안전한 비밀번호 만들기: 실용 안내서

실제로 안전한 비밀번호란 무엇인가요?

안전한 비밀번호는 추측하기 어렵고, 다른 서비스에서 사용한 값과 다르며, 다른 사람이 알아낼 수 없는 방식으로 보관됩니다. 이 조건들은 서로 보완합니다. 길이가 길면 가능한 조합이 늘어나고, 무작위성은 예상 가능한 규칙을 피하며, 계정마다 값이 다르면 한 번의 침해가 다른 곳으로 번지는 일을 막습니다. 보호된 저장 방식은 사용자의 기기에서 값이 노출될 가능성을 줄입니다.

비밀번호 하나만으로 피싱, 악성 프로그램, 서비스 장애, 로그인 세션 탈취를 막을 수는 없습니다. 계정을 절대로 빼앗기지 않는 보장이 아니라 접근을 지키는 한 가지 층으로 생각하세요. 운영체제와 앱을 최신 상태로 유지하고 로그인 알림을 확인하며 서비스가 제공하는 계정 복구 수단도 설정하세요.

안전한 비밀번호를 선택하는 일은 계정 보안의 중요한 부분이지만 전체 보안 계획과 같지는 않습니다. 사용 중인 기기를 다른 사람과 공유하는지, 잠금 화면이 설정되어 있는지, 복구 이메일이 보호되는지도 함께 살펴보세요. 공격자는 비밀번호를 직접 맞히는 대신 이런 주변 경로를 이용할 수도 있습니다.

안전한 비밀번호 선택하기: 길이와 무작위성

안전한 비밀번호를 만들 때는 서비스가 문제없이 허용하는 범위에서 가장 긴 무작위 값을 선택하세요. 입력 양식이 허용한다면 많은 계정에서 16자 이상이 실용적인 출발점입니다. 마스터 비밀번호나 중요한 데이터를 보호하는 키는 더 신중하게 골라야 합니다. 서로 독립적으로 뽑은 여러 단어로 만든 암호 문구는 직접 입력하기 편할 수 있고, 무작위 문자 비밀번호는 관리 도구가 대신 입력할 때 편리합니다.

문자 수만으로 강도를 판단할 수는 없습니다. 각 문자를 어떻게 골랐는지도 중요합니다. 무작위로 만든 16자 문자열은 널리 알려진 16자 문장과 다릅니다. 선택 가능한 집합이 커지면 이론적인 엔트로피가 높아지지만, 이는 선택 과정에 대한 가정만 나타냅니다. 피싱, 유출, 재사용, 서비스의 보안 결함까지 측정하지는 않습니다.

• 일반 계정: 길고 무작위인 값을 사용하고 관리 도구가 입력하게 하세요.
• 마스터 비밀번호: 직접 지은 문장이 아니라 독립적으로 뽑은 단어를 사용하세요.
• PIN: 기기가 허용하는 길이를 사용하고 단순한 연속 숫자는 피하세요.

문자 종류를 많이 포함하라는 규칙만 따르면 충분하다고 생각하지 마세요. 길고 무작위인 값이 가장 중요하며, 일부 서비스는 특정 기호나 공백을 받지 않기도 합니다. 사용하려는 서비스의 입력 제한을 먼저 확인한 뒤 그 안에서 값을 만들면 불필요한 수정과 재사용을 줄일 수 있습니다.

네 단계로 안전한 비밀번호 만들기

1. 접속할 계정을 확인하세요. 직접 입력한 주소나 신뢰할 수 있는 즐겨찾기를 여세요. 이메일이나 메시지 링크를 따라왔다면 비밀번호를 입력하기 전에 도메인이 맞는지 확인하세요.
2. 새 비밀번호를 생성하세요. 브라우저의 Web Crypto API처럼 적절한 무작위 출처를 사용하는 생성기를 고르세요. 서비스의 길이 제한을 확인하고, “기억하기 쉽도록” 결과를 직접 바꾸지 마세요.
3. 보관함에 저장하세요. 값을 비밀번호 관리 도구로 바로 복사하고 올바른 도메인에 연결하세요. 클립보드, 보호되지 않은 메모, 공유 스프레드시트, 화면 캡처에 비밀번호를 남기지 마세요.
4. 추가 보호를 설정하세요. 서비스가 지원하면 2단계 인증, 패스키 또는 보안 키를 설정하세요. 복구 코드는 주 기기와 분리된 안전한 장소에 보관하세요.

입력 양식에서 값을 거부하면 먼저 서비스가 공개한 요구 사항을 확인하세요. 이전 값을 재사용하거나 규칙적으로 문자를 빼지 말고 조건에 맞는 새 비밀번호를 생성하세요. 이후 자동 입력을 시험하고 관리 도구에 올바른 웹 주소가 저장되었는지 확인하세요.

계정마다 이 절차를 반복하면 보안 수준을 일정하게 유지할 수 있습니다. 생성한 값이 서비스의 규칙에 맞지 않으면 허용되는 문자와 최대 길이를 확인하고 새 값을 다시 만드세요. 사람이 임의로 몇 글자만 수정하면 선택 규칙이 예측 가능해질 수 있으므로 결과 전체를 새로 생성하는 편이 낫습니다.

안전한 비밀번호를 저장하고 재사용을 피하세요

계정마다 다른 비밀번호를 모두 외우기는 어렵습니다. 비밀번호 관리 도구는 보호된 보관함에 계정별 값을 생성하고 저장합니다. 사용자는 마스터 비밀번호를 기억하고 보관함에 접근하는 방법을 보호하면 됩니다. 다른 값은 길고 무작위로 만들 수 있습니다. 다만 마스터 비밀번호와 관리 도구 계정은 특히 신중히 보호해야 합니다.

관리 도구를 선택하기 전에 자동 잠금, 2단계 인증, 보호된 동기화, 데이터 내보내기, 이해하기 쉬운 복구 절차가 있는지 확인하세요. 보관함을 어떻게 보호하는지, 기기를 잃어버리면 어떤 복구 방법이 있는지 공식 설명을 읽으세요. 앱을 최신 상태로 유지하고 보관함을 여는 계정에도 추가 인증을 켜세요.

각 비밀번호를 올바른 웹 주소와 함께 저장하고 도메인을 알아볼 수 없는 페이지에서는 자동 입력을 사용하지 마세요. 관리 도구가 주소가 다른 사이트를 알아차리는 데 도움이 될 수 있지만 사용자의 확인을 대신하지는 않습니다. 이메일 비밀번호를 마스터 값으로 재사용하지 말고 복구 코드를 안전한 장소에 보관하세요.

기기나 관리 도구를 바꾸기 전에 복구 방법이 작동하는지 확인하세요. 복구 코드가 어디에 있는지 기억하고, 그 위치 자체도 다른 사람이 쉽게 접근하지 못하도록 관리해야 합니다. 이 준비는 비밀번호를 쉽게 만들기 위한 절차가 아니라 보관함에 계속 접근할 수 있도록 하는 기본적인 대비입니다.

2단계 인증을 켜고 계정 복구도 보호하세요

2단계 인증은 비밀번호 외에 다른 증거를 요구합니다. 패스키, 물리 보안 키, 인증 앱, 승인 알림, 문자로 받은 코드가 사용될 수 있습니다. 가장 강한 선택지는 서비스와 기기에 따라 다릅니다. 패스키나 보안 키는 직접 입력하는 코드보다 가짜 로그인 페이지에 강한 편입니다. 어떤 추가 요소든 이미 알려진 비밀번호만으로 접근하는 위험을 줄이는 데 도움이 됩니다.

예상하지 못한 링크가 아니라 계정의 공식 설정에서 기능을 켜세요. 복구 코드를 안전하게 저장하고 전화기를 분실했을 때 서비스를 통해 어떻게 복구할지 확인하세요. 고객 지원을 사칭하는 사람이 전화나 메시지로 연락해도 일회용 코드를 알려주지 마세요. 정식 지원 담당자는 사기를 취소한다는 이유로 사용자의 인증 코드를 요구하지 않습니다.

가능하다면 로그인 승인 알림을 받을 기기도 안전하게 잠그세요. 인증 앱을 새 기기로 옮길 때는 기존 기기를 지우기 전에 새 기기에서 코드가 정상적으로 작동하는지 확인하세요. 여러 개의 복구 수단을 설정하더라도 모든 복구 정보가 같은 기기나 같은 이메일 계정에만 묶이지 않도록 나누어 보관하는 것이 좋습니다.

비밀번호 유출 후 계정을 지키는 방법

서비스에서 온 공식 알림을 출발점으로 삼고, 직접 입력한 주소나 즐겨찾기를 통해 계정에 접속하세요. 노출된 비밀번호를 새롭고 고유한 값으로 바꾸세요. 같은 값을 여러 곳에 썼다면 이메일, 비밀번호 관리 도구, 금융 또는 업무 서비스부터 해당 비밀번호를 사용한 모든 계정을 업데이트하세요.

다음으로 모르는 로그인 세션을 종료하고, 등록된 기기와 복구 방법을 확인하세요. 이메일 주소, 전화번호, 메일 전달 규칙이 바뀌지 않았는지도 살펴보세요. 2단계 인증을 켜거나 설정을 갱신하세요. 업무, 은행, 고객 정보와 관련된 계정이면 조직의 사고 대응 절차를 따르고 공식 연락처를 통해 지원팀에 문의하세요.

유출 내용을 보여 주겠다는 메시지의 링크를 누르지 마세요. 낯선 입력 양식에 비밀번호, 복구 코드, 인증 코드를 입력하지 마세요. 경고 메시지 자체가 가짜일 수 있고, 긴급한 상황처럼 꾸며 로그인 정보를 훔치는 페이지로 유도할 수 있습니다.

계정에 접근할 수 없게 되었거나 낯선 변경 사항이 보이면 서비스의 공식 복구 절차를 이용하세요. 같은 비밀번호를 사용한 다른 계정도 확인하고, 복구 이메일과 전화번호가 여전히 본인의 것인지 점검하세요. 중요한 계정이라면 날짜와 발견한 변경 내용을 기록해 공식 지원팀에 전달하면 대응 과정을 정리하는 데 도움이 됩니다.

안전한 비밀번호의 강도를 낮추는 흔한 실수

• 비밀번호 재사용: 한 사이트에서 유출된 값이 다른 사이트의 접근에 쓰일 수 있습니다. 계정별로 다른 값을 쓰면 이 연쇄 피해를 막을 수 있습니다.
• 끝에 글자만 붙이기: password를 password2026!로 바꾸어도 공격자가 시험하는 규칙에 남을 수 있습니다.
• 부적절한 방법으로 공유하기: 이메일, 단체 채팅, 화면 캡처, 공개 문서에는 통제할 수 없는 복사본이 남을 수 있습니다.
• 브라우저 자물쇠만 믿기: HTTPS는 연결 경로를 보호하지만 사이트가 진짜인지, 계정이 안전한지까지 보장하지는 않습니다.
• 공개된 예시 복사하기: 글에 실린 비밀번호나 암호 문구는 무작위처럼 보여도 이미 공개된 값입니다. 본인이 쓸 값은 새로 생성하세요.

접근 권한을 공유해야 한다면 서비스가 제공하는 초대 기능이나 안전한 공유 기능을 우선 사용하세요. 그런 기능이 없다면 신뢰할 수 있는 전달 방법을 정하고, 공유가 끝난 뒤 비밀번호를 교체하세요. 공유한 사람이 누구인지와 공유가 끝난 시점을 확인할 수 있도록 기록을 남기면 접근을 정리하기 쉽습니다.

이 방법만으로 보장할 수 없는 것

브라우저에서 비밀번호를 만들면 생성 과정에서 서버로 보낼 필요가 줄어듭니다. 그러나 이 사실만으로 대상 서비스가 비밀번호를 어떻게 저장하는지, 로그인 시도를 어떻게 제한하는지, 시스템을 어떻게 보호하는지 증명할 수는 없습니다. 악성 확장 프로그램, 감염된 컴퓨터, 가짜 페이지, 화면을 보는 사람이 값을 노출시킬 수도 있습니다. 기기를 최신 상태로 유지하고 공식 도메인을 사용하세요.

위험은 서비스의 저장 방식, 반복 시도를 제한하는 능력, 이전 유출, 다른 공격 경로에도 달려 있습니다. 길이와 무작위성은 도움이 되지만 추가 인증이나 링크를 확인하는 습관을 대신하지 않습니다. 비밀번호 생성 도구를 쓸 때도 기기의 보안과 사용 중인 웹사이트의 진위를 계속 확인해야 합니다.

더 자세한 내용은 비밀번호, 재사용, 2단계 확인을 다루는 CERT.br의 인증 관련 인터넷 보안 안내서(포르투갈어)를 참고하세요. MDN의 Web Crypto API 문서는 브라우저 응용 프로그램에서 사용할 수 있는 암호학적 무작위 출처를 설명합니다.

이 안내는 계정 보안을 시작하는 실용적인 절차이며, 조직의 보안 정책이나 서비스별 지침을 대신하지 않습니다. 중요한 계정에서 특수한 요구 사항이 있다면 해당 서비스의 공식 문서를 확인하세요. 값이 노출되었거나 계정에 이상한 활동이 보이면 서비스의 공식 지원 경로를 이용하고, 다른 사람이 보낸 긴급 링크나 전화번호는 피하세요.

안전한 비밀번호: 자주 묻는 질문과 답변