비밀번호

왜 필요한가

비밀번호에 관해 가장 흔한 오해는 "복잡하게 만들면 안전하다"입니다.

실제로 계정이 털리는 경로는 대부분 이렇습니다.

1. 어떤 쇼핑몰이 해킹되어 아이디와 비밀번호가 통째로 유출된다
2. 공격자가 그 목록을 들고 다른 사이트에 그대로 넣어 본다
3. 같은 비밀번호를 쓰던 사람의 포털, 은행, 메신저가 함께 열린다

이 방식에서는 비밀번호가 얼마나 복잡한지는 아무 상관이 없습니다. 이미 정답을 알고 넣기 때문입니다.

길이와 예측하기 어려운 조합을 함께 확인하기

무작위로 고른 문자를 늘리면 가능한 조합이 많아집니다. 하지만 같은 글자를 반복하거나 알려진 문장을 늘리는 것만으로는 그만큼의 효과를 얻지 못합니다.

• 짧은 문자열에 기호를 섞는 것만으로 충분하지 않습니다.
• 공개된 예시나 흔한 문장을 그대로 비밀번호로 사용하지 마세요.
• 서비스가 허용하는 길이와 문자를 확인하세요. Google 계정은 ASCII 문자를 사용하므로 한글 예시를 그대로 적용할 수 없습니다.

얼마나 길어야 하나. Google 계정 도움말은 "비밀번호가 길면 더 안전하며 최소 12자 이상으로 만드는 것이 좋습니다"라고 안내합니다. 미국 NIST의 디지털 신원 지침(SP 800-63B 3.1.1.2)은 서비스가 요구해야 할 최소 길이를 단독 인증 수단이면 15자, 다른 인증과 함께 쓰이면 8자로 정하고, 64자 이상까지 허용하도록 권합니다.

한글을 영문 자판으로 치는 방식은 이제 안전하지 않다

dkssudgktpdy(안녕하세요)처럼 한글을 영문 자판으로 치는 방식은 국내에서 오래 쓰였습니다. 그만큼 공격자 사전에도 이미 들어 있습니다.

진행 전 확인과 막힐 때의 대안

계정 분류는 교체 순서입니다. 모든 계정에 각각 다른 비밀번호를 쓰세요. 새 비밀번호로 로그인이 되는지 확인한 뒤 관리자의 저장값을 갱신하고, 유출 경고가 남으면 다른 계정의 재사용도 확인하세요.

설정 방법

1단계 — 계정을 세 등급으로 나눈다

전부 다르게 만들려고 하면 지쳐서 포기합니다. 중요도로 나누세요.

1. 1

   1등급 — 반드시 유일하게

   이메일, 은행·증권, 휴대폰 통신사, 정부24. 특히 이메일이 최우선입니다. 다른 모든 계정의 비밀번호를 되돌릴 수 있는 열쇠이기 때문입니다.

2. 2

   2등급 — 다음으로 교체

   포털, 메신저, 쇼핑몰, 결제 정보를 저장해 둔 서비스.

3. 3

   3등급 — 나머지도 각각 다르게

   한 번 쓰는 서비스도 별도의 비밀번호를 만드세요. 분류는 교체 순서이며, 재사용을 허용하는 등급이 아닙니다.

2단계 — 외워야 할 한두 개는 '문장'으로 만든다

이메일이나 비밀번호 관리자처럼 직접 외워야 하는 것만 이렇게 만듭니다.

관계없는 낱말 네 개를 이어 붙입니다. 예를 들어 우산-고등어-3층-보라색 같은 식입니다. 공개된 이 예시는 사용하지 마세요. 단어의 선택 방식과 서비스의 지원 문자에 따라 안전성이 달라집니다.

3단계 — 나머지는 만들어서 저장한다

외우지 않을 비밀번호는 길고 복잡할수록 좋습니다. 비밀번호 생성기에서 만든 뒤 기기의 관리 기능에 저장하세요. 아이폰은 암호 앱, 안드로이드·크롬은 Google 비밀번호 관리자입니다. 새로 설치할 것은 없습니다.

기기별 설정 순서와 자동 완성 켜는 법은 비밀번호 관리자에 화면 순서대로 정리해 두었습니다.

4단계 — 중요한 계정부터 바꿔 나간다

한 번에 다 바꾸려 하지 마세요. 순서는 이렇습니다.

1. 이메일
2. 은행·증권·간편결제
3. 포털·메신저
4. 결제 정보가 저장된 쇼핑몰

제대로 됐는지 확인하는 법

유출된 비밀번호가 있는지 확인한다

내가 쓰는 비밀번호가 이미 유출 목록에 올라 있는지는 기기에 들어 있는 점검 기능으로 확인할 수 있습니다. 아이폰과 안드로이드 모두 제공하며 무료입니다.

경고가 여러 개 떠도 놀라지 마세요. 전부 한 번에 바꾸려 하지 말고 1등급 계정에 해당하는 것부터 처리하면 됩니다. 실행 경로는 비밀번호 관리자에 있습니다.

확인해야 할 것

• 이메일 비밀번호가 다른 어떤 곳과도 겹치지 않는가
• 유출 목록에 뜬 1등급 계정이 남아 있지 않은가
• 비밀번호 관리자 계정에 2단계 인증이 켜져 있는가
• 계정 복구용 연락처(전화·예비 메일)가 지금 쓰는 것으로 되어 있는가

마지막 항목이 자주 빠집니다. 예전 전화번호가 등록되어 있으면 정작 계정을 잃었을 때 되찾지 못합니다.

강도만 보고 안심하지 않기

비밀번호 강도 검사로 형태를 점검할 수 있지만, 이 검사는 그 비밀번호를 다른 데서도 쓰는지는 알 수 없습니다. 단순 패턴이 발견되지 않아도 돌려쓰거나 이미 유출됐다면 안전하지 않습니다.

주의할 점

규칙적으로 바꾸면 오히려 예측된다

회사 정책 때문에 3개월마다 바꾸면서 회사이름2025! → 회사이름2026!처럼 끝만 고치는 경우가 많습니다. 한 번 유출되면 다음 비밀번호가 그대로 추측됩니다. 주기적 변경보다 겹치지 않게, 규칙적이지 않게가 먼저입니다.

비밀번호를 메신저로 보내지 않는다

카카오톡이나 문자로 보낸 비밀번호는 대화 내용에 계속 남습니다. 상대의 기기가 뚫리면 함께 넘어갑니다.

로그인 알림 메일을 무시하지 않는다

"새로운 기기에서 로그인되었습니다" 메일이 내가 한 일이 아니라면 그 즉시 비밀번호를 바꿔야 합니다. 이 메일은 대부분 중요한 조기 경보입니다.

공용 PC에서는 저장하지 않는다

PC방, 도서관, 회사 공용 컴퓨터에서는 브라우저에 저장하지 말고, 로그아웃까지 확실히 하세요.

유출이 의심될 때는 순서가 중요하다

1. 1

   이메일 비밀번호부터 바꾼다

   이메일이 열려 있으면 다른 계정을 아무리 바꿔도 다시 재설정당합니다.

2. 2

   이메일의 자동 전달·필터 설정을 확인한다

   공격자는 흔히 '모든 메일을 자기 주소로 전달'하는 규칙을 몰래 넣어 둡니다. 전달 설정과 필터 목록을 반드시 확인하세요.

3. 3

   로그인된 기기 목록에서 모르는 기기를 끊는다

   구글·네이버·카카오 모두 '로그인 기록'과 '연결된 기기' 화면이 있습니다.

4. 4

   금융 계정을 바꾸고 거래 내역을 확인한다

   소액 결제가 시험 삼아 이뤄졌는지 봅니다.

5. 5

   같은 비밀번호를 쓰던 다른 사이트를 정리한다

   이 단계를 건너뛰면 몇 달 뒤 같은 일이 다시 일어납니다.

금전 피해나 명의 도용이 확인되면 경찰(112)에 신고하고, 개인정보가 유출된 정황이 있다면 개인정보침해 신고센터(118)에 신고할 수 있습니다.

신고 기관

아래 기관은 무료입니다. 피해가 진행 중이라면 순서대로 연락하세요.

• 개인정보침해 신고센터 (118)

  📞 118

  이용 목적 개인정보가 유출되었거나 동의 없이 수집·이용된 정황이 있을 때.

  준비할 정보

  • 어떤 정보가 어디로 넘어갔는지
  • 관련 화면이나 안내 문자
  • 해당 사업자에 먼저 문의한 내용이 있다면 그 기록

  공식 누리집 열기 ↗

  확인일 없음
  최신 정보는 공식 사이트에서 확인하세요.

• 경찰청 (112)

  📞 112

  이용 목적 사기 피해가 실제로 발생했을 때 가장 먼저. 긴급 상황은 112, 보이스피싱 등 전기통신금융사기의 피해 신고·상담은 경찰청 전기통신금융사기 통합대응단 1394. 온라인은 경찰청 ECRM(사이버범죄 신고시스템).

  준비할 정보

  • 이체·결제 내역과 금액, 시각
  • 상대 계좌번호 또는 전화번호
  • 주고받은 문자·메신저 대화 화면
  • 신분증

  공식 누리집 열기 ↗

  2026-09-10 확인 · ECRM 의 접수 안내와 준비 서류, 1394 대표번호와 접수 범위를 공식 페이지에서 확인했습니다.
  제도와 연락처는 바뀔 수 있으니 최신 정보는 공식 사이트에서 확인하세요.

다른 신고·상담 창구도 보기 →

자주 묻는 질문

Q.비밀번호를 주기적으로 바꿔야 하나요?▾

이유 없이 3개월마다 바꾸는 방식은 권장되지 않습니다. NIST SP 800-63B는 서비스가 이용자에게 비밀번호를 주기적으로 변경하도록 요구해서는 안 된다(SHALL NOT)고 정하면서, 다만 인증 수단이 침해된 정황이 있으면 변경을 강제해야 한다(SHALL)고 함께 정합니다. 자주 바꾸라고 하면 password1, password2처럼 규칙적으로 바꾸게 되기 때문입니다. 이 문장은 서비스를 만드는 쪽에 대한 요구사항이지만, 이용자 입장에서도 같은 방향입니다. 긴 비밀번호를 쓰고 유출 정황이 있을 때 즉시 바꾸세요. 다니는 회사나 쓰는 서비스가 주기적 변경을 요구하면 그 규칙은 따라야 합니다.

Q.브라우저에 비밀번호를 저장해도 되나요?▾

됩니다. 같은 비밀번호를 여러 곳에 돌려쓰는 것보다 훨씬 안전합니다. 다만 그 브라우저 계정(구글·애플 등)에 반드시 2단계 인증을 켜고, 다른 사람과 함께 쓰는 PC에서는 저장하지 마세요.

Q.비밀번호에 특수문자를 꼭 넣어야 하나요?▾

길이가 먼저입니다. NIST SP 800-63B는 서비스가 문자 종류를 섞도록 요구하는 구성 규칙을 두어서는 안 된다(SHALL NOT)고 정합니다. 다만 이것도 서비스를 만드는 쪽에 대한 요구사항이라, 가입하려는 사이트가 특수문자를 요구하면 넣는 수밖에 없습니다. 사이트가 요구하지 않는다면 기호를 억지로 끼워 넣기보다 길이를 늘리세요.

Q.길게만 만들면 되나요?▾

아닙니다. 같은 글자를 반복하거나 널리 알려진 문장을 늘리는 것은 길이만큼의 효과가 없습니다. NIST SP 800-63B도 서비스가 새 비밀번호를 받을 때 흔히 쓰이거나 이미 유출된 비밀번호 목록과 대조하도록 정합니다. 길게, 그러면서 남들이 쓰지 않는 조합이어야 합니다.

Q.내 비밀번호가 유출됐는지 어떻게 아나요?▾

크롬·엣지·사파리 같은 브라우저와 아이폰·안드로이드의 비밀번호 관리 기능에 유출 여부를 알려주는 기능이 들어 있습니다. 아이폰은 설정의 암호 앱, 안드로이드·크롬은 Google 비밀번호 관리자의 비밀번호 확인 기능에서 확인할 수 있습니다.

Q.종이에 적어두면 안 되나요?▾

인터넷을 통해 훔쳐갈 수 없기 때문에 생각보다 나쁘지 않은 방법입니다. 다만 지갑이나 모니터에 붙이지 말고, 집 안의 정해진 서랍처럼 남이 볼 수 없는 곳에 두세요. 항목이 늘어나면 관리가 어려워진다는 점은 감안해야 합니다.

Q.가족과 계정을 함께 쓰는데 어떻게 하나요?▾

비밀번호를 문자나 메신저로 주고받지 마세요. 비밀번호 관리자에는 특정 항목만 가족과 공유하는 기능이 있습니다. 그마저 어렵다면 최소한 그 계정만은 다른 계정과 겹치지 않는 비밀번호로 두세요.