알파벳과 숫자를 적절히 조합해 복잡하고 추측하기 어려운 비밀번호를 만드는 일은 생각보다 쉽지 않습니다. 그래서 우리 모두 예전에 쓰던 비밀번호를 그대로 재활용하고는 하죠.
비밀번호 관리자가 존재하는 이유가 분명하지만, 대부분의 사람들은 새 비밀번호를 만드는 번거로움을 피하고 여러 계정에 같은 비밀번호를 반복해서 사용합니다.
그렇다면 비밀번호를 계속 재활용하면 어떤 일이 벌어질까요? 그리고 잘못된 비밀번호 관리에서 오는 위험은 어떻게 줄일 수 있을까요?
사람들은 왜 기존 비밀번호를 다시 사용할까?
모든 웹사이트와 계정에 같은 비밀번호를 사용하는 사람들 중 하나이신가요?
같은 비밀번호를 반복 사용하면 비밀번호를 쓰는 본래의 목적이 사라지는데도, 왜 우리는 이 습관을 고집하는 걸까요?
여기에는 여러 가지 이유가 있습니다. 고유한 비밀번호를 만드는 데 어려움을 느끼거나 비밀번호를 재활용하면 안 된다는 사실 자체를 모르는 사람이 많고, 어떤 이들은 비밀번호 관리자를 쓰기 싫어하거나 자신은 사이버 범죄의 표적이 되지 않을 거라고 믿기도 합니다.
이유가 무엇이든, 비밀번호 재활용은 심각한 결과를 초래합니다.
비밀번호 재활용이 가져오는 수많은 위험
비밀번호를 외우기 싫거나 최신 도구를 활용하고 싶지 않다면 비밀번호 재활용이 편하게 느껴질 수 있습니다. 하지만 이 '친구'는 언젠가 당신의 등을 찌를 것입니다!
곳곳에서 보안 의식을 강조하고 있음에도 사람들은 여전히 기존 비밀번호를 재활용합니다. 구글과 해리스(Harris) 여론조사 기관의 설문 결과에 따르면, 사용자의 52%가 여러 계정에 같은 비밀번호를 재사용하는 것으로 나타났습니다.
기존 비밀번호를 재사용할 때 마주할 수 있는 위험들을 살펴보겠습니다.
1. 여러 계정이 동시에 유출되는 피해
평균적인 인터넷 사용자는 수많은 온라인 계정을 보유하고 있습니다. 한 계정을 위해 강력하고 완벽한 비밀번호를 만들면, 시간과 노력을 아낄 수 있다는 생각에 모든 계정에 똑같이 사용하고 싶어질 수 있습니다.
그러나 이런 생각은 오히려 사이버 범죄에 더 취약해지게 만듭니다. 예를 들어 페이스북과 인터넷 뱅킹에 같은 비밀번호를 사용한다고 가정해 봅시다. 페이스북이 2021년처럼 데이터 유출 사고를 겪으면, 두 계정이 같은 비밀번호를 공유하고 있기 때문에 은행 계좌마저 위험에 노출됩니다.
게다가 재활용한 비밀번호가 약한 비밀번호라면 상황은 더 악화됩니다. 공격자가 다른 계정까지 해킹하기가 훨씬 쉬워지기 때문입니다.
2. 회사 계정까지 위험에 빠뜨림
개인 계정이 데이터 유출 사고에 연루되면, 같은 비밀번호를 재사용했다면 회사 계정 역시 위험해질 가능성이 큽니다.
즉, 자신의 보안만 위태롭게 하는 것이 아니라 소속 조직과 동료들의 보안까지 위협하는 셈입니다. 해커가 확보하는 비밀번호와 개인정보가 많아질수록, 그들이 입힐 수 있는 피해 규모도 커집니다.
3. 무차별 대입 공격의 표적이 됨
무차별 대입(Brute Force) 공격은 가능한 자격 증명 조합을 계속 시도하며 사용자의 비밀번호와 로그인 정보를 알아내는 방식입니다.
여러 계정에 비밀번호를 재활용하면 해커가 추측해야 할 부담이 크게 줄어듭니다. 또한 비밀번호를 재활용하는 대부분의 사람은 게으름 때문에 그러는데, 처음부터 추측하기 어려운 비밀번호를 만들지 않는 경우가 많습니다.
무차별 대입 공격은 크리덴셜 스터핑(credential stuffing)이나 사전(dictionary) 공격 같은 다른 형태의 데이터 유출로 이어질 수 있습니다. 공격이 반복될수록 사이버 범죄자들은 더 많은 비밀번호를 손에 넣고, 이를 향후 무차별 대입 공격에 활용합니다.
4. 피싱 공격의 미끼가 됨
피싱 공격은 다른 사람으로 가장한 이메일이나 알림을 보내는 등 속임수와 미끼 전략을 사용합니다. 피싱의 주된 목적은 사용자가 이메일 첨부 파일을 클릭하거나 악성 파일을 내려받도록 유도하거나, 사용자 이름·비밀번호·생년월일 같은 민감한 개인 계정 정보를 넘기도록 만드는 것입니다.
피싱은 비밀번호를 재활용하지 않는 사람에게도 위협이 되지만, 여러 계정에 같은 비밀번호를 썼다면 문제는 더 커질 수 있습니다. 피해가 더 광범위하고 치명적으로 번질 수 있기 때문입니다.
비밀번호 재활용 위험을 줄이는 방법
온라인 보안을 소중히 여기고 비밀번호 재활용 습관을 끊고 싶다면, 아래 팁들이 올바른 길로 가는 데 도움이 될 것입니다.
1. 기본 비밀번호를 반드시 변경하세요
우리가 저지르는 가장 큰 실수 중 하나는 "admin"이나 "1234" 같은 기본 비밀번호를 그대로 두는 것입니다. 기본 비밀번호는 외우기 편하지만, 동시에 계정을 해킹하려는 대부분의 사이버 범죄자들이 가장 먼저 시도하는 값이기도 합니다.
기본 비밀번호는 최대한 빨리 변경하세요. 새 비밀번호를 잊어버릴까 봐 교체를 망설인다면, 패스프레이즈(passphrase)를 사용해 보세요. 패스프레이즈는 여러 단어를 이어 붙여 긴 문장을 만든 것으로, 본인은 기억하기 쉽지만 다른 사람이 풀어내기는 어렵습니다.
2. 직원들에게 비밀번호 재활용 금지를 교육하세요
회사와 기업은 모든 직원을 대상으로 비밀번호 교육을 실시해야 합니다. 교육은 단순히 비밀번호 재활용을 피해야 한다는 점뿐 아니라, 다음과 같은 비밀번호 보안 사항도 다뤄야 합니다.
- 동료와 비밀번호를 공유하지 않습니다.
- 피싱 함정을 조심합니다. 요청자가 아무리 정당해 들려도 이메일이나 전화로는 절대 비밀번호를 알려주지 않습니다.
- 비밀번호가 유출됐다고 생각되면 즉시 변경합니다.
- 공용 컴퓨터나 공공 Wi-Fi 환경에서는 비밀번호로 보호되는 서비스를 이용하지 않습니다.
최종 사용자에게 비밀번호 인식과 올바른 디지털 위생 습관을 심어주는 것이 안전한 기업 네트워크를 유지하는 데 필수적이라는 점을 기억하세요.
3. 신뢰할 수 있는 비밀번호 관리자를 사용하세요
복잡하면서도 기억하기 쉬운 비밀번호를 만들더라도, 비밀번호를 중앙에서 관리해 주는 도구는 여전히 필요합니다. 다행히 LastPass 같은 비밀번호 관리자는 강력한 비밀번호를 생성하고 안전하게 보관해 줍니다. 게다가 비밀번호 관리자에 접속하기 위해 기억해야 할 비밀번호는 딱 하나입니다.
비밀번호 관리자에 로그인한 후에는 저장된 어떤 계정이든 추가 비밀번호 입력 없이 바로 로그인할 수 있습니다.
4. 다중 인증(MFA)을 도입하세요
비밀번호 재활용의 위험을 알면서도 여러 계정에 같은 비밀번호를 쓰게 된다면, 적어도 모든 로그인에 MFA(다중 인증)를 설정하세요. MFA는 단순한 비밀번호 대신 추가 자격 증명을 요구함으로써 보안을 강화합니다.
예를 들어 기기에서 MFA를 켠 상태로 인터넷 뱅킹을 한다고 가정해 봅시다. 컴퓨터에서 은행 페이지에 로그인 정보를 입력하면, 웹사이트는 휴대폰처럼 미리 인증된 다른 기기로 OTP(일회용 비밀번호) 코드를 전송합니다. 그 코드를 은행 웹사이트에 입력해야 최종적으로 접속할 수 있습니다.
비밀번호는 당신의 첫 번째 방어선입니다
누구나 여러 온라인 계정과 기억해야 할 수많은 비밀번호를 가지고 있습니다. 그래서 고유한 비밀번호를 여러 개 만드는 일이 쉽지 않고, 비밀번호 재활용이라는 함정에 빠지기 마련입니다.
하지만 비밀번호는 시스템에 대한 무단 접근을 막는 첫 번째 방어선이라는 사실을 잊지 마세요. 따라서 고유한 비밀번호를 만드는 데 드는 노력—비밀번호 관리자를 쓰든, 전통적인 방식으로 직접 만들든—은 장기적으로 충분히 가치 있습니다.
재활용은 생활의 다른 영역에서는 훌륭한 습관이지만, 비밀번호만큼은 어떤 일이 있어도 재활용을 피해야 합니다.