비밀번호 재사용은 왜 위험할까?｜피해가 퍼지는 방식과 대책의 우선순위

재사용이 무서운 점은 '한 번의 유출로 끝나지 않는다'는 것

비밀번호의 강도 이야기가 나오면 아무래도 '몇 자로 할까', '기호를 넣을까'에 관심이 모입니다. 하지만 실제로 피해가 퍼지는 경로로 가장 많은 것은 비밀번호가 뚫린 경우가 아니라, 다른 어딘가의 서비스에서 유출된 비밀번호를 그대로 재사용하고 있던 경우입니다.

아무리 길고 복잡한 비밀번호를 만들어도 그것을 10개의 서비스에서 재사용하고 있다면, 강도는 '그 10개 중 보안이 가장 약한 서비스'와 같아집니다. 여러분이 관리할 수 있는 것은 자신의 비밀번호뿐이고, 서비스 쪽의 보관 방법은 고를 수 없기 때문입니다.

크리덴셜 스터핑은 이렇게 성립한다

유출된 아이디와 비밀번호 조합을 다른 서비스에 차례차례 시도하는 수법을 크리덴셜 스터핑(리스트형 공격)이라고 부릅니다. 무차별 대입이 아니기 때문에 방어하는 쪽에서는 정상적인 로그인과 구별하기 어렵다는 것이 골치 아픈 점입니다.

1. 1

   ① 어딘가의 서비스에서 유출된다

   이용자에게 잘못이 없어도 서비스 쪽의 허점이나 무단 접근으로 아이디와 비밀번호 조합이 유출될 수 있습니다. 몇 년 전에 탈퇴한 서비스의 데이터가 나중에 나돌기도 합니다.

2. 2

   ② 리스트로 나돈다

   유출 데이터는 한데 묶여 거래·공유됩니다. 이메일 주소가 포함되어 있기 때문에 그대로 다른 서비스의 아이디로 쓸 수 있습니다.

3. 3

   ③ 다른 서비스에서 자동으로 시도된다

   공격자는 같은 조합을 대량의 서비스에 기계적으로 입력합니다. 하나씩 비밀번호를 추측하는 것과 달리 한 번에 정답을 맞히려 하기 때문에 로그인 실패 횟수 제한에 걸리지 않습니다.

4. 4

   ④ 통과한 계정이 탈취된다

   재사용하던 서비스만 뚫립니다. 여기에 이메일 계정이 포함되어 있으면 다른 서비스의 비밀번호 재설정까지 실행되어 피해가 단숨에 퍼집니다.

이 흐름을 보면 대책의 급소가 분명해집니다. ②나 ③을 막는 것은 개인에게는 불가능합니다. 막을 수 있는 것은 ④, 즉 '같은 조합이 다른 곳에서 통하지 않는 상태로 해 두는 것'뿐입니다.

어느 계정부터 고쳐야 할까

모든 계정의 비밀번호를 한 번에 바꾸는 것은 현실적이지 않습니다. 탈취됐을 때 영향이 큰 순서대로 손을 대면 적은 수고로 피해의 싹을 자를 수 있습니다.

순서의 포인트는 금액의 크기가 아니라 '거기서 다른 곳으로 퍼지는가'입니다. 이메일 계정은 다른 거의 모든 서비스의 비밀번호 재설정 메일을 받는 곳이므로, 금액과 관계없이 최우선으로 독립된 비밀번호로 바꾸세요.

오늘부터 할 수 있는 교체 순서

1. 1

   ① 지금 재사용하는 비밀번호를 하나 떠올린다

   '자주 쓰는 것'이 누구에게나 1~2개 있을 겁니다. 그것을 쓰는 서비스를 생각나는 범위에서 적어 봅니다. 완벽한 점검은 필요 없습니다.

2. 2

   ② 위 표의 최우선 2개만 먼저 바꾼다

   이메일과 이동통신사 계정을 다른 어디에서도 쓰지 않는 새 비밀번호로 바꿉니다. 여기까지 하면 피해의 연쇄는 상당 부분 멈춥니다.

3. 3

   ③ 새 비밀번호는 직접 생각하지 말고 생성한다

   직접 생각한 비밀번호에는 아무래도 규칙성이 생깁니다. 생성 도구를 쓰면 16자 안팎의 추측하기 어려운 문자열을 순식간에 만들 수 있습니다. 서비스가 기호를 받지 않는 경우에는 영문·숫자만 쓰는 설정으로 바꾸세요.

4. 4

   ④ 저장할 곳을 먼저 정하고 나서 바꾼다

   랜덤한 비밀번호는 외울 수 없습니다. 브라우저의 비밀번호 저장 기능이라도 상관없으니 저장할 곳을 정한 다음 변경에 착수합니다. 이것을 먼저 정하지 않으면 결국 외우기 쉬운 문자열로 돌아가 버립니다.

5. 5

   ⑤ 2단계 인증을 켠다

   비밀번호가 유출되어도 한 단계 더 확인이 있으면 침입당하기 어려워집니다. 인증 앱이나 패스키를 고를 수 있다면 SMS보다 우선해서 설정하세요.

6. 6

   ⑥ 나머지는 쓸 때마다 바꿔 간다

   남은 서비스는 다음에 로그인하는 타이밍에 하나씩 교체합니다. 한꺼번에 하려다 좌절하는 것보다 확실하게 줄일 수 있습니다.

효과가 있는 것 같지만 효과가 없는 요령

공통점은 '사람이 외울 수 있는 형태'에 맞춘 요령은 모두 규칙성을 갖게 된다는 점입니다. 외우기를 포기하고 저장에 맡기는 편이 결과적으로 강한 상태를 만들 수 있습니다.

유출됐을지도 모른다고 생각되면

1. 1

   ① 이메일 계정의 비밀번호를 가장 먼저 바꾼다

   다른 대응보다 먼저입니다. 여기를 지키지 않으면 바꾸자마자 재설정으로 다시 빼앗깁니다.

2. 2

   ② 로그인 기록과 연동 앱을 확인한다

   주요 서비스에는 최근 로그인한 기기나 지역을 확인할 수 있는 화면이 있습니다. 기억나지 않는 기기가 있으면 그 자리에서 로그아웃시킵니다.

3. 3

   ③ 같은 비밀번호를 쓰던 곳을 바꾼다

   유출된 한 곳만 고쳐서는 의미가 없습니다. 같은 조합을 쓰던 서비스를 모두 교체합니다.

4. 4

   ④ 전달 설정·등록 이메일 주소를 점검한다

   탈취의 상투적인 수단으로 메일 자동 전달이나 등록 주소가 몰래 바뀌어 있는 경우가 있습니다. 비밀번호를 바꾼 뒤 반드시 확인하세요.

5. 5

   ⑤ 금전 피해가 있으면 각 회사의 창구에 연락한다

   카드 부정 사용이나 부정 송금은 빨리 신고할수록 보상 대상이 되기 쉽습니다. 시간순으로 메모를 남겨 두면 절차가 순조롭습니다.

자주 묻는 질문

모든 비밀번호를 다르게 하는 건 무리 아닌가요?

전부 외울 필요는 없습니다. 비밀번호 관리자나 브라우저의 저장 기능에 맡기고, 외우는 것은 그 저장소를 여는 마스터 비밀번호 하나로 하는 것이 현실적입니다. 우선 이메일과 결제 관련만이라도 독립시키세요.

브라우저에 비밀번호를 저장해도 괜찮나요?

재사용을 계속하는 것보다는 확실히 안전합니다. 기기에 잠금을 걸고 브라우저의 동기화 계정 자체에 2단계 인증을 설정해 두면 실용상 충분한 방어가 됩니다.

2단계 인증이 있으면 재사용해도 되나요?

추천하지 않습니다. 2단계 인증은 뚫리기 어렵게 하기 위한 추가 벽이고, 비밀번호가 유효한 열쇠라는 것은 변하지 않기 때문입니다. 2단계 인증을 지원하지 않는 서비스도 많아 그곳이 약점이 됩니다.

생성한 비밀번호가 도구 쪽에 남나요?

이 사이트의 비밀번호 생성 도구는 브라우저 안에서 문자열을 만들 뿐, 생성 결과를 전송·저장하지 않습니다. 페이지를 닫으면 결과는 남지 않습니다.