- 주기적인 비밀번호 변경을 강제하면 취약한 키와 예측 가능한 패턴이 사용되어 실제 보안이 저하됩니다.
- 비밀번호는 길고, 고유하며, 강력해야 하며, 정보 유출 의심이나 증거가 있을 때만 변경해야 합니다.
- 다중 요소 인증과 비밀번호 관리자는 이제 계정 유출 및 공격으로부터 계정을 보호하는 핵심 도구입니다.
- 미래는 기존 비밀번호에 대한 의존도를 줄이고 도난 및 재사용 문제를 완화하는 패스키와 같은 시스템에 달려 있습니다.
수년 동안 우리는 마치 세금 신고처럼 비밀번호를 자주 변경하는 것이 책임감 있는 행동이며 의무 사항이라는 말을 들어왔습니다 . 그러나 최근 미국 국립표준기술연구소(NIST) 와 같은 주요 사이버 보안 기관들은 이러한 권고 사항을 완전히 재검토하고 놀라운 결론에 도달했습니다. 바로 잦은 비밀번호 변경을 강제하는 것이 보안을 개선하기보다는 오히려 악화시키는 경우가 많다는 것입니다.
이러한 접근 방식의 변화는 대규모 계정 정보 유출 사고 데이터, 사용자 행동 연구, 그리고 기업과 대학의 실제 경험을 통해 뒷받침됩니다. 오늘날 일반적인 권장 사항은 강력하고 길며 고유한 비밀번호를 사용하고 , 정보 유출 의심이나 증거가 있을 때만 비밀번호를 변경하며, 다중 인증(MFA) 및 비밀번호 관리자와 같은 도구를 활용하여 기억하기 어려운 비밀번호를 외워야 하는 번거로움을 피하는 것입니다.
미국 정부 기관의 기술 표준을 제정하고 전 세계 기업의 기준이 되는 NIST(미국 국립표준기술연구소)는 SP 800-63-4 지침에서 보안 침해 증거가 없는 경우 사용자가 주기적으로 비밀번호를 갱신할 필요가 없다고 명확히 밝혔습니다 . 이는 기존의 "30일/60일/90일마다 변경" 정책에서 크게 벗어난 변화입니다.
이 지침의 공개 초안에서는 비밀번호를 올바르게 선택했을 경우(길고, 무작위적이며, 고유한 경우) 3개월마다 비밀번호를 변경하도록 강제하는 것은 보안을 약화시킨다고 설명합니다 . 새로운 비밀번호를 기억해야 하는 부담 때문에 사람들은 비밀번호를 단순화하거나, 재사용하거나, 예측 가능한 패턴을 적용하게 되는데, 공격자들은 바로 이러한 점을 악용한다는 것입니다.
현재 권장 사항에 따르면 서비스 제공업체와 신원 확인 기관은 주기적인 비밀번호 만료를 부과해서는 안 됩니다 . 대신, 데이터 유출, 의심스러운 접근 또는 유출된 데이터베이스에 비밀번호가 포함된 경우와 같이 인증 시스템이 손상되었다는 징후가 나타나면 즉시 비밀번호를 변경해야 할 의무가 있습니다.
또한 NIST는 엄격한 비밀번호 구성 규칙 (대문자, 숫자, 기호의 혼합 필수)이나 "첫 번째 반려동물 이름"과 같은 악명 높은 보안 질문과 같은 기존의 요구 사항에 대해서도 의문을 제기합니다. 이러한 규칙으로 인해 사용자들이 매우 예측 가능한 방식으로 비밀번호를 생성하게 되고, 그 결과 Password2023, Password2024, Password1! 과 같은 공격자에게 유리한 비밀번호를 만들게 된다는 증거가 있습니다.
도난당한 비밀번호의 대규모 데이터베이스를 분석한 결과, 이러한 고전적인 비밀번호 규칙의 실제 이점은 이전에 생각했던 것보다 훨씬 적은 반면, 사용성과 기억 용이성에 미치는 부정적인 영향은 막대한 것으로 나타났습니다. 간단히 말해, 사람들은 결국 쉬운 지름길을 찾게 되고, 그러한 지름길은 거의 항상 올바른 것으로 판명됩니다.
오늘날 비밀번호가 실제로 어떻게 유출되고 있을까요?
3개월마다 비밀번호를 변경하든 안 하든, 사이버 범죄자들이 비밀번호를 탈취하는 방식 때문에 계정은 항상 위험에 노출되어 있습니다 . 계정 탈취는 보통 우연히 비밀번호를 알아내는 것이 아니라, 매우 구체적이고 잘 알려진 몇 가지 수법을 통해 발생합니다.
가장 흔한 방법 중 하나는 온라인 서비스에서 발생하는 대규모 데이터 유출 입니다 . 소셜 네트워크, 포럼, 게임 플랫폼, 전자상거래 사이트, 클라우드 서비스 제공업체 등이 보안 침해를 당해 수백만 개의 사용자 이름-비밀번호 조합이 노출되는데, 때로는 암호화되지 않았거나 취약한 알고리즘으로 암호화된 데이터까지 유출되기도 합니다. 이렇게 유출된 데이터베이스는 해킹 포럼이나 다크 웹에서 되팔리는 경우가 많습니다.
또 다른 흔한 이유는 비밀번호가 취약하거나 너무 흔한 경우 입니다 . 스페인과 같은 국가에서 가장 많이 사용되는 비밀번호 목록을 보면 "admin", "123456", "000000", "password"와 같이 형편없는 비밀번호나 "carl0s" 또는 "barcelona"처럼 뻔한 이름이나 도시 이름을 조합한 비밀번호가 많습니다. 이런 종류의 비밀번호는 자동화된 무차별 대입 공격 도구를 사용하면 1초도 안 걸려서 해킹될 수 있습니다.
피싱 및 소셜 엔지니어링 공격 도 있는데 , 공격자가 은행, 이메일 또는 소셜 미디어 사이트를 모방한 가짜 웹사이트에 비밀번호를 입력하도록 유도하는 방식입니다. 때로는 키로거 악성코드가 함께 사용되어 키 입력을 기록하고 사용자가 입력한 모든 자격 증명을 탈취하기도 합니다.
마지막으로 소프트웨어 및 하드웨어 취약점을 간과해서는 안 됩니다 . 구형 시스템, 오래된 펌웨어가 설치된 라우터, 보안 결함이 있는 애플리케이션 등은 모두 제3자가 저장된 비밀번호에 접근하거나 비밀번호를 변경하여 정상적인 접근을 차단할 수 있도록 허용할 수 있습니다. 따라서 전문가들은 시스템과 기기를 항상 최신 상태로 유지해야 한다고 강조하는 것입니다.
"혹시 모를 경우를 대비해서" 바꾸는 것이 좋지 않은 생각일 수 있는 이유
이러한 맥락에서 많은 사용자는 비밀번호를 자주 변경하는 것이 보편적인 보안 조치라고 생각합니다. 그러나 미국 국립표준기술연구소(NIST)와 카네기멜론 대학교 등의 연구 결과는 잦고 비합리적인 비밀번호 변경이 악의적인 활동의 위험을 증가시킨다는 데 동의합니다.
시스템에서 비밀번호를 지속적으로 변경하도록 강제하면 대부분의 사람들은 이에 대해 깊이 생각하지 않고 끝에 숫자를 추가하거나 늘리거나, 연도를 바꾸거나, 눈에 띄는 기호를 바꾸는 등 사소하고 간단한 변형을 적용합니다 . 이는 공격자들이 이미 확보해 둔 패턴과 정확히 일치합니다.
게다가 이러한 변경 사항의 불편함 때문에 사람들은 점점 더 짧고 간단한 비밀번호를 사용하거나 , 심지어 약간씩만 변형하여 여러 서비스에서 동일한 비밀번호를 재사용하는 경향이 있습니다. 공격자가 이러한 계정 중 하나를 해킹하면 다른 계정에 대한 명확한 단서를 얻게 되어 잠재적인 피해가 증폭될 수 있습니다.
많은 전문가들은 기업들이 분기별 비밀번호 변경을 강제하는 데 드는 시간과 비용을 강력하고 고유한 비밀번호를 만드는 방법을 사용자에게 교육하고 , 비밀번호 관리자를 도입하고, 2단계 인증을 사용하는 데 투자한다면 보안이 훨씬 더 크게 향상될 것이라고 지적합니다.
보안 회사들조차도 데이터 유출 증거가 없는 한 , 비밀번호를 정기적으로 변경하는 것이 보안을 강화하는 것은 아니라는 점을 인정합니다. 오히려 비밀번호를 자주 변경하면 잘못된 안심감을 줄 뿐 아니라, 여러 사이트에서 동일한 비밀번호를 재사용하거나 다단계 인증(MFA)을 활성화하지 않는 등 더 심각한 보안 취약점이 지속될 수 있습니다.
언제 주저 없이 비밀번호를 변경해야 할까요?
강제적인 비밀번호 변경은 더 이상 권장되는 방식이 아니지만, 그렇다고 해서 어떤 상황에서도 같은 비밀번호를 고수해야 한다는 의미는 아닙니다. 위험을 줄이기 위해 비밀번호를 즉시 변경하는 것이 필수적인 경우가 있습니다.
계정을 사용하는 회사에서 데이터 유출을 발표하면 , 해당 서비스의 비밀번호를 가능한 한 빨리 변경하는 것이 현명합니다. 또한, 동일한 비밀번호를 재사용하는 다른 계정이 있다면 (그렇다면) 모두 비밀번호를 변경해야 합니다. 데이터 유출 사실이 보고되기까지 몇 주가 걸리는 경우도 있으므로, 다크 웹 모니터링 도구 나 "Have I Been Pwned"와 같은 서비스를 이용하면 이메일 주소가 유출된 목록에 있는지 더 빨리 확인할 수 있습니다.
또 다른 명확한 경고 신호는 원치 않는 로그인 또는 비밀번호 변경 시도 입니다 . "비밀번호 재설정을 요청하셨습니까?"라는 내용의 정상적인 이메일을 받거나, 익숙하지 않은 위치 또는 기기에서 로그인 알림을 받는 경우, 의심스러운 링크를 클릭하지 않고 서비스에 직접 로그인하여 즉시 비밀번호를 변경하고, 아직 다단계 인증(MFA)을 활성화하지 않았다면 활성화해야 합니다.
기기가 악성코드에 감염된 것으로 의심된다면 , 기기를 완전히 치료한 후에 비밀번호를 변경해야 합니다. 공격자가 여전히 사용자의 모든 입력 내용을 볼 수 있다면 비밀번호를 변경하는 것은 무의미합니다. 시스템이 완전히 치료되면 이메일, 은행 업무, 소셜 미디어, 클라우드 저장소 등 중요한 서비스의 계정 정보를 업데이트해야 합니다.
계정 중 하나가 해킹 당한 것이 분명한 경우 (보내지 않은 메시지가 표시되거나, 구매 내역이 있거나, 프로필이 이상하게 변경되는 경우), 동일한 비밀번호 또는 유사한 비밀번호를 사용하는 모든 계정이 해킹당했을 가능성이 있으므로 즉시 비밀번호를 변경해야 합니다.
기업 환경에서 관리자 계정이나 특히 민감한 시스템의 경우, 많은 조직에서는 여전히 권한 있는 자격 증명을 일정 빈도로 변경하지만, 수동 변경과 관련된 인적 오류를 방지하기 위해 자동화된 방식으로 강력한 무작위 암호를 생성하여 변경합니다.
오늘날 안전한 비밀번호란 무엇이며, 안전하지 않은 비밀번호는 무엇일까요?
비밀번호는 간단히 말해 이메일, 소셜 미디어, 온라인 뱅킹, 웹사이트 제어판, 회사 VPN, 모바일 기기 등과 같은 개인 정보 나 중요한 리소스에 접근할 수 있도록 해주는 문자열입니다. 비밀번호가 여러분의 디지털 생활과 공격자 사이를 가로막는 유일한 장벽이라는 사실만으로도 비밀번호를 진지하게 받아들여야 할 충분한 이유가 됩니다.
전문가들은 오랫동안 좋은 비밀번호는 길고 복잡하며 고유 해야 한다고 주장해 왔습니다 . 전통적으로 이는 최소 8자 이상이어야 하고, 대문자와 소문자, 숫자, 기호를 조합해야 하며, 사전 단어나 개인 정보(날짜, 이름, 차량 번호판 등)를 사용하지 않아야 한다는 것을 의미했습니다.
최신 NIST 가이드라인은 길이에 더욱 중점을 두고 있습니다. 최소 8자를 권장하지만, 15자 이상 으로 늘리는 것이 바람직하다고 보고 있으며 , 최대 64자까지 허용합니다. 구문이 길수록 예측 가능한 구문이 아니라는 전제 하에 자동화된 공격으로 해독하기가 더 어려워집니다.
인간이 사용할 수 있는 좋은 전략은 암호를 사용하는 것입니다 . 암호는 기호와 대문자가 섞인 무작위 단어들의 조합으로, 기억하기는 쉽지만 컴퓨터가 해독하기는 매우 어렵습니다. 예를 들어 "Mars-Whale-Near4-Melted"나 "Minute.Truck.Where2.Attempt"와 같은 암호는 전형적인 패턴에 의존하지 않고도 매우 높은 엔트로피를 제공합니다.
매년 가장 많이 사용되는 비밀번호 목록에 반복적으로 등장하는 "123456", "password", "qwerty", "111111", "admin"과 같은 비밀번호는 피해야 합니다 . 또한 누구나 쉽게 알아챌 수 있는 키보드 조합, 단어, 숫자 또는 키 조합, 그리고 소셜 네트워크에서 누구나 추출할 수 있는 정보(파트너 이름, 축구팀, 생년월일 등)를 기반으로 한 비밀번호도 피해야 합니다.
마찬가지로 중요한 것은 각 서비스마다 다른 비밀번호를 사용해야 한다는 점입니다 . 이메일, 소셜 미디어, 은행 업무, 쇼핑에 같은 비밀번호를 재사용하는 것은 집, 차, 금고에 같은 열쇠를 사용하고 그 복사본을 현관 매트에 놓아두는 것과 같습니다. 만약 이러한 웹사이트 중 하나가 해킹당하면, 공격자는 다른 모든 인기 서비스에도 동일한 비밀번호 조합을 시도해 볼 수 있습니다.
다중 요소 인증, 비밀번호 관리자 및 패스키
이러한 패러다임 전환의 또 다른 중요한 측면은 아무리 강력하더라도 단 하나의 비밀번호에만 의존하는 방식에서 벗어나는 것입니다. 오늘날에는 서비스에서 허용하는 경우 다단계 인증(MFA)을 비밀번호와 함께 사용하는 것이 필수적인 것으로 여겨집니다.
MFA(다단계 인증)는 두 번째 신원 확인 절차를 추가합니다. 이 절차에는 사용자가 알고 있는 것 (비밀번호), 소유하고 있는 것 (휴대폰, 실물 토큰, 인증 앱), 또는 사용자의 신체적 특징 (지문, 얼굴, 홍채)이 포함될 수 있습니다. 따라서 누군가 비밀번호를 도용하더라도 두 번째 인증 요소 없이는 접근하기가 훨씬 어려워집니다.
이메일, 소셜 미디어, 온라인 뱅킹, 클라우드 서비스 또는 원격 근무 접속에 다단계 인증(MFA)을 활성화하면 도난당했거나 취약한 비밀번호를 이용하는 많은 자동화 공격을 차단할 수 있습니다 . 비밀번호가 데이터 유출에 노출되더라도 공격자는 극복하기 어려운 추가적인 장벽에 직면하게 됩니다.
수십 개의 길고 고유한 비밀번호를 기억해야 하는 문제를 해결하기 위해 전문가들은 비밀번호 관리자 사용을 권장합니다 . 이러한 도구는 매우 복잡하고 무작위적인 비밀번호를 생성하여 암호화된 상태로 안전한 저장소에 저장하고, 로그인 시 자동으로 입력해 줍니다. 사용자는 강력한 마스터 비밀번호 하나만 잘 관리하고, 가능하다면 다단계 인증(MFA)을 활성화하기만 하면 됩니다.
좋은 비밀번호 관리자는 비밀번호를 종이에 적거나, 암호화되지 않은 스프레드시트에 저장하거나, 휴대폰 메모장에 적어두거나, 단순히 브라우저에 저장하는 것과 같은 위험한 습관을 방지합니다. 또한 사용자 가 스스로 기억하기 어려울 정도로 긴 비밀번호를 사용하도록 유도하여 공격에 대한 저항력을 높여줍니다.
한편, 패스키(접근 키)가 점점 더 인기를 얻고 있습니다. 기존 비밀번호를 대체하는 이러한 현대적인 방식은 공개 키 암호화를 기반으로 합니다. 패스키는 기기 또는 호환되는 관리자에 저장되며, 사용자는 서버에 재사용 가능한 비밀번호를 전송하지 않고 지문, 얼굴 인식 또는 로컬 PIN을 사용하여 로그인할 수 있습니다.
구글, 애플, 마이크로소프트, 아마존, 페이팔, 깃허브와 같은 거대 기업들은 이미 패스키를 지원하고 있으며, 100개가 넘는 웹사이트와 앱들이 이를 도입하고 있습니다. 비밀번호가 하루아침에 사라지지는 않겠지만, 미래에는 비밀번호 없는 시스템이 대세가 될 것이며 , 이는 현재 비밀번호 도용 및 재사용 문제를 상당 부분 완화할 것입니다.
일상생활에서 실천할 수 있는 좋은 비밀번호 보안 방법
비밀번호 만료 여부에 대한 논쟁을 넘어, 여러분의 목표는 비밀번호가 노출될 수 있는 공격 표면을 최소화하는 것입니다 . 이를 위해서는 몇 가지 간단한 모범 사례를 신중하게 적용하면 쉽게 실행할 수 있습니다.
첫째, 여러 계정에 동일한 비밀번호를 재사용하지 않도록 하세요 . 특히 이메일, 은행 계좌, 신용카드 정보가 저장된 온라인 쇼핑몰, 업무용 계정 등 중요한 서비스에는 더욱 주의해야 합니다. 이미 동일한 비밀번호를 재사용하고 있다면, 비밀번호 관리자를 사용하여 비밀번호를 변경하고 각각 따로 관리하는 것을 최우선 과제로 삼으세요.
비밀번호를 변경할 때는 한 글자만 바꾸는 "꼼수"를 쓰지 마세요 (숫자를 끝에 추가하거나, 문자를 비슷한 기호로 바꾸는 등). 사이버 범죄자들은 이러한 패턴을 잘 알고 있으며, 공격 도구는 기본적으로 이러한 패턴을 이용합니다.
기억하고 싶은 계정(예: 계정 관리자의 마스터 비밀번호)에는 긴 암호를 사용하는 것을 고려해 보세요 . 서로 관련 없어 보이는 여러 단어를 조합하고, 눈에 잘 띄지 않는 곳에 대문자를 삽입하고, 숫자나 기호를 사이에 추가하여 암호의 복잡성을 높일 수 있습니다.
비밀번호 관리자를 사용해서 비밀번호를 외울 필요가 없다면, 비밀번호 관리자의 비밀번호 및 암호 생성기를 활용해 보세요 . 이 생성기는 "3>ZfrT61(9#X;?Kdk4FQ"와 같은 무작위 문자열이나 복잡한 암호를 자동으로 생성하여 저장소에 저장합니다. 여기서 중요한 것은 암호를 암기하는 것보다 다른 사람이 추측할 수 없도록 하는 것입니다.
실질적인 측면에서, 컴퓨터나 모바일 기기에 비밀번호를 평문으로 저장하는 것은 어떤 경우에도 피해야 합니다 . 메모, 낱장 문서, 포스트잇 사진, 또는 자신에게 보낸 이메일 등 어떤 형태든 마찬가지입니다. 악성코드 감염, 기기 도난, 또는 무단 접근이 발생할 경우, 이러한 모든 정보는 공격자에게 보물지도와 같은 역할을 하게 됩니다.
마지막으로, 계정이 알려진 데이터 유출 사고에 연루되었는지 정기적으로 확인하는 습관을 들이세요. 데이터 유출 탐지 서비스를 이용하거나 비밀번호 관리자 또는 브라우저의 보안 기능을 활용하면 됩니다. 비밀번호가 노출된 것을 발견했다면 주저 없이 비밀번호를 변경해야 합니다.
데이터 유출 사고가 수십억 건에 달하고 다단계 인증(MFA)이나 패스키 같은 대안이 등장하는 세상에서, 성공적인 전략은 더 이상 비밀번호를 끊임없이 바꾸는 것이 아니라, 강력하고 관리하기 쉬운 접근 환경을 구축하는 것 입니다. 즉, 길고 고유한 비밀번호, 다단계 인증, 관리를 간소화하는 도구, 그리고 실제 침해 징후에 대한 주의 깊은 관찰이 필요합니다. 이러한 방향으로 습관을 바꾸면, 설령 "달력에 따라" 비밀번호를 마지막으로 변경한 시기를 기억하지 못하더라도 계정은 훨씬 더 안전하게 보호될 것입니다.
