계정은 왜 털리는가: 비밀번호와 2단계 인증의 구조

털리는 것은 비밀번호가 아니라 '조합'이다

계정 도용 소식을 들으면 흔히 '내 비밀번호가 약해서'라고 생각합니다. 그러나 개인 이용자에게 실제로 벌어지는 일의 구조는 조금 다릅니다. 어느 한 서비스에서 이용자 정보가 유출되면, 그 안에는 아이디로 쓰인 이메일 주소와 비밀번호의 흔적이 함께 들어 있습니다. 문제는 많은 사람이 그 이메일과 비밀번호를 다른 서비스에서도 그대로 쓰고 있다는 점입니다.

그래서 공격자가 노리는 것은 개별 비밀번호를 하나하나 알아맞히는 힘든 작업이 아니라, 이미 어딘가에서 새어 나온 '이메일 + 비밀번호' 조합을 다른 서비스에 그대로 시도해 보는 일입니다. 한 사람의 계정 열 개 중 하나만 맞아도 성공이고, 그 하나가 메일 계정이면 나머지 아홉 개의 비밀번호 재설정 권한까지 따라옵니다. 본인은 아무 잘못을 하지 않았는데도 어느 날 갑자기 여러 서비스가 함께 뚫리는 이유가 여기에 있습니다.

이 구조가 알려주는 결론은 명확합니다. 비밀번호를 얼마나 복잡하게 만드는가보다, 같은 비밀번호를 몇 군데에서 쓰고 있는가가 훨씬 위험한 변수입니다. 특히 이메일 계정은 다른 모든 계정의 '마스터 키' 역할을 하기 때문에, 최소한 이메일만큼은 다른 어디에서도 쓰지 않는 비밀번호를 써야 합니다.

길이가 복잡성을 이긴다

오랫동안 비밀번호 규칙은 '대문자·소문자·숫자·특수문자를 섞을 것'을 요구해 왔습니다. 의도는 좋았지만 결과는 기대와 달랐습니다. 사람들은 규칙을 만족시키는 최소한의 변형을 택했고, 이름 뒤에 숫자를 붙이고 마지막에 느낌표를 넣는 식의 뻔한 패턴이 대량으로 생겼습니다. 사람이 만드는 '복잡함'은 생각보다 예측 가능한 형태를 띱니다.

그래서 최근의 권고는 방향이 바뀌었습니다. 짧고 비틀린 문자열보다 충분히 긴 문자열이 낫다는 것입니다. 기계가 후보를 시도하는 관점에서 보면, 문자 하나가 늘어날 때 경우의 수는 곱셈으로 늘어납니다. 특수문자 한 개를 더 넣는 것보다 단어 하나를 더 붙이는 편이 훨씬 큰 차이를 만듭니다.

다만 길이만으로는 부족한 경우가 있습니다. 널리 알려진 문장이나 유명한 가사, 흔한 관용구를 그대로 쓰면 길어도 예측 가능한 후보군에 들어갑니다. 서로 관련 없는 단어 몇 개를 자기만의 방식으로 이어 붙이는 방식이 실용적인 절충안으로 자주 권해집니다. 그리고 주기적으로 비밀번호를 강제 변경하는 관행 역시 최근에는 권장되지 않는 쪽으로 정리되고 있습니다. 자주 바꾸게 하면 사람들은 결국 뒤의 숫자만 하나씩 올리기 때문입니다. 바꾸는 시점은 정해진 주기가 아니라 유출 정황이 확인됐을 때여야 합니다.

관리 도구는 기억의 한계를 옮겨 놓는 장치

서비스마다 다른 긴 비밀번호를 쓰라는 조언은 옳지만, 사람의 기억력으로는 실행이 불가능합니다. 여기서 등장하는 것이 비밀번호 관리 도구입니다. 역할은 단순합니다. 각 서비스의 비밀번호를 암호화해 보관하고, 하나의 마스터 비밀번호로 그 금고를 열어 필요할 때 자동으로 채워 주는 것입니다. 사람이 외워야 할 것을 여러 개에서 하나로 줄여 주는 장치라고 이해하면 정확합니다.

이 사이트는 특정 제품을 비교하거나 추천하지 않습니다. 대신 어떤 도구를 고르든 공통으로 확인해야 할 성격은 짚어 둘 만합니다. 저장된 데이터가 기기에서 암호화된 뒤 보관되는지, 마스터 비밀번호를 잊었을 때 어떤 일이 벌어지는지, 그리고 그 마스터 비밀번호 자체를 다른 곳에서 재사용하고 있지 않은지가 핵심입니다. 금고를 하나로 모았다는 것은 그 금고 열쇠의 가치가 그만큼 커졌다는 뜻이기도 합니다.

브라우저에 내장된 저장 기능도 같은 계열의 도구입니다. 아무것도 쓰지 않고 모든 계정에 같은 비밀번호를 쓰는 것보다는 훨씬 낫습니다. 다만 그 브라우저 계정 자체가 잠기지 않은 채 공용 PC에 로그인되어 있다면 보호의 의미가 사라진다는 점은 함께 기억해야 합니다.

2단계 인증: 한 겹을 더 두는 일

2단계 인증(또는 다중 인증)은 비밀번호가 새어 나가도 계정이 바로 열리지 않게 하는 장치입니다. '아는 것(비밀번호)'에 더해 '가진 것(휴대전화·보안 키)'이나 '자신인 것(생체)'을 하나 더 요구하는 방식입니다. 앞에서 본 재사용 유출 구조에 가장 직접적으로 대응하는 수단이기도 합니다. 비밀번호 조합이 맞아도 두 번째 관문에서 멈추기 때문입니다.

방식에 따라 강도는 다릅니다. 문자메시지로 받는 인증번호는 설정이 쉽고 널리 쓰이지만, 번호 자체를 가로채거나 통신사 명의를 옮겨 가는 방식의 위험이 알려져 있어 가장 약한 축으로 분류됩니다. 인증 앱이 6자리 코드를 스스로 만들어 내는 방식은 통신망을 거치지 않아 한 단계 낫습니다. 물리 보안 키를 꽂거나 접촉하는 방식은 접속하려는 사이트의 주소까지 함께 확인하기 때문에, 가짜 사이트에 코드를 그대로 입력해 버리는 상황에도 견딥니다.

2단계 인증에도 빈틈은 있습니다. 이용자가 이미 가짜 화면에 속아 코드까지 그대로 넘겨주는 경우, 그리고 반복되는 승인 요청에 지쳐 무심코 '승인'을 누르는 경우입니다. 그래서 요청하지 않은 인증 알림이 왔다면 그것은 누군가 내 비밀번호를 이미 알고 있다는 신호로 읽어야 합니다. 승인하지 않는 것으로 끝낼 일이 아니라, 해당 계정의 비밀번호를 즉시 바꿔야 하는 상황입니다.

실제로 손댈 만한 순서

모든 계정을 한 번에 정리하려 하면 대개 중간에 멈춥니다. 현실적인 접근은 중요도 순서를 정하는 것입니다. 가장 먼저 이메일 계정입니다. 다른 계정의 비밀번호 재설정 메일이 도착하는 곳이기 때문에, 여기가 뚫리면 나머지 대책은 의미가 옅어집니다. 그다음이 금융·결제 계정, 그리고 본인 확인 수단으로 자주 쓰이는 주요 플랫폼 계정 순입니다.

각 계정에서 할 일도 단순합니다. 다른 곳과 겹치지 않는 새 비밀번호를 만들고, 지원한다면 2단계 인증을 켜고, 로그인 기록이나 연결된 기기 목록을 한 번 훑어보는 것입니다. 오래전에 쓰고 잊은 기기가 여전히 로그인 상태로 남아 있는 경우가 생각보다 흔합니다. 여기까지가 사고를 막는 일이라면, 마지막 한 가지는 사고를 빨리 알아채는 일입니다. 로그인 알림을 켜 두면 남이 먼저 들어왔을 때 최소한 그 사실을 알 수 있습니다.