비밀번호 관리자와 패스키: 안전한 비밀번호 만드는 법

비밀번호 관리자는 계정마다 다른 강력한 비밀번호를 만들고, 저장하고, 자동으로 입력해 주는 앱입니다. 그래서 기억할 비밀번호는 하나뿐입니다. 여기에 비밀번호 대신 얼굴, 지문, 화면 잠금으로 로그인하는 패스키까지 더하면, 일상에서 가장 큰 위험인 '여러 곳에 같은 비밀번호 쓰기'를 없앨 수 있습니다.

이메일, 은행, SNS 계정은 대부분 비밀번호로 지켜집니다. 하나라도 도난당하면 범죄자가 메시지를 읽고, 다른 계정을 재설정하고, 내 돈을 쓸 수 있습니다. 해결하는 데는 생각보다 시간이 적게 들고, 기술 지식도 필요 없습니다.

진짜 위험은 비밀번호 재사용

많은 사람이 누군가 내 비밀번호를 알아맞힐까 봐 걱정합니다. 더 큰 문제는 비밀번호 재사용입니다.

웹사이트가 해킹되면 이메일 주소와 비밀번호 목록이 온라인에 퍼지는 일이 많습니다. 공격자는 자동화 도구로 같은 조합을 이메일, 은행, 쇼핑몰 등 수많은 다른 사이트에 대입해 봅니다. 이를 크리덴셜 스터핑(credential stuffing)이라고 합니다.

작은 쇼핑몰에서 유출된 비밀번호를 이메일에도 썼다면, 공격자는 이제 내 이메일에 들어갈 수 있고 거기서 거의 모든 계정을 재설정할 수 있습니다.

그래서 계정마다 다른 비밀번호가 필요합니다. 그리고 수십 개를 외울 수 있는 사람은 없으니, 비밀번호 관리자가 필요한 것입니다.

요즘 기준으로 안전한 비밀번호란

복잡함보다 길이가 중요합니다. 긴 비밀번호는 기호로 가득한 짧은 비밀번호보다 훨씬 알아내기 어렵습니다.

• 최소 12~16자 이상으로 만들고, 중요한 계정은 더 길게 하세요.
• 패스프레이즈를 써 보세요. 서로 관련 없는 무작위 단어 네 개 이상을 이어 붙입니다. 예: 강물-촛불-궤도-후추. 길고, 입력하기 쉽고, 기억하기도 쉽습니다.
• 이름, 생일, 전화번호 같은 개인정보는 피하세요.
• 'Password1!'처럼 흔한 패턴이나 예전 비밀번호에 연도만 붙이는 방식은 피하세요.
• 절대 재사용하지 마세요. 강력한 비밀번호라도 열 곳에서 쓰면 그중 가장 허술한 사이트만큼만 안전합니다.

외워야 할 것은 몇 개뿐입니다. 휴대폰 잠금 해제 코드, 주 이메일 비밀번호, 비밀번호 관리자의 마스터 비밀번호입니다.

비밀번호 관리자의 원리와 시작하는 법

비밀번호 관리자는 비밀번호를 암호화된 보관함에 보관합니다. 보관함은 마스터 비밀번호 하나로, 그리고 보통 지문이나 얼굴 인식으로도 잠깁니다. 새 무작위 비밀번호를 제안하고 저장된 비밀번호를 자동 입력하는데, 저장했던 진짜 웹사이트에서만 입력하기 때문에 가짜 로그인 페이지로부터 나를 지키는 데도 도움이 됩니다.

비밀번호 관리자 고르기

• 휴대폰이나 브라우저에 내장된 관리자. 아이폰, 안드로이드, Windows, macOS와 주요 브라우저에는 비밀번호를 생성, 저장, 동기화하는 기능이 들어 있습니다. 가장 쉽게 시작할 수 있습니다.
• 평판 좋은 독립 비밀번호 관리자. 여러 플랫폼과 브라우저에서 함께 쓸 수 있어, 기기를 섞어 쓴다면 편리합니다. App Store, Google Play 또는 개발사 공식 웹사이트에서만 설치하세요.

단계별 설정

1. 강력한 마스터 비밀번호를 하나 만드세요. 다른 곳에서 한 번도 쓴 적 없는 긴 패스프레이즈가 좋습니다.
2. 비밀번호를 보관하는 계정에 2단계 인증을 켜세요. 방법은 2단계 인증 가이드에서 설명합니다.
3. 복구 키나 복구 연락처 같은 복구 옵션을 설정하고 안전한 곳에 보관하세요.
4. 며칠 동안 로그인할 때마다 관리자가 비밀번호를 저장하게 두세요.
5. 가장 중요한 계정(이메일, 은행, 통신사, SNS)부터 관리자의 '비밀번호 생성' 기능으로 비밀번호를 바꾸세요. 일주일에 몇 개씩이면 충분합니다.

패스키란? 쉽게 설명해 드립니다

그렇다면 패스키란 무엇일까요? 패스키는 비밀번호를 완전히 대신하는 새로운 로그인 방식입니다. 휴대폰이나 컴퓨터 잠금을 풀 때처럼 얼굴, 지문, PIN으로 본인임을 확인합니다.

내부적으로는 기기가 디지털 키 한 쌍을 만듭니다. 웹사이트는 공개 키만 보관합니다. 개인 키는 내 기기나 비밀번호 관리자 안에서 보호되며, 웹사이트로 전송되지 않습니다. 그래서 다음과 같은 장점이 있습니다.

• 웹사이트에서 훔칠 것이 없습니다. 해킹을 당해도 재사용될 비밀번호가 유출되지 않습니다.
• 피싱에 강합니다. 패스키는 만들어진 진짜 웹사이트에서만 작동하므로, 가짜 로그인 페이지가 나를 속여 패스키를 넘겨받을 수 없습니다.
• 여러 기기에서 동기화됩니다. 내장 또는 독립 비밀번호 관리자에 저장된 패스키는 같은 계정으로 로그인한 다른 기기에도 동기화됩니다.

패스키가 없는 컴퓨터에서 로그인할 때는 웹사이트가 QR코드를 보여 줄 수 있습니다. 휴대폰으로 스캔하고 확인하면 되는데, 이때 휴대폰이 실제로 가까이 있어야 합니다.

계정을 패스키로 바꾸는 법

1. 평소처럼 계정에 로그인한 뒤 보안 또는 로그인 설정을 여세요.
2. '패스키' 또는 '패스키 만들기' 같은 메뉴를 찾으세요.
3. 얼굴, 지문, 화면 잠금으로 확인하고 저장할 위치를 고르세요.
4. 로그아웃한 뒤 패스키로 다시 로그인해 테스트하세요.
5. 일부 서비스는 비밀번호를 예비 수단으로 남겨 두므로, 그 비밀번호도 강력하고 고유한지 확인하세요.

아직 모든 웹사이트가 패스키를 지원하지는 않습니다. 지원하는 곳에서는 패스키를, 나머지는 비밀번호 관리자를 쓰세요.

유출된 비밀번호 확인하기

아이폰, 안드로이드, 주요 브라우저의 내장 비밀번호 관리자와 대부분의 독립 관리자에는 비밀번호 점검이나 보안 권장 사항 기능이 있습니다. 저장된 비밀번호가 다음에 해당하면 알려 줍니다.

• 알려진 정보 유출 사고에 포함되었다.
• 여러 계정에서 재사용되고 있다.
• 약하거나 추측하기 쉽다.

몇 달에 한 번 이 메뉴를 열어 경고를 해결하세요. 가장 중요한 계정부터 시작하세요.

개인정보 유출 사고 후 대처법

서비스가 유출 사실을 알리거나 비밀번호 점검에서 경고가 뜨면 다음 순서로 대응하세요.

1. 해당 계정의 비밀번호를 바꾸세요. 비밀번호 관리자로 새로 만든 비밀번호를 쓰세요.
2. 같은 비밀번호를 쓴 다른 곳도 모두 바꾸세요. 실제 피해는 재사용에서 생깁니다.
3. 아직이라면 그 계정에 2단계 인증이나 패스키를 켜세요.
4. 계정을 점검하세요. 모르는 기기, 메일 자동 전달 규칙, 바뀐 복구 정보가 없는지 확인하세요.
5. 결제 정보가 노출됐을 수 있다면 카드·계좌 내역을 지켜보고, 이상한 점이 있으면 은행에 연락하세요.
6. 메시지를 더욱 조심하세요. 유출 사고 뒤에는 범죄자가 가짜 '보안 경고' 이메일, 문자, QR코드를 보내는 경우가 많습니다. 링크 대신 공식 앱을 열거나 주소를 직접 입력하고, QR코드 피싱 메일 가이드도 참고하세요.

비밀번호 보안 빠른 체크리스트

1. 중요한 계정마다 고유한 비밀번호가 있다.
2. 주요 비밀번호는 짧고 복잡한 단어가 아니라 긴 패스프레이즈다.
3. 내장 또는 평판 좋은 독립 비밀번호 관리자를 쓴다.
4. 마스터 비밀번호는 강력하고 다른 곳에서 쓰지 않는다.
5. 비밀번호 관리자의 복구 옵션을 안전한 곳에 보관했다.
6. 이메일과 비밀번호 관리자를 2단계 인증으로 보호한다.
7. 지원하는 계정에는 패스키를 켰다.
8. 몇 달에 한 번 비밀번호 점검을 한다.

FAQ

모든 비밀번호를 비밀번호 관리자 하나에 저장해도 안전한가요?

네, 대부분의 사람에게는 비밀번호를 재사용하는 것보다 훨씬 안전합니다. 보관함은 암호화되어 마스터 비밀번호로 잠기므로, 마스터 비밀번호를 잘 지키고 2단계 인증을 켜세요.

마스터 비밀번호를 잊어버리면 어떻게 되나요?

관리자마다 다릅니다. 많은 서비스가 복구 키나 복구 연락처를 제공하므로, 첫날부터 설정해 두세요.

패스키가 2단계 인증을 대신하나요?

패스키는 이미 두 가지 요소를 합친 방식입니다. 내가 가진 것(기기)과 내 몸이나 내가 아는 것(지문, 얼굴, PIN)입니다. 그래서 많은 서비스가 패스키 로그인만으로 충분히 강력하다고 봅니다.

패스키가 저장된 휴대폰을 잃어버리면요?

패스키가 비밀번호 관리자로 동기화되어 있다면, 새 기기에서 로그인할 때 다시 돌아옵니다. 휴대폰을 잃어버렸을 때 할 일은 스마트폰 보안 수칙에서 설명합니다.

고유한 비밀번호와 패스키만으로도 계정 탈취 대부분을 막을 수 있습니다. 이번 주에 이메일부터 비밀번호 관리자를 설정해 보세요. 그리고 QR코드가 담긴 '보안 경고'가 오면, 열기 전에 QR-TH의 무료 온라인 QR코드 스캐너로 실제 연결 주소를 확인하세요.