비밀번호는 왜 자꾸 바꾸라고 할까? 오히려 자주 바꾸지 말라는 이유

 

비밀번호를 자주 바꾸는 것이 무조건 안전한 것은 아닙니다.
주기적인 비밀번호 변경 권고가 달라진 이유와 반드시 바꿔야 하는 상황, 안전한 비밀번호 관리 방법을 알아봅니다.

 

예전에는 인터넷 사이트나 회사 시스템에서 3개월이나 6개월마다 비밀번호를 바꾸라는 안내를 흔히 볼 수 있었습니다. 오래 사용할수록 위험하니 자주 변경하는 것이 당연히 안전해 보입니다.

그런데 최근 보안 지침에서는 비밀번호 유출이나 침해 증거가 없다면 일정 기간마다 의무적으로 변경하도록 요구하지 않는 방향으로 달라지고 있습니다. 왜 보안에 좋을 것 같던 습관이 오히려 문제가 될 수 있을까요?

예전에는 왜 비밀번호를 자주 바꾸라고 했을까?

“비밀번호를 변경한 지 90일이 지났습니다.”

인터넷을 오래 사용한 사람이라면 이런 안내를 한 번쯤 본 적이 있을 것입니다.

과거에는 같은 비밀번호를 오랫동안 사용하면 누군가 비밀번호를 알아냈을 때 장기간 계정에 접근할 수 있다고 생각했습니다. 그래서 일정 기간마다 비밀번호를 바꾸면 기존 비밀번호가 노출됐더라도 공격자가 사용할 수 있는 기간을 줄일 수 있다고 봤습니다.

문제는 사람들이 실제로 비밀번호를 변경하는 방법이 예상과 달랐다는 것입니다.

자주 바꾸라고 하면 비밀번호를 완전히 새로 만들지 않습니다

예를 들어 기존 비밀번호가

Coffee2025!

였다면 다음에는

Coffee2026!

처럼 숫자 하나만 바꾸는 식입니다.

또는

Tiger01! → Tiger02! → Tiger03!

처럼 일정한 규칙을 만들어 변경하기도 합니다.

비밀번호를 자주 바꾸라고 할수록 매번 길고 완전히 새로운 비밀번호를 기억하기 어렵기 때문입니다.

결국 사용자는 기억하기 쉬운 변경 규칙을 만들게 되고, 공격자가 이전 비밀번호를 알고 있다면 다음 비밀번호까지 추측하기 쉬워질 수 있습니다.

보안을 강화하기 위한 규칙이 오히려 예측 가능한 비밀번호를 만들어내는 역효과를 낼 수 있는 것입니다.

그래서 지금은 ‘무조건 주기적으로 변경’이 정답이 아닙니다

비밀번호에 대한 보안 지침도 이런 현실을 반영해 달라지고 있습니다.

미국 국립표준기술연구소(NIST)의 디지털 신원 지침에서는 비밀번호가 침해됐다는 증거가 없는 상황에서 단순히 일정 기간이 지났다는 이유만으로 주기적인 변경을 요구하지 않는 방향을 제시하고 있습니다.

대신 비밀번호가 유출됐거나 침해됐다는 증거가 있다면 변경하는 것이 중요합니다.

즉 핵심은 ‘오래됐으니 바꾼다’가 아니라 ‘위험해졌을 때 바꾼다’​입니다.

물론 이것이 하나의 비밀번호를 아무 점검 없이 평생 사용해도 된다는 뜻은 아닙니다.

그렇다면 비밀번호는 언제 반드시 바꿔야 할까?

비밀번호가 유출됐다는 안내를 받았다면 즉시 변경하는 것이 좋습니다.

사용하는 서비스에서 개인정보 유출 사고가 발생했거나 자신이 로그인하지 않은 기기나 지역에서 접속했다는 알림을 받은 경우도 확인이 필요합니다. 피싱 사이트에 비밀번호를 입력했거나 다른 사람이 비밀번호를 알게 됐을 가능성이 있을 때도 마찬가지입니다.

특히 여러 사이트에서 같은 비밀번호를 사용하고 있었다면 문제가 더 커집니다.

한 사이트에서 유출된 아이디와 비밀번호를 다른 사이트에도 대입해 계정 탈취를 시도할 수 있기 때문입니다.

따라서 비밀번호를 얼마나 자주 바꾸느냐보다 같은 비밀번호를 여러 곳에서 사용하지 않는 것이 훨씬 중요합니다.

복잡한 비밀번호보다 ‘충분히 긴 비밀번호’가 중요한 이유

예전에는 비밀번호를 만들 때 대문자 하나, 소문자 하나, 숫자 하나, 특수문자 하나처럼 여러 조건을 요구하는 경우가 많았습니다.

그러다 보니 사용자는

Abcd1234!

처럼 규칙만 충족하는 비밀번호를 만들기도 합니다.

하지만 특수문자 하나를 넣었다는 사실만으로 비밀번호가 충분히 안전해지는 것은 아닙니다.

비밀번호는 단순히 여러 종류의 문자를 섞는 것보다 충분한 길이를 확보하면서 다른 사람이 쉽게 추측할 수 없도록 만드는 것이 중요합니다.

길더라도 이름이나 생일, 전화번호처럼 쉽게 알아낼 수 있는 개인정보나 흔한 단어와 문장을 그대로 사용하는 것은 피하는 것이 좋습니다.

사이트마다 다른 비밀번호를 어떻게 기억할까?

사용하는 사이트가 20개라면 서로 다른 긴 비밀번호 20개를 어떻게 기억할까요?

모두 외우려고 하면 오히려 기억하기 쉬운 비밀번호 하나를 여러 사이트에서 반복해서 사용할 가능성이 커집니다.

이럴 때 활용할 수 있는 것이 비밀번호 관리자(Password Manager)​입니다.

비밀번호 관리자는 사이트마다 서로 다른 비밀번호를 만들어 저장하고 로그인할 때 사용할 수 있도록 도와주는 도구입니다. 쉽게 말하면 수많은 비밀번호를 일일이 외우지 않아도 되도록 관리해주는 것입니다.

마스터 비밀번호를 사용하는 비밀번호 관리자라면 여러 사이트의 비밀번호를 모두 외우는 대신 비밀번호 관리자에 들어갈 때 사용하는 하나의 중요한 비밀번호를 안전하게 관리하는 방식으로 사용할 수 있습니다.

이 마스터 비밀번호는 충분히 길고 추측하기 어렵게 만들고, 지원된다면 다중요소인증도 함께 설정하는 것이 좋습니다. 스마트폰과 웹브라우저에도 비밀번호 저장 및 관리 기능이 제공되는 경우가 많습니다.

비밀번호보다 더 강력한 방어막, 2단계 인증

비밀번호와 함께 기억해야 할 것이 2단계 인증 또는 다중요소인증(MFA)​입니다.

비밀번호가 유출되더라도 추가 인증 절차가 있다면 공격자가 비밀번호 하나만으로 계정에 로그인하기 어렵게 만들 수 있습니다. 예를 들어 비밀번호를 입력한 뒤 인증 앱이나 보안키 등을 이용해 한 번 더 본인임을 확인하는 방식입니다.

따라서 이메일, 금융 관련 서비스, 클라우드처럼 중요한 계정에서는 지원된다면 다중요소인증을 설정하는 것이 좋습니다. 비밀번호 하나에 모든 보안을 맡기지 않고 방어 장치를 한 겹 더 만드는 셈입니다.

요즘은 비밀번호 자체를 없애려는 움직임도 있습니다

최근에는 비밀번호를 직접 입력하지 않는 로그인 방식도 확대되고 있습니다.

대표적인 것이 패스키(Passkey)​입니다.

패스키는 공개키 암호화 기술을 이용해 로그인하며, 사용자는 지문이나 얼굴 인식, 기기 잠금 방식 등을 통해 본인임을 확인할 수 있습니다.

일반적인 비밀번호처럼 비밀 문자열을 로그인 화면에 직접 입력하지 않기 때문에 가짜 로그인 화면으로 비밀번호를 빼내는 전형적인 피싱 공격에도 강한 편입니다.

아직 모든 서비스에서 사용할 수 있는 것은 아니지만 지원하는 서비스가 늘어나면서 직접 비밀번호를 만들고 외우는 부담은 점차 줄어들 가능성이 있습니다.

Q&A 비밀번호 관리, 이것이 궁금합니다

Q. 비밀번호를 3개월마다 바꿀 필요가 없다는 뜻인가요?

개인 계정에서 비밀번호 유출이나 침해 징후가 없다면 단순히 3개월이 지났다는 이유만으로 반드시 변경해야 한다고 볼 필요는 없습니다. 다만 회사나 기관에서 자체 보안정책에 따라 변경을 요구한다면 해당 정책을 따라야 합니다.

Q. 같은 비밀번호를 조금씩 바꿔 여러 사이트에서 사용하면 괜찮을까요?

권장하기 어렵습니다. 한 사이트의 비밀번호가 유출되면 비슷한 비밀번호나 변경 규칙까지 추측될 가능성이 있기 때문입니다. 사이트마다 서로 다른 비밀번호를 사용하는 것이 좋습니다.

Q. 비밀번호를 메모장에 적어두는 것과 비밀번호 관리자 중 어느 것이 좋나요?

일반적인 컴퓨터 파일이나 온라인 메모장에 비밀번호를 그대로 저장하는 것보다는 신뢰할 수 있는 비밀번호 관리자를 사용하는 것이 좋습니다. 비밀번호 관리자 자체도 강력한 마스터 비밀번호와 지원되는 경우 다중요소인증으로 보호하는 것이 좋습니다.

Q. 비밀번호가 유출됐는지 모르겠다면 어떻게 하나요?

서비스에서 보안 사고나 비밀번호 유출 안내가 왔는지 확인하고, 브라우저나 비밀번호 관리자가 제공하는 유출 비밀번호 확인 기능을 활용할 수 있습니다. 자신이 하지 않은 로그인 기록이 발견된다면 비밀번호를 변경하고 추가 인증을 설정하는 것이 좋습니다.

비밀번호 보안의 핵심은 ‘자주’보다 ‘다르게, 길게, 안전하게’입니다

비밀번호를 자주 바꾸라는 과거의 조언에는 계정이 탈취됐을 때 같은 비밀번호가 장기간 악용되는 것을 막으려는 목적이 있었습니다. 하지만 잦은 변경 요구는 숫자 하나만 바꾸거나 비슷한 비밀번호를 반복해서 사용하는 습관으로 이어질 수 있습니다. 그래서 지금은 단순히 변경 횟수를 늘리는 것보다 사이트마다 서로 다른 비밀번호를 사용하고, 충분히 길고 예측하기 어렵게 만들며, 유출되거나 침해가 의심될 때 바로 변경하는 것​이 더 중요합니다.

여기에 다중요소인증이나 패스키까지 활용하면 계정을 한층 더 안전하게 보호할 수 있습니다.

비밀번호 보안에서 중요한 질문도 이제 달라지고 있습니다.

“마지막으로 언제 바꿨지?”보다 “다른 사이트에서도 이 비밀번호를 쓰고 있지는 않나?”를 먼저 확인해보는 것이 좋습니다.