램이 가능한 모든 조합을 순서대로 넣어봅니다. 짧은 비밀번호일수록 순식간에 뚫립니다.
• 사전 공격: 자주 쓰이는 단어, 생일, 전화번호, 키보드 패턴(qwer1234 등)을 우선 대입합니다. 흔한 비밀번호는 몇 초면 끝납니다.
• 크리덴셜 스터핑: 이미 유출된 아이디와 비밀번호 목록을 다른 사이트에 그대로 넣어봅니다. 비밀번호를 돌려쓰는 사람이 주요 표적입니다.

여기서 중요한 사실이 하나 나옵니다. 아무리 복잡한 비밀번호라도 여러 곳에서 같이 쓰면 크리덴셜 스터핑 앞에서는 무력하다는 점입니다.

길이에 따라 뚫리는 시간이 달라집니다

무차별 대입 공격 기준으로, 비밀번호 길이와 구성에 따른 대략적인 소요 시간은 아래와 같습니다. 해시 방식과 장비 성능에 따라 달라지는 추정치지만, 길이가 늘어날수록 시간이 기하급수적으로 늘어난다는 경향 자체는 분명합니다.

8자와 12자의 차이가 보이시나요? 겨우 4자 차이인데 뚫리는 시간은 수 시간에서 수백 년으로 벌어집니다.

안전한 비밀번호의 3가지 조건

보안 전문가들이 공통적으로 말하는 조건은 세 가지입니다.

• 길이 12자 이상: 미국 표준기술연구소(NIST)도 복잡한 특수문자 규칙보다 충분한 길이를 우선하라고 권고합니다.
• 예측 불가능성: 생일, 이름, 전화번호, 사전에 있는 단어 하나만으로 된 조합은 피해야 합니다.
• 사이트별 고유성: 한 곳이 유출돼도 다른 계정에 영향이 없도록 사이트마다 다르게 씁니다.

비밀번호 보안의 핵심은 복잡함이 아니라 길이와 고유함입니다. 기억하기 어려운 8자짜리 복잡한 조합보다, 기억하기 쉬운 16자짜리 문장이 훨씬 안전합니다.

기억하기 쉬운 문장형 비밀번호 만들기

길고 고유한 비밀번호를 어떻게 다 외우냐는 걱정이 나올 차례입니다. 답은 문장형 비밀번호(패스프레이즈)입니다.

1단계: 나만 아는 문장을 만든다

남들은 모르지만 나는 절대 잊지 않을 문장을 하나 정합니다. 예를 들어 "매일 아침 6시에 국밥 먹고 싶다" 같은 문장입니다. 이걸 변환하면 maeil6siGukbab! 처럼 15자짜리 비밀번호가 됩니다. 대소문자, 숫자, 특수문자가 자연스럽게 섞이면서도 나에게는 하나의 문장이라 외우기 쉽습니다.

2단계: 사이트별 변형 규칙을 정한다

기본 문장 뒤에 사이트를 나타내는 나만의 규칙을 붙입니다. 예를 들어 사이트 이름의 첫 두 글자를 대문자로 붙이는 식입니다. 네이버라면 뒤에 NV, 구글이라면 GG를 붙이는 방식으로, 규칙 하나만 기억하면 사이트마다 다른 비밀번호가 만들어집니다.

계정 등급별 비밀번호 관리 전략

모든 계정에 같은 수준의 보안을 적용할 필요는 없습니다. 계정을 세 등급으로 나누면 관리 부담이 크게 줄어듭니다.

• 1등급(금융, 메일): 은행, 증권, 이메일 계정입니다. 특히 이메일은 다른 모든 계정의 비밀번호 재설정 통로라서 가장 중요합니다. 16자 이상 고유 비밀번호에 2단계 인증까지 필수입니다.
• 2등급(SNS, 쇼핑): 개인정보와 결제 수단이 연결된 계정입니다. 12자 이상 고유 비밀번호를 씁니다.
• 3등급(일회성 가입): 한두 번 쓰고 말 사이트입니다. 여기에 1등급 비밀번호를 절대 쓰면 안 됩니다.

그리고 한 가지 더 중요한 원칙이 있습니다. 가입 자체를 줄이는 것입니다. 계정 수가 적을수록 유출될 통로도 줄어듭니다. 예를 들어 화면 크기 확인이나 대출 계산기처럼 로그인 없이 바로 쓸 수 있는 유틸리티 사이트는 굳이 계정을 만들 필요가 없습니다. 가입 없이 쓸 수 있는 서비스는 가입 없이 쓰는 것이 가장 안전한 선택입니다.

비밀번호 관리자와 2단계 인증

계정이 수십 개를 넘어가면 문장형 비밀번호로도 한계가 옵니다. 이때는 비밀번호 관리자를 쓰는 것이 현실적인 답입니다. 비밀번호 관리자는 사이트마다 무작위 비밀번호를 자동 생성하고 저장해 주는 도구로, 사용자는 마스터 비밀번호 하나만 기억하면 됩니다. 브라우저 내장 기능(구글 비밀번호 관리자, 애플 iCloud 키체인)만 제대로 활용해도 비밀번호 돌려쓰기보다 훨씬 안전합니다.

여기에 2단계 인증(2FA)을 더하면 비밀번호가 유출되더라도 계정을 지킬 수 있습니다. 문자 인증보다는 OTP 앱(구글 OTP, 마이크로소프트 인증기 등) 방식이 더 안전하다는 점도 기억해 두시기 바랍니다.

오늘 바로 실천할 두 가지

다 하려고 하면 시작이 어렵습니다. 오늘은 두 가지만 하시면 됩니다.

첫째, 이메일과 금융 계정의 비밀번호부터 바꾸세요. 문장형 방식으로 16자 이상, 다른 곳에서 안 쓰는 비밀번호로 교체하고 2단계 인증을 켭니다. 이 두 곳만 지켜도 피해의 대부분을 막을 수 있습니다.

둘째, 돌려쓰던 비밀번호가 걸린 계정 목록을 만드세요. 한 번에 다 바꾸기 어렵다면 자주 쓰는 사이트부터 일주일에 두세 개씩 바꿔 나가면 됩니다. 한 달이면 계정 전체가 정리됩니다.