비밀번호 해킹 방지법 총정리 - 해커가 노리는 위험한 습관과 계정을 지키는 7가지 보안 수칙
매일 쓰는 비밀번호가 해커에게는 가장 쉬운 침입 경로입니다. 크리덴셜 스터핑부터 2단계 인증, 유출 확인까지 계정 탈취를 막는 실전 방법을 순서대로 정리했습니다.
혹시 3년 전에 만든 비밀번호 하나를 여러 사이트에서 돌려쓰고 계시지 않나요? 대부분의 사람이 그렇습니다. 기억해야 할 계정이 수십 개가 넘다 보니 어쩔 수 없는 선택이기도 합니다. 문제는 해커도 이 사실을 아주 잘 알고 있다는 점입니다. 비밀번호 해킹 방지법의 출발점은 거창한 보안 장비가 아니라, 지금 내 습관 중 무엇이 위험한지 아는 것입니다.
비밀번호가 뚫리는 진짜 이유
영화처럼 해커가 모니터 앞에서 한 글자씩 비밀번호를 추측하는 일은 거의 없습니다. 실제 계정 탈취는 대부분 자동화된 방식으로 일어납니다.
- 크리덴셜 스터핑: 다른 사이트에서 유출된 아이디와 비밀번호 목록을 프로그램으로 여러 사이트에 자동 대입하는 공격입니다. 비밀번호를 돌려쓰는 사람이 주요 표적입니다.
- 무차별 대입 공격: 짧고 단순한 비밀번호를 프로그램이 조합을 바꿔가며 빠르게 시도합니다.
- 피싱과 스미싱: 로그인 페이지를 똑같이 흉내 낸 가짜 사이트로 유도해 비밀번호를 직접 입력하게 만듭니다.
- 악성코드 키로거: 감염된 PC에서 키보드 입력 자체를 가로챕니다.
이 중 가장 흔한 것이 크리덴셜 스터핑입니다. 즉, 내가 아무리 조심해도 어딘가 한 곳에서 유출되면 같은 비밀번호를 쓰는 모든 계정이 위험해지는 구조입니다.
해커가 가장 좋아하는 비밀번호 습관
비밀번호가 얼마나 빨리 뚫리는지는 길이와 문자 조합에 따라 크게 달라집니다. 아래는 보안 업계에서 통용되는 상대적인 위험도 비교입니다. 해시 방식과 장비 성능에 따라 달라지는 추정치이므로 절대 시간보다 격차에 주목해 주세요.
| 비밀번호 구성 | 예시 유형 | 예상 해독 난이도 |
|---|---|---|
| 8자리 숫자만 | 생년월일, 전화번호 | 사실상 즉시 해독 |
| 8자리 영문 소문자 | 단순 영단어 | 매우 취약 |
| 10자리 대소문자 + 숫자 | 단어 + 숫자 조합 | 수개월 이상 소요 |
| 12자리 이상 대소문자 + 숫자 + 특수문자 | 문장형 조합 | 현실적으로 해독 불가 수준 |
특히 피해야 할 습관은 다음과 같습니다. 생년월일, 전화번호 뒷자리, 자녀 이름 같은 정보는 SNS 프로필만 봐도 유추할 수 있습니다. 키보드 배열을 따라 치는 qwer1234 류의 패턴도 해커의 사전 목록 맨 앞에 들어 있습니다.
좋은 비밀번호의 기준은 복잡함이 아니라 길이와 고유함입니다. 기억하기 어려운 8자리보다 기억하기 쉬운 16자리 문장이 훨씬 안전하고, 세상에서 그 사이트에만 쓰는 비밀번호 하나가 어떤 보안 프로그램보다 강력합니다.
비밀번호 해킹 방지법 실천 수칙 7가지
1. 길이를 12자리 이상으로 늘리기
미국 국립표준기술연구소 NIST도 복잡한 규칙보다 충분한 길이를 우선하라고 권고합니다. 좋아하는 문장을 변형한 패스프레이즈 방식이 대표적입니다. 예를 들어 자신만 아는 문장을 초성, 숫자, 특수문자로 바꾸면 길면서도 기억하기 쉽습니다.
2. 사이트마다 다른 비밀번호 쓰기
크리덴셜 스터핑을 막는 유일한 방법입니다. 최소한 이메일, 금융, 주요 SNS 계정만큼은 반드시 서로 다르게 설정하세요.
3. 비밀번호 관리자 활용하기
수십 개의 비밀번호를 머리로 외우는 것은 불가능합니다. 브라우저 내장 관리자나 전용 비밀번호 관리 앱을 쓰면 사이트마다 무작위 비밀번호를 만들어 저장할 수 있습니다. 이때 관리자 자체의 마스터 비밀번호는 가장 길고 강력하게 만들어야 합니다.
4. 주기적 변경 강박 대신 유출 시 즉시 변경
3개월마다 바꾸라는 오래된 규칙은 오히려 password1, password2처럼 예측 가능한 패턴을 만듭니다. NIST 최신 가이드라인도 정기 변경 강제 대신 유출 정황이 있을 때 즉시 변경하는 방식을 권장합니다.
5. 공용 PC와 공용 와이파이에서 로그인 최소화
PC방이나 카페 공용 기기에는 키로거가 심겨 있을 가능성을 배제할 수 없습니다. 부득이하게 로그인했다면 사용 후 반드시 로그아웃하고, 가급적 빠른 시일 내에 비밀번호를 변경하세요.
6. 불필요한 계정 자체를 만들지 않기
계정 수가 늘어날수록 유출될 수 있는 지점도 늘어납니다. 한두 번 쓰고 말 기능이라면 회원가입 없이 이용할 수 있는 도구를 선택하는 것이 좋습니다. 예를 들어 체질량지수를 확인할 때는 로그인 없이 바로 쓸 수 있는 BMI 계산기를, 만 나이나 연 나이가 헷갈릴 때는 나이 계산기를 이용하면 새 사이트에 개인정보를 맡길 일이 없습니다.
7. 쓰지 않는 계정은 탈퇴하기
휴면 계정은 유출돼도 본인이 눈치채지 못하기 때문에 해커에게 더 좋은 먹잇감입니다. 1년에 한 번은 가입 이력을 점검하고 안 쓰는 서비스를 정리하세요.
2단계 인증과 패스키로 이중 잠금 걸기
아무리 강력한 비밀번호도 피싱 한 번이면 넘어갈 수 있습니다. 그래서 비밀번호가 뚫려도 계정을 지켜주는 2단계 인증이 필수입니다.
- 문자 인증: 가장 간편하지만 심 스와핑 등으로 우회될 수 있어 보안성은 상대적으로 낮습니다.
- OTP 앱 인증: 구글 OTP 같은 앱이 30초마다 새 코드를 생성합니다. 문자보다 안전하고 무료입니다.
- 패스키: 비밀번호 없이 지문이나 얼굴 인식으로 로그인하는 방식입니다. 가짜 사이트에서는 작동하지 않아 피싱 자체가 원천 차단됩니다.
유출 확인 방법과 해킹당했을 때 대응
내 계정이 이미 유출됐는지 확인하는 공식적인 방법이 있습니다.
- 털린 내 정보 찾기 서비스: 개인정보보호위원회와 한국인터넷진흥원 KISA가 운영하는 공식 서비스로, 내 아이디와 비밀번호가 다크웹 등에 유출됐는지 조회할 수 있습니다.
- 브라우저 비밀번호 진단: 크롬의 비밀번호 체크업 기능은 저장된 비밀번호 중 유출됐거나 중복 사용 중인 항목을 알려줍니다.
이미 해킹이 의심된다면 순서가 중요합니다. 먼저 해당 계정과 같은 비밀번호를 쓰는 모든 계정의 비밀번호를 즉시 변경하고, 로그인 기록에서 낯선 접속을 확인한 뒤, 연결된 결제 수단을 점검하세요.
오늘 할 일은 두 가지면 충분합니다. 첫째, 가장 중요한 메일 계정의 비밀번호를 12자리 이상 문장형으로 바꾸고 2단계 인증을 켜세요. 둘째, 털린 내 정보 찾기 서비스에서 내 계정 유출 여부를 확인하세요. 이 두 가지만으로도 계정 탈취 위험의 상당 부분을 막을 수 있습니다.
