- 개인 정보나 사전 단어를 포함하지 않고 길고, 고유하며, 복잡한 비밀번호를 사용하십시오.
- 보안을 해치지 않으면서 기억하기 쉬운 방법(구절, 패턴, 담당자)을 적용하세요.
- 비밀번호 관리 습관을 잘 유지하세요. 비밀번호를 재사용하지 말고, 조금이라도 의심스러운 점이 있으면 변경하고, 절대 공유하지 마세요.
- 다중 인증으로 보안을 강화하고 피싱 및 소셜 엔지니어링 공격에 주의하세요.
오늘날 디지털 세상에서 우리가 만드는 모든 온라인 계정 에는 개인 정보, 대화 내용, 사진, 동영상, 은행 정보, 업무 문서 등 매우 민감한 정보가 저장되어 있습니다. 이러한 정보를 보호하는 데 있어 가장 중요한 것은 바로 비밀번호입니다. 강력한 비밀번호를 만드는 방법을 배우는 것은 필수적이지만, 취약한 비밀번호를 사용하면 사기, 신분 도용은 물론, 누군가 우리 계정을 사칭하여 우리를 대신해 계정을 사용하는 경우 명예까지 손상될 수 있습니다.
게다가 우리는 여러 계정을 서로 연결해서 사용합니다 . 소셜 미디어, 온라인 쇼핑몰, 은행, 클라우드 서비스 등 다양한 곳에 같은 이메일 주소를 사용하죠. 만약 공격자가 단 하나의 계정에 접근하는 데 성공하고, 다른 곳에서도 같은 비밀번호를 사용한다면 피해는 훨씬 더 커질 수 있습니다. 그렇기 때문에 때로는 조금 불편하더라도 강력한 비밀번호를 만들고 사용하는 것을 진지하게 생각해야 합니다.
비밀번호가 첫 번째 방어선인 이유
강력한 비밀번호는 개인 정보와 계정 무단 접근 시도를 막는 첫 번째 방어선 입니다 . 청구서가 첨부된 이메일, 기밀 문서, 개인 사진, 고객 또는 회사 데이터 등 저장하는 모든 정보를 생각해 보세요. 누군가 무단으로 접근 권한을 얻으면 사기, 협박 또는 신분 도용과 같은 범죄를 저지를 수 있습니다.
계정이 도용당했을 때 피해가 금전적인 측면에만 국한되지 않는다는 점도 명심해야 합니다 . 침입자는 당신의 이름으로 메시지를 보내거나, 당신의 소셜 미디어에 불쾌한 콘텐츠를 게시하거나, 당신을 사칭하여 당신의 지인들에게 금전을 요구할 수 있습니다. 이후 피해를 복구하는 데는 상당한 시간과 노력이 필요할 수 있습니다.
비밀번호는 올바르게 사용하면 온라인에서 개인 데이터를 보호하고 통제하는 데 도움이 됩니다 . 누가 어디서 언제 무엇에 접근할 수 있는지는 오직 본인만이 결정할 수 있습니다. 하지만 그러기 위해서는 비밀번호를 추측하기 어려워야 하고, 본인과 관련이 없어야 하며, 최소한의 디지털 위생 수칙을 준수하여 관리해야 합니다.
또 다른 중요한 점은 많은 공격이 더 이상 수동이 아닌 자동화된 방식으로 이루어진다는 것입니다. 사이버 범죄자들은 수백만 가지의 단어, 숫자, 키보드 패턴 조합을 시도 하거나 다른 웹사이트에서 유출된 데이터를 재사용하는 프로그램(소위 자격 증명 스터핑 공격)을 사용합니다. 비밀번호가 단순하거나 반복적이라면 쉽게 공격 대상이 됩니다.
진정으로 안전한 비밀번호는 어떤 모습이어야 할까요?
강력한 비밀번호를 만들려면 단순히 끝에 숫자 몇 개를 붙이는 것만으로는 충분하지 않습니다 . 주요 보안 기관에서는 최소 12자 길이의 비밀번호를 권장하며, 서비스에서 허용하는 경우 14자 이상이면 더욱 좋습니다.
핵심은 대문자, 소문자, 숫자, 기호를 무작위로 조합하는 것입니다 . "6MonkeysRLooking^"이나 "B1gOte_289!"와 같은 문자열이 이 아이디어를 잘 보여줍니다. 충분한 문자 수, 다양한 문자의 조합, 그리고 사전에서 직접 찾을 수 없는 단어가 필요합니다. 뻔한 문구나 쉽게 유추할 수 있는 패턴은 피해야 합니다.
마찬가지로 중요한 것은 비밀번호에 개인 정보가 포함되지 않아야 한다는 것입니다 . 이름, 배우자, 자녀, 반려동물의 이름, 생년월일, 전화번호, 차량 번호판, 신분증 번호, 우편번호, 별자리, 또는 쉽게 알아챌 수 있는 취미 등은 절대 비밀번호에 사용해서는 안 됩니다. 공격자가 당신에 대한 정보를 수집한 후 가장 먼저 시도할 것이 바로 이러한 정보들입니다.
어떤 언어의 사전에든 나오는 단어는 철자를 거꾸로 쓰거나 약간 변형하더라도 피하는 것이 좋습니다 . 사전 공격 프로그램은 흔히 쓰이는 단어, 욕설, 전문 용어, 그리고 "password", "password123"과 같은 전형적인 조합을 포함한 방대한 단어 목록을 테스트합니다.
마지막으로, 절대로 사용자 이름을 비밀번호로 사용하지 마세요 . 또한 쉽게 추측할 수 있을 정도로 비슷한 비밀번호를 사용하지 마세요. 비밀번호가 유출되었거나 누군가에게 노출되었다고 의심되는 경우, 주저 없이 즉시 비밀번호를 변경하세요.
강력하고 기억하기 쉬운 비밀번호를 생성하는 실용적인 방법
가장 큰 문제점 중 하나는 복잡한 비밀번호는 기억하기 어렵다는 것입니다. 비밀번호를 보호되지 않은 종이에 적어두거나 계속해서 변경해야 한다면, 어렵게 얻은 보안 효과를 일부 잃게 됩니다. 다행히 기억하기 쉬운 강력한 비밀번호를 만드는 간단한 방법들이 있습니다.
1. 문구를 이용해 비밀번호 생성하기
아주 유용한 요령은 자신에게 친숙 하고 의미 있는 구절로 시작하는 것이지만, 자신이나 잘 알려진 속담과 명확하게 연관되지 않은 구절이어야 합니다. 노래 가사, 시 구절, 영화 대사, 또는 직접 만들어낸 표현도 좋습니다.
예를 들어, "후안의 바에서는 항상 3유로에 큰 타파스를 제공합니다."라는 문장을 떠올린다면, 각 단어의 첫 글자 와 숫자를 그대로 사용하여 "EebdJspTga3€"와 같이 표현할 수 있습니다. 그런 다음, 만약 서비스 제공업체에서 유로 기호를 허용하지 않는다면, 다른 허용된 특수 문자로 대체하여 기호를 조정할 수 있습니다.
또 다른 방법은 좋아하는 노래, 친구들과 나눈 일화, 흔히 쓰지만 약간 변형된 표현처럼 자신만이 자신의 일과 연관 짓는 제목이나 문구를 사용하는 것입니다. 중요한 것은 기본 문구가 기억하기 쉬워야 하고 , 최종 결과물에는 다양한 요소가 포함되어야 한다는 점입니다.
2. 모음을 바꾸거나 제거합니다.
흔히 사용되는 전략 중 하나는 일부 문자를 숫자나 기호로 바꾸는 것입니다. 예를 들어, a=4, e=3, i=1, o=0 으로 바꾸고 모음만 바꿔 암호를 더욱 복잡하게 만들 수 있습니다. "Seguridad"는 "53gur1d4d"가 되는 식입니다. 이러한 방식은 공격자들에게 알려져 있지만, 다른 방법과 결합하면 더욱 어려워집니다.
또 다른 방법은 만들어낸 단어나 구절에서 모음을 전부(또는 거의 전부) 제거하는 것입니다 . 자신만 이해할 수 있는 "이상한" 단어에서 모음을 제거하면 실제 단어와는 거의 닮지 않게 되어 사전 공격을 더욱 어렵게 만들 수 있습니다. 다만, 나중에 숫자나 기호를 추가하여 더욱 견고하게 만들어야 한다는 점을 잊지 마세요.
3. 정해진 패턴에 따라 단어와 숫자를 섞으세요.
어떤 사람들은 단어의 글자와 숫자의 자릿수를 항상 같은 순서로 번갈아 사용하는 것과 같은 기계적인 방법을 선호합니다 . 예를 들어 "콧수염(Mustache)"이라는 단어와 "28921"이라는 숫자를 선택하고, 글자 하나와 숫자를 역순으로 번갈아 사용한다고 가정해 보세요. 그러면 결과는 "B1i2g9o8t2e"와 같은 형태가 될 수 있습니다.
이러한 비밀번호 생성 방법은 일종의 두뇌 게임을 하게 만들어 기억력을 강화 하고 "mustache28921"처럼 해킹하기 쉬운 일렬로 된 비밀번호를 사용하는 것을 방지합니다. 다시 말해, 기호를 추가하고, 원한다면 대문자를 하나 더 추가하여 비밀번호를 더욱 복잡하게 만들 수 있습니다.
4. 주사위, 스도쿠 및 기타 "괴짜스러운" 기법
더 나아가고 싶다면, 주사위 굴림과 단어 목록을 사용하여 완전히 무작위적인 조합을 생성하는 Diceware 와 같은 방법도 있습니다 . 주사위를 굴릴 때마다 다른 단어가 나오고, 여러 개의 단어를 조합하면 매우 강력한 구문 시퀀스를 만들 수 있습니다.
또 다른 창의적인 아이디어는 스도쿠 스타일의 격자 (예: 6x6)를 그리고 임의의 숫자를 채운 다음, 휴대전화 잠금 해제처럼 손가락으로 패턴을 그리는 것입니다. 손가락으로 그린 숫자가 비밀번호의 기본이 되며, 여기에 자신만 아는 체계에 따라 문자나 기호를 추가할 수 있습니다.
이러한 접근 방식의 장점은 격자의 숫자를 바꾸거나 이전에 풀었던 스도쿠 퍼즐을 사용하더라도 동일한 패턴으로 새로운 비밀번호를 생성할 수 있다는 것입니다 . 머릿속으로 그림을 그려보고 숫자를 문자나 기호로 변환하는 규칙만 기억하면 됩니다.
비밀번호를 선택할 때 좋은 방법과 나쁜 방법
비밀번호를 만드는 방법 외에도 좋은 비밀번호를 정의 하는 몇 가지 특징이 있습니다 . 이러한 특징에는 대문자와 소문자, 숫자, 기호가 혼합되어 있어야 하고, 뻔한 단어나 날짜를 기반으로 해서는 안 되며, 충분한 길이(8자보다는 12~15자가 좋음)를 가져야 하고, 적어두지 않고도 비교적 쉽게 기억할 수 있어야 한다는 점이 포함됩니다.
반면에, 추측하기가 매우 쉬운 "위험한" 비밀번호 의 사례도 있습니다 . 여기에는 모든 고유명사(본인, 가족, 배우자, 친구, 반려동물의 이름), 회사 또는 도메인 이름, 간단한 사전 단어, "aaaaaa" 또는 "123456"과 같은 문자열, 전화번호, 차량 번호판, 카드 PIN 번호, "qwertyui" 또는 "asdf1234"와 같은 키보드 조합 등이 포함됩니다.
또한 좋아하는 축구팀, 소셜 미디어에서 자주 드러내는 취미, 고향, 별명 등 평소에 공개하는 취향이나 개인 정보 와 관련된 단어는 사용하지 않는 것이 좋습니다 . 공격자는 소셜 엔지니어링을 통해 이러한 정보를 수집하고 이를 바탕으로 뻔한 조합을 시도할 수 있기 때문입니다.
반면에 비밀번호가 사용자 이름과 동일하거나 매우 유사한 것은 좋지 않습니다 . 예를 들어 이메일 주소가 " [email protected] " 이라면 "juanperez2024"와 같은 비밀번호를 사용하는 것은 해킹을 시도하는 사람에게 절호의 기회를 제공하는 것과 같습니다. 공개된 신원과 비밀번호 사이에 개념적인 차이를 두는 것이 좋습니다.
일부 서비스는 문자 제한이 있을 수 있습니다 . 예를 들어 ASCII 문자만 허용하고 악센트, ñ 또는 특정 특수 기호를 허용하지 않는 경우가 있습니다. 이러한 경우에는 복잡성을 높이지 않으면서 메서드를 조정해야 합니다(예: 시스템에서 지원하지 않는 경우 유로 기호를 사용하지 않음).
비밀번호 관리 요령: 매일 비밀번호를 관리하는 방법
비밀번호 보안은 강력한 비밀번호를 만드는 것뿐만 아니라, 비밀번호를 일상적으로 사용하고 저장하는 방식 에도 달려 있습니다 . 이러한 습관들을 흔히 "비밀번호 위생"이라고 하며, 비밀번호를 공유하지 않는 것부터 정기적으로 비밀번호의 강도를 확인하는 것까지 모든 것을 포함합니다.
첫째, 모든 중요한 계정에는 고유한 비밀번호를 사용해야 합니다 . 여러 서비스에서 동일한 비밀번호를 재사용하는 것은 가장 흔한 실수 중 하나입니다. 웹사이트에서 데이터 유출 사고가 발생하여 비밀번호가 유출되면 공격자는 해당 비밀번호를 사용하여 은행, 이메일, 소셜 미디어 또는 쇼핑 플랫폼에 접속하려고 시도할 것입니다. 이러한 자동화된 공격을 "크레딧 스터핑(credential stuffing)"이라고 합니다.
위험 징후가 보일 때도 비밀번호를 변경하는 것이 좋습니다 . 예를 들어 서비스에서 의심스러운 접근을 감지했다는 알림이 표시되거나, 비정상적인 활동이 발견되거나, 회사에서 데이터 유출을 인정하는 경우입니다. 과거에는 3개월마다 비밀번호를 변경하도록 요구하는 정책이 있었지만, 요즘에는 보안 침해 증거가 있거나 취약한 비밀번호가 발견될 때 갱신하는 것이 일반적입니다.
라우터, 제어판, IoT 장치 또는 새로 생성된 계정(예: 임시 계약 번호를 받은 경우)의 기본 비밀번호 는 즉시 변경하는 것이 매우 중요합니다 . 이러한 비밀번호는 공개되어 있거나, 짧거나, 추측하기 매우 쉬운 경우가 많습니다.
물론, 본인이 관리하지 않는 브라우저나 기기(공용 컴퓨터, 인터넷 카페, 여러 사람이 사용하는 회사 컴퓨터 등)에서는 "비밀번호 저장" 옵션을 절대 선택하지 마세요 . 안전하지 않은 환경에 자격 증명을 저장하는 것은 누구나 당신의 신분을 도용하도록 부추기는 것과 같습니다.
비밀번호를 실수로 저장하지 않으려면 어디에 어떻게 저장해야 할까요?
많은 사람들이 비밀번호를 화면에 붙인 종이, 책상 위의 노트, 또는 바탕화면에 "passwords.xlsx"라는 파일에 적어두는 습관을 들이곤 합니다. 이러한 방법들은 편리해 보이지만 보안 측면에서는 매우 취약합니다 . 기기에 물리적으로 또는 원격으로 접근할 수 있는 사람은 누구나 여러분의 모든 계정에 접근할 수 있기 때문입니다.
만약 비밀번호를 물리적인 장소에 적어두기로 결정했다면, 해당 비밀번호가 저장된 컴퓨터와는 떨어진 안전하고 눈에 잘 띄지 않는 장소를 선택하세요 . 하지만 이러한 방법 역시 비즈니스 환경이나 특히 민감한 계정(은행, 시스템 관리, 고객 대시보드 등)에는 최선의 선택은 아닙니다.
더욱 현대적이고 안전한 대안은 비밀번호 관리자를 사용하는 것입니다 . 이러한 애플리케이션은 암호화된 비밀번호를 저장하고, 복잡한 조합을 생성하며, 필요할 때 자동으로 입력해 줍니다. 사용자는 강력한 마스터 비밀번호만 기억하면 되고, 대부분의 경우 비밀번호 관리자에 접근하기 위해 다단계 인증을 활성화해야 합니다.
신뢰할 수 있는 비밀번호 관리자는 비밀번호를 자동으로 업데이트하고, 취약하거나 유출된 비밀번호가 있을 경우 알려주며, 기기를 도난당하더라도 비밀번호를 안전하게 보관합니다. 강력한 암호화와 2단계 인증(2FA)의 조합으로 제3자가 비밀번호 저장소에 접근하는 것이 극도로 어려워집니다.
만약 여전히 비밀번호 관리자를 사용하고 싶지 않다면, 앞서 언급한 것처럼 암호, 패턴, 변형과 같은 니모닉 기법을 활용하여 웹사이트에 따라 약간씩 변형하는 방법을 사용할 수 있습니다. 예를 들어, 비밀번호의 특정 위치에 서비스 이름을 삽입하거나, 계정 유형에 따라 특정 문자를 변경하는 등의 방법이 있습니다. 중요한 것은 자신에게 편리하고 지나치게 단순화하지 않는 시스템을 구축하는 것입니다.
많은 경우 공격자들은 기술적으로 비밀번호를 해킹하려 하지 않고, 대신 당신을 속여 비밀번호를 빼내 려고 합니다 . 피싱이나 기타 사회공학적 기법이 바로 그런 예입니다. 은행, 유명 온라인 쇼핑몰, 심지어는 신뢰하는 사람을 사칭한 이메일, 문자 메시지, 전화 등이 그 예입니다.
유명 기업을 사칭하는 이메일을 받고 비밀번호를 확인 하거나 , 의심스러운 링크를 클릭하거나, "보안을 위해" 민감한 정보를 보내라는 요청을 받는다면 즉시 의심해야 합니다. 마찬가지로 은행이나 결제 플랫폼을 사칭하는 전화에서 신원 확인을 위해 비밀번호를 요구하는 경우에도 주의해야 합니다.
이러한 사기 행위는 종종 합법적인 웹사이트처럼 보이도록 로고, 색상, 텍스트 등을 복제합니다. 따라서 예상치 못한 이메일이나 메시지에 포함된 링크를 클릭하는 대신, 항상 신뢰할 수 있는 북마크를 통해 서비스에 접속하거나 브라우저에 주소를 직접 입력하는 것이 중요합니다.
의심스러운 점이 있다면, 알고 있는 URL을 직접 입력하여 해당 은행, 상점 또는 서비스 업체의 공식 웹사이트에 접속하거나 공식 웹사이트에 나와 있는 전화번호로 문의하세요. 아무리 신뢰하는 사람이나 서비스 담당자가 비밀번호를 요구하더라도 이메일, 문자 메시지 또는 전화로 절대 공유하지 마세요.
다중 요소 인증 및 추가 보호 조치
위에 언급한 모든 조치를 취하더라도 누군가가 비밀번호를 알아낼 가능성은 항상 존재합니다. 따라서 가능한 경우 다단계 인증(MFA 또는 2FA)을 활성화하는 것이 강력히 권장됩니다 . 이 시스템은 비밀번호 외에 추가적인 인증 수단을 요구합니다. 예를 들어, SMS로 전송되거나 앱에서 생성된 임시 코드, 물리적 키 또는 생체 인증 등이 있습니다.
이 아이디어는 간단합니다. 공격자가 비밀번호를 획득하더라도 2단계 인증 없이는 로그인할 수 없습니다 . 구글, 마이크로소프트, 소셜 네트워크, 은행 등 많은 주요 플랫폼에서 이미 이 시스템을 제공하고 있으며, 비즈니스 환경에서 필수적인 표준으로 자리 잡고 있습니다.
또 다른 유용한 방법은 복구 정보를 최신 상태로 유지하는 것입니다 . 대체 이메일 주소와 백업 전화번호를 저장해 두세요( Gmail 계정 복구 방법 참조 ). 이 정보를 통해 무단 접근을 감지하고, 비밀번호를 잊어버렸거나 누군가 비밀번호를 변경하려고 시도할 경우 계정을 복구하고, 의심스러운 활동이 감지되면 알림을 받을 수 있습니다.
하지만 이 데이터는 신중하게 다루어야 합니다. 주기적으로 데이터가 최신 상태인지 확인하고(더 이상 사용하지 않는 휴대폰은 거의 쓸모가 없습니다), 신뢰할 수 없는 플랫폼이나 소셜 네트워크에 함부로 공유하지 마십시오.
계정이 해킹당했을 가능성이 있다고 의심되면 신속하게 조치를 취하세요. 해당 계정의 비밀번호를 변경하고 , 다른 기기에서 열려 있는 세션을 모두 닫고, 최근 활동 내역을 검토하십시오. 중요한 서비스(주요 이메일, 은행 업무, 회사 업무용 도구)의 경우, 관련 계정의 비밀번호도 변경하는 것이 좋습니다.
개인 및 비즈니스 환경에서의 구체적인 권장 사항
개인적인 차원에서 목표는 간단합니다. 개인 정보를 보호하고 계정이 악의적인 목적으로 사용되는 것을 막는 것입니다. 이를 위해서는 위에 설명된 권장 사항을 따르기만 하면 됩니다. 길고 고유한 비밀번호를 사용하고 , 비밀번호 관리자 또는 강력한 니모닉 기법을 활용하며, 가능한 한 2단계 인증(2FA)을 사용하고, 친구나 가족과 비밀번호를 공유하지 마세요. 꼭 필요한 경우라면 안전하게 비밀번호를 공유하는 방법을 배우세요 . "왜냐하면, 뭐, 세상이 끝나는 것도 아니니까요."
비즈니스 환경에서 비밀번호는 기업 정보, 업무 도구, 고객 데이터베이스 또는 중요 시스템에 대한 접근 권한을 부여할 수 있기 때문에 더욱 중요한 의미를 갖습니다 . 모든 직원이 고유한 자격 증명을 갖고 있어야 하며, 공용 사용자 계정을 공유해서는 안 되고, 비밀번호가 저장되는 파일이나 시스템은 특히 안전하게 보호되어야 합니다.
조직은 명확한 암호 정책을 수립해야 합니다 . 최소 길이, 요구되는 복잡성, 회사 관리자의 승인, 중요 계정에 대한 다단계 인증(MFA) 활성화 의무, 암호화되지 않은 문서나 포스트잇에 암호를 적어두는 행위 금지, 그리고 직원의 입사 또는 퇴사 시 암호 변경 절차 등이 포함되어야 합니다.
또한 모든 직원에게 기본적인 사이버 보안 교육을 강화하는 것이 좋습니다 . 피싱 이메일을 식별하고, 자격 증명을 입력하기 전에 웹 주소를 꼼꼼히 확인하고, 계정 접근 권한이 있는 기기를 분실했을 경우 즉시 신고하는 등의 교육을 포함해야 합니다. 아무리 강력한 비밀번호라도 사용자가 실수로 사기꾼에게 노출된다면 무용지물이 됩니다.
간단히 말해, 비밀번호는 디지털 칫솔과 같습니다. 다른 사람과 공유하지 말고, 잘 관리하고, 필요할 때 변경해야 합니다. 길고, 고유하며, 잘 구성된 비밀번호를 사용하고, 비밀번호 관리 습관을 들이고, 필요할 때 비밀번호 관리자를 활용하고, 가장 중요한 서비스에 다단계 인증을 적용하면 공격자가 접근하기 훨씬 어렵게 만들고 온라인 생활을 훨씬 더 안심하고 이용할 수 있습니다.
