비밀번호 유출 확인 방법｜유출됐을 때 가장 먼저 할 일

유출은 내 기기가 아니라 서비스 쪽에서 일어난다

유출 경고를 보면 먼저 내 기기가 바이러스에 감염됐나 생각하기 쉽습니다. 하지만 실제로 많은 것은, 이용하던 서비스 쪽에서 계정 정보가 대량으로 유출되고 그 목록이 퍼지는 경우입니다. 내 조작에 잘못이 없어도 일어날 수 있습니다.

첫 번째 행을 스스로 막을 수 없는 이상, 대책의 중심은 '새지 않게 하는 것'이 아니라 '새더라도 다른 곳으로 번지지 않게 하는 것'이 됩니다. 같은 비밀번호를 여러 서비스에서 쓰고 있으면 한 곳의 유출이 모든 계정의 유출과 거의 같은 의미가 됩니다.

유출됐는지 확인하는 4가지 방법

확인 수단은 여러 가지입니다. 하나만 보고 안심하지 말고 위에서부터 차례로 살펴보면 놓치는 것이 줄어듭니다.

1. 1

   브라우저나 OS의 비밀번호 점검 기능을 본다

   주요 브라우저와 스마트폰 OS에는 저장된 비밀번호가 유출 목록에 들어 있지 않은지 점검하는 기능이 있습니다. 설정의 비밀번호 관리 화면에서 실행할 수 있으며, 위험한 것·재사용 중인 것·약한 것을 목록으로 보여 줍니다. 가장 먼저 여기를 여는 것이 지름길입니다.

2. 2

   서비스의 공지를 확인한다

   유출이 확인되면 운영 측에서 알림이 오기도 합니다. 다만 알림을 가장한 피싱도 많으므로 메일 속 링크는 누르지 말고, 공식 사이트나 앱을 직접 열어 공지를 확인하세요.

3. 3

   로그인 기록과 세션을 확인한다

   주요 서비스에는 최근 로그인 일시·지역·기기를 확인할 수 있는 화면이 있습니다. 낯선 지역이나 기기가 있다면 그곳이 실제 피해가 나고 있는 곳입니다. 같은 화면에서 알 수 없는 세션을 하나씩 강제 로그아웃할 수 있습니다.

4. 4

   유출 조회 서비스로 대조한다

   이메일 주소를 입력하면 과거에 공개된 유출 데이터에 포함돼 있는지 조사할 수 있는 서비스가 있습니다. 믿을 수 있는 운영처의 것을 고르고, 비밀번호 자체를 입력하게 하는 구조가 아닌지 반드시 확인하세요.

알림이 오지 않아도 의심해야 할 징후

유출이 공표되기까지는 시간이 걸릴 수 있고, 공표되지 않은 채 악용되는 경우도 있습니다. 다음과 같은 일은 경고가 나오지 않았더라도 확인의 계기로 삼으세요.

• 기억에 없는 '로그인을 승인하시겠습니까' 알림이나 2단계 인증 코드가 온다. 누군가가 올바른 비밀번호를 입력할 수 있는 상태입니다.
• 직접 조작하지 않았는데 비밀번호 재설정 메일이 온다.
• 보낸 편지함에 내가 보내지 않은 메일이 있다.
• 기억에 없는 로그인 기록이 있거나, 멋대로 로그아웃된다.
• 평소보다 스팸 메일이 갑자기 늘어난다. 이메일 주소가 퍼진 징후일 수 있습니다.
• SNS에 기억에 없는 게시물이나 팔로우가 생긴다.

특히 첫 번째는 긴급도가 높은 징후입니다. 코드가 오는 시점에서 상대는 비밀번호를 알고 있고, 2단계 인증만이 마지막 벽으로 남아 있습니다. 이 경우 코드를 절대 입력하거나 공유하지 말고 바로 비밀번호를 바꾸세요.

유출을 알았을 때 처리하는 순서

한꺼번에 전부 바꾸려 하면 시간이 걸리고, 그동안 피해가 커집니다. 영향이 큰 것부터 차례로 처리하세요.

1. 1

   이메일 계정을 가장 먼저 바꾼다

   이메일은 다른 서비스의 비밀번호 재설정을 받는 곳입니다. 여기를 빼앗기면 다른 것을 아무리 바꿔도 다시 빼앗깁니다. 순서상 반드시 맨 앞에 두세요.

2. 2

   같은 비밀번호를 재사용하던 서비스를 모두 바꾼다

   유출된 곳만 바꿔도 크리덴셜 스터핑에서는 다른 서비스가 시도됩니다. 숫자나 기호를 조금 덧붙였을 뿐인 비슷한 비밀번호도 같은 것으로 취급하세요.

3. 3

   돈과 직결되는 서비스를 바꾼다

   인터넷 뱅킹, 결제 서비스, 쇼핑몰. 아울러 등록된 결제 수단과 배송지가 바뀌지 않았는지도 확인합니다.

4. 4

   알 수 없는 세션을 모두 강제 로그아웃한다

   비밀번호를 바꿔도 이미 로그인된 기기가 남아 있을 수 있습니다. '모든 기기에서 로그아웃'에 해당하는 조작을 실행하세요.

5. 5

   2단계 인증을 켠다

   비밀번호가 새더라도 그것만으로는 들어올 수 없게 됩니다. 복구 코드는 인쇄하는 등 온라인이 아닌 곳에 보관하세요.

6. 6

   새 비밀번호는 무작위로 생성한다

   직접 다시 생각하면 예전과 비슷한 형태가 되기 쉽습니다. 비밀번호 생성 도구로 서비스마다 다른 16자 이상의 문자열을 만들어 브라우저나 비밀번호 관리 기능에 저장합니다. 외울 것은 그것을 여는 하나뿐입니다.

진정된 뒤에 하는 재발 방지

긴급 대응이 끝나면, 다음에 같은 일이 생겨도 피해가 번지지 않는 상태를 만듭니다. 여기까지 해야 비로소 유출 알림이 '확인만 하면 되는 일'로 바뀝니다.

덧붙여, 유출 징후가 없는데도 정기적으로 비밀번호를 계속 바꾸는 운용은 현재 적극적으로 권장되지 않습니다. 강제적인 정기 변경은 끝의 숫자만 바꾸는 약한 패턴을 부르기 쉽기 때문입니다. 바꿔야 할 시점은 유출이 의심될 때와 재사용을 정리할 때의 두 가지라고 생각하세요.

자주 묻는 질문

비밀번호가 유출됐는지 확인하는 방법이 있나요?

먼저 브라우저나 스마트폰 OS에 마련된 비밀번호 점검 기능을 여세요. 저장된 비밀번호가 유출 목록에 포함돼 있지 않은지, 재사용하거나 약한 것이 없는지를 목록으로 보여 줍니다. 아울러 각 서비스의 로그인 기록에서 낯선 지역이나 기기가 없는지 확인합니다. 이메일 주소를 입력해 유출 데이터와 대조할 수 있는 외부 서비스도 있지만, 비밀번호 입력까지 요구하는 사이트는 쓰지 마세요.

'비밀번호가 유출되었습니다'라는 경고는 진짜인가요?

브라우저나 OS의 설정 화면에 표시되는 것은 저장된 비밀번호와 알려진 유출 목록을 대조한 결과로, 믿을 수 있습니다. 반면 메일이나 웹사이트의 팝업으로 경고가 뜨고 링크 앞에서 로그인을 요구한다면 피싱일 가능성이 있습니다. 판단이 서지 않을 때는 받은 링크를 열지 말고 북마크나 공식 앱에서 직접 서비스를 열어 확인하세요.

유출을 알았다면 어느 계정부터 바꿔야 하나요?

가장 먼저 이메일 계정입니다. 이메일은 다른 서비스의 비밀번호 재설정을 받는 곳이라, 여기를 장악당하면 다른 것을 바꿔도 다시 빼앗깁니다. 다음은 같은 비밀번호를 재사용하던 서비스, 이어서 돈과 직결되는 서비스 순입니다. 변경 후에는 '모든 기기에서 로그아웃'에 해당하는 조작으로 세션을 끊고 2단계 인증을 켜세요.

기억에 없는 인증 코드가 오면 어떻게 해야 하나요?

코드는 절대 입력하거나 공유하지 말고 바로 그 서비스의 비밀번호를 바꾸세요. 코드가 오는 시점에서 상대는 비밀번호를 알고 있고, 2단계 인증만이 남은 벽인 상태입니다. '코드를 알려 달라'는 연락이 동시에 오기도 하지만, 정식 운영 측이 코드를 묻는 일은 없습니다. 변경 후에는 로그인 기록을 확인하고 알 수 없는 세션을 강제 로그아웃하세요.