어느 날 아침에 구글에서 이메일이 한 통 왔다. “회원님의 계정이 새로운 기기에서 로그인되었습니다.” 내가 로그인한 게 아니었다. 순간 머릿속이 하얘졌다. 그때부터 내 계정 보안 관리법을 처음부터 다시 점검하기 시작했다.
결론부터 말하면, 내 비밀번호는 사실상 거의 다 같았다. 대문자 하나, 숫자 두 개, 특수문자 하나 붙인 그 패턴. 서비스마다 뒤에 숫자만 바꿔가며 쓰고 있었다. 이게 얼마나 위험한 건지 그때서야 실감했다.
왜 비밀번호 재사용이 위험한가
해커들이 쓰는 방법 중에 ‘크리덴셜 스터핑’이라는 게 있다. 어딘가에서 유출된 아이디·비밀번호 조합을 다른 사이트에 자동으로 대입해보는 방식이다. 내가 A 사이트에서 유출됐는데 B, C, D 사이트에서 같은 비밀번호를 쓰고 있으면 전부 뚫릴 수 있다.
내가 실제로 확인해봤더니, 예전에 가입했던 쇼핑몰 하나가 몇 년 전에 해킹 피해를 입었다는 기사가 있었다. 그 사이트에서 쓰던 비밀번호랑 내 구글 계정 비밀번호가 거의 같았다. 소름이 돋았다.
내가 실제로 진행한 순서
1단계 – 유출 여부 먼저 확인
haveibeenpwned.com이라는 사이트에 이메일 주소를 입력하면 해당 이메일이 알려진 유출 사고에 포함됐는지 확인할 수 있다. 내 이메일은 세 군데에서 유출된 이력이 있었다. 이걸 보고 나서야 진짜 긴장감이 생겼다.
2단계 – 중요한 계정부터 비밀번호 교체
전부 한꺼번에 바꾸려다가 지쳐서 포기한 경험이 있었다. 이번엔 순서를 정했다.
- 이메일 계정 (구글, 네이버 등) – 가장 먼저
- 금융 관련 앱 및 사이트
- SNS 계정
- 자주 쓰는 쇼핑몰
- 나머지 기타 서비스
이메일이 뚫리면 다른 모든 서비스의 비밀번호 재설정이 가능해지기 때문에 이메일 계정이 가장 중요하다. 이건 진짜다.
3단계 – 비밀번호 관리자 도입
솔직히 비밀번호 관리자를 쓰기 싫었다. 뭔가 한 곳에 다 몰아두는 게 더 위험한 거 아닌가 싶었다. 근데 생각해보면 지금처럼 머릿속에서 패턴으로 기억하는 게 훨씬 더 위험하다.
지금은 Bitwarden을 쓰고 있다. 무료 플랜으로도 충분하고, 오픈소스라서 코드가 공개되어 있다는 점이 마음에 들었다. 1Password나 Dashlane도 많이 쓰는데, 어떤 걸 선택하든 핵심은 마스터 비밀번호를 강하게 설정하고 절대 재사용하지 않는 것이다.
비밀번호 관리자를 쓰기 시작하면서 각 사이트마다 완전히 다른 무작위 비밀번호를 쓸 수 있게 됐다. 20자리 랜덤 문자열이라도 내가 기억할 필요가 없으니까 가능한 일이다.
2단계 인증, 귀찮아도 켜야 하는 이유
2단계 인증(2FA)은 비밀번호가 유출되더라도 추가 인증 수단이 없으면 로그인이 안 되게 막아주는 기능이다. 비밀번호만으로는 부족하다는 걸 이번에 제대로 느꼈다.
2단계 인증 방식에도 차이가 있다.
- SMS 인증 – 편하긴 한데 심스와핑 같은 공격에 취약하다는 단점이 있다. 없는 것보단 낫지만 완벽하진 않다.
- 인증 앱 (Google Authenticator, Authy 등) – SMS보다 훨씬 안전하다. 30초마다 바뀌는 코드를 앱에서 직접 생성하기 때문에 가로채기가 어렵다.
- 하드웨어 보안 키 – 가장 강력하지만 일반 사용자한테는 다소 번거롭다.
나는 주요 계정에는 인증 앱을 쓰고, 덜 중요한 곳은 SMS로 타협했다. 아무것도 안 하는 것보다는 훨씬 낫다. 참고로 집에서 NAS 같은 장비를 운영하고 있다면 계정만이 아니라 장비 쪽 2단계 인증도 같이 켜야 하는데, 그 설정은 시놀로지 기본 보안 설정에 정리해뒀다.
복구 이메일과 복구 전화번호 확인
이걸 놓치는 사람이 생각보다 많다. 비밀번호를 아무리 잘 바꿔도 복구 이메일이 예전에 쓰던 주소나 이미 접근이 안 되는 계정으로 설정되어 있으면 의미가 없다.
내 구글 계정 복구 이메일이 대학교 때 쓰던 학교 이메일로 되어 있었다. 졸업하고 나서 접근이 불가능해진 주소였다. 만약 계정이 잠겼다면 복구 자체가 안 됐을 상황이었다.
각 서비스의 보안 설정에 들어가서 아래 항목들을 꼭 확인해보자.
- 복구 이메일 주소가 현재 내가 접근 가능한 주소인지
- 복구 전화번호가 현재 내 번호인지
- 연결된 앱 목록에 모르는 앱이 없는지
- 최근 로그인 기록에 이상한 기기나 위치가 없는지
지금도 완벽하진 않지만
솔직히 아직 다 못 바꿨다. 오래된 서비스 중에 비밀번호 변경 화면이 이상하게 생겨서 결국 그냥 탈퇴해버린 곳도 있고, 너무 오래전에 가입해서 어떤 이메일로 만든 건지 모르는 계정도 있다.
완벽하게 하려다 보면 지쳐서 아무것도 못 하게 된다. 그냥 오늘 당장 가장 중요한 계정 하나, 이메일 계정의 비밀번호를 바꾸고 2단계 인증을 켜는 것부터 시작하면 된다. 거기서부터가 진짜 시작이다.
보안은 한 번에 완성되는 게 아니라 조금씩 쌓아가는 습관 같은 거라는 걸 이번에 느꼈다. 귀찮은 건 맞는데, 계정 하나 털리고 나서 수습하는 것보다는 훨씬 덜 귀찮다. 계정 정리를 하고 나니 그다음은 계정 안에 쌓인 파일이었는데, 그 이야기는 클라우드 저장공간을 정리하면서 느낀 백업 습관의 중요성으로 이어진다.