비밀번호 하나가 뚫리면 이메일·쇼핑·금융 계정이 도미노처럼 넘어갑니다. 문제는 대부분의 계정 탈취가 ‘엄청난 해킹’이 아니라 같은 비밀번호를 여러 곳에 돌려쓴 탓에 벌어진다는 점입니다. 이 글에서는 털리지 않는 비밀번호를 만드는 원리와, 비밀번호가 새더라도 계정을 지켜주는 2단계 인증·패스키 설정법을 순서대로 정리했습니다.

비밀번호는 ‘복잡함’보다 ‘길이’가 핵심입니다

많은 분이 P@ss1!처럼 특수문자를 섞으면 안전하다고 믿지만, 공격자는 사람이 아니라 1초에 수억 번을 시도하는 프로그램입니다. 이들에게는 글자 수가 짧은 복잡한 비밀번호보다, 길고 단순한 비밀번호가 훨씬 뚫기 어렵습니다. 경우의 수가 글자 수에 따라 기하급수적으로 늘어나기 때문입니다.

그래서 요즘 보안 기관들이 권하는 방식은 패스프레이즈(passphrase), 즉 서로 상관없는 단어 4개 이상을 이어 붙이는 것입니다. 예를 들어 ‘고래-우산-달력-철봉’처럼요. 외우기는 쉬운데 길이가 길어 무차별 대입(가능한 조합을 전부 시도하는 공격)에 강합니다. 반대로 이름·생일·전화번호·1234·password처럼 사전이나 개인정보로 유추되는 조합은 길어도 순식간에 뚫립니다.

안전한 비밀번호 3원칙 — 길게, 다르게, 유추 불가능하게

첫째, 충분히 길게. 최소 12자 이상, 중요한 계정은 16자 이상을 권장합니다. 둘째, 계정마다 다르게. 한 곳이 털려도 다른 계정으로 번지지 않게 하는 가장 중요한 원칙입니다. 유출된 아이디·비밀번호 목록을 다른 사이트에 그대로 넣어보는 ‘크리덴셜 스터핑’ 공격이 계정 탈취의 큰 비중을 차지합니다. 셋째, 개인정보로 유추되지 않게. 이름·생일·반려동물 이름·좋아하는 팀은 SNS만 봐도 알 수 있습니다.

문제는 사이트마다 다른 긴 비밀번호를 사람이 다 외울 수 없다는 것입니다. 그래서 다음 단계가 필요합니다.

비밀번호 관리자와 패스키 — 이제 ‘외우지 않는’ 시대

비밀번호 관리자(Password Manager)는 계정마다 다른 복잡한 비밀번호를 자동으로 만들고 암호화해 저장해주는 금고 같은 도구입니다. 사용자는 이 금고를 여는 마스터 비밀번호 하나만 기억하면 됩니다. 아이폰·안드로이드·크롬·삼성 등에 이미 기본 내장돼 있어 따로 앱을 깔지 않아도 시작할 수 있습니다.

한 걸음 더 나아간 것이 패스키(Passkey)입니다. 패스키는 비밀번호 자체를 없애고, 지문·얼굴 인식·기기 잠금해제만으로 로그인하는 방식입니다. 비밀결이 되는 정보가 내 기기 안에만 저장되고 서버로 전송되지 않기 때문에, 가짜 사이트로 유도해 입력을 가로채는 피싱 자체가 원천적으로 통하지 않습니다. 구글·애플·마이크로소프트·네이버 등 대형 서비스가 이미 지원하며, 계정 설정에서 ‘패스키 사용’을 켜두면 보안 수준이 크게 올라갑니다. 문자로 유도되는 스미싱이나 보이스피싱에 비밀번호를 넘겨줄 위험도 줄어듭니다.

2단계 인증(2FA) — 비밀번호가 새도 막아주는 두 번째 자물쇠

2단계 인증(로그인 시 비밀번호 외에 한 번 더 본인 확인을 요구하는 장치)은 비밀번호가 유출돼도 계정을 지켜주는 마지막 방어선입니다. 반드시 켜야 하지만, 방식마다 안전도가 다릅니다.

가장 약한 것이 문자(SMS) 인증입니다. 없는 것보다는 훨씬 낫지만, 통신사 정보를 가로채거나 유심을 복제하는 공격에 취약합니다. 그다음이 인증 앱(TOTP)으로, 구글 OTP·Authy 같은 앱이 30초마다 바뀌는 숫자를 생성합니다. 문자보다 안전하고 무료라 대부분의 사람에게 권장되는 방식입니다. 가장 안전한 것은 패스키 또는 하드웨어 보안키(유비키 등 USB·NFC 물리 장치)로, 피싱에 구조적으로 뚫리지 않습니다.

정리하면 문자보다는 인증 앱, 인증 앱보다는 패스키·보안키 순으로 올려가면 됩니다. 인증 앱을 쓸 때는 휴대폰을 잃어버릴 경우를 대비해 백업 코드를 반드시 별도 보관하세요. 이걸 안 챙기면 폰을 바꾸거나 잃었을 때 본인 계정에서 잠기는 사고가 납니다.

핵심 요약 체크리스트

• 비밀번호는 12자 이상, 계정마다 다르게. 상관없는 단어를 이어 붙인 패스프레이즈가 외우기 쉽고 강합니다
• 이름·생일·전화번호·1234 같은 유추 가능한 조합은 금지
• 다 못 외우면 비밀번호 관리자에 맡기고 마스터 비밀번호 하나만 기억
• 지원하는 서비스는 패스키를 켜서 비밀번호 없이 생체인증으로 로그인
• 2단계 인증은 무조건 켜기. 문자보다 인증 앱, 인증 앱보다 패스키·보안키
• 인증 앱을 쓴다면 백업 코드를 따로 보관해 계정 잠김 사고 예방

비밀번호와 2단계 인증은 디지털 사기를 막는 기본기의 한 축입니다. 만약 이미 계정 정보가 새어나갔는지 걱정된다면 개인정보 유출 확인하고 막는 법에서 무료 조회와 대응 순서를 확인해 보세요.

참고 출처: 구글 안전 센터 — 패스키, 구글 계정 고객센터 — 2단계 인증. 각 서비스의 정확한 설정 방법은 해당 서비스 공식 도움말을 확인하세요.