주소모음에서 공식 사이트를 골라 들어가는 것만큼 중요한 것이, 들어간 뒤 쓰는 계정을 튼튼하게 지키는 일입니다. 아무리 진짜 사이트에 접속하더라도 비밀번호가 이미 다른 곳에서 새어 나갔다면 누군가 내 계정에 먼저 들어갈 수 있기 때문입니다. 계정 보안이라고 하면 어렵게 느껴지지만, 실제로 효과가 큰 조치는 두 가지로 압축됩니다. 사이트마다 다른 비밀번호를 쓰는 것, 그리고 2단계 인증을 켜는 것입니다. 하나씩 이유와 방법을 살펴보겠습니다.
비밀번호를 돌려 쓰면 생기는 일
어느 쇼핑몰이나 커뮤니티에서 회원 정보가 유출되면, 공격자는 그 목록에 있는 아이디와 비밀번호 조합을 다른 유명 사이트에 자동으로 하나씩 대입해 봅니다. 이를 흔히 크리덴셜 스터핑이라고 부릅니다. 같은 비밀번호를 여러 곳에서 쓰고 있었다면, 내가 가입한 줄도 잊은 작은 사이트 한 곳의 사고가 포털 메일이나 메신저 계정의 문제로 번지는 셈입니다.
특히 이메일 계정은 다른 계정의 비밀번호를 재설정하는 열쇠 역할을 하기 때문에 더 위험합니다. 메일함을 차지한 사람은 ‘비밀번호 찾기’를 눌러 연결된 다른 서비스의 비밀번호까지 바꿀 수 있습니다. 그래서 비밀번호를 하나만 제대로 관리할 여유가 있다면 이메일부터 챙겨야 합니다.
지금 저장해 둔 비밀번호 가운데 이미 유출 목록에 오른 것이 있는지 궁금하다면 브라우저의 비밀번호 점검 기능을 써 볼 수 있습니다. 크롬과 엣지 같은 브라우저는 저장된 비밀번호 중 유출된 것, 여러 사이트에서 겹쳐 쓰는 것, 지나치게 약한 것을 골라 알려 주는 기능을 갖추고 있습니다. 결과 목록이 길게 나와도 겁먹을 필요는 없고, 중요한 계정부터 차례로 바꿔 나가면 됩니다.
사이트마다 다른 비밀번호를 현실적으로 관리하는 법
수십 개 사이트의 비밀번호를 전부 다르게 외우는 것은 사실상 불가능합니다. 그래서 기억에만 기대지 말고 도구의 도움을 받는 편이 현실적입니다. 크롬, 엣지, 사파리, 웨일 같은 브라우저에는 비밀번호 저장과 자동 채우기 기능이 들어 있고, 새 비밀번호를 만들 때 무작위 비밀번호를 제안하기도 합니다. 여러 기기와 브라우저를 오가며 쓴다면 별도의 비밀번호 관리 앱을 쓰는 방법도 있습니다.
직접 외워야 하는 비밀번호, 예를 들어 비밀번호 관리 도구를 여는 대표 비밀번호나 이메일 비밀번호는 짧고 복잡한 문자열보다 길고 나만 아는 문장형이 좋습니다. 서로 관련 없는 단어 서너 개를 이어 붙이고 숫자나 기호를 섞으면, 외우기는 쉬우면서도 추측하기는 어려운 비밀번호가 됩니다. 생일, 전화번호, 아이디와 같은 문자열은 피하세요.
- 이메일 계정 비밀번호를 다른 어디에서도 쓰지 않는 새 비밀번호로 바꿉니다.
- 포털, 메신저, 금융, 쇼핑처럼 피해가 클 계정을 순서대로 바꿉니다.
- 바꾼 비밀번호는 브라우저나 비밀번호 관리 앱에 저장해 둡니다.
- 더 이상 쓰지 않는 사이트는 비밀번호를 바꾸기보다 회원 탈퇴로 정리합니다.
2단계 인증의 종류와 고르는 기준
2단계 인증은 비밀번호 외에 한 가지를 더 확인하는 방식입니다. 비밀번호가 새어 나가도 두 번째 단계를 통과하지 못하면 로그인이 되지 않으니, 재사용 피해를 막는 가장 확실한 안전장치라고 할 수 있습니다. 서비스마다 제공하는 방식이 다르지만 대체로 아래 가운데에서 고르게 됩니다.
- 문자 인증번호: 설정이 가장 간단하지만, 휴대폰 번호를 바꾸거나 문자를 가로채는 공격에는 약한 편입니다.
- 인증 앱 일회용 코드: 앱에서 30초 정도마다 바뀌는 숫자를 입력하는 방식으로, 문자보다 안정적입니다.
- 앱 알림 승인: 서비스 앱에 뜬 로그인 요청을 눌러 승인하는 방식으로 편리합니다.
- 패스키·보안키: 기기의 생체 인증이나 물리 키로 로그인하며, 가짜 사이트에서는 작동하지 않아 피싱에 강합니다.
설정 위치는 대개 계정 설정 안의 ‘보안’ 또는 ‘로그인’ 관련 메뉴에 있습니다. 설정을 마치면 휴대폰을 잃어버렸을 때 쓸 백업 코드나 복구 수단을 안내하는 경우가 많은데, 이 코드는 종이에 적거나 비밀번호 관리 앱에 따로 보관해 두세요. 이 단계를 건너뛰면 휴대폰을 바꿀 때 내 계정에 나조차 들어가지 못하는 일이 생길 수 있습니다.
켜 두고 나서 지켜야 할 습관
2단계 인증을 켠 뒤에도 주의할 점이 있습니다. 내가 로그인하지 않았는데 승인 요청 알림이 온다면 절대 승인하지 말고, 곧바로 비밀번호를 바꾸세요. 누군가 이미 비밀번호를 알고 두 번째 문을 두드리고 있다는 뜻입니다. 또 인증번호나 일회용 코드는 어떤 상황에서도 다른 사람에게 알려 주면 안 됩니다. 서비스 운영사 직원이나 공공기관은 전화나 메시지로 이런 코드를 묻지 않습니다. 몇 달에 한 번은 계정의 로그인 기록과 연결된 기기 목록을 열어 보고, 쓰지 않는 기기는 로그아웃시켜 두면 좋습니다.
비밀번호를 하나만 바꿀 시간이 있다면 이메일 계정부터, 그리고 그 계정에 2단계 인증을 먼저 켜세요.
로그인은 늘 공식 주소에서 하는 것이 기본입니다. 주소콘의 링크모음에 정리된 공식 사이트 바로가기를 이용하고, 가짜 주소를 구별하는 법은 피싱 예방에서 함께 확인해 보세요.