비밀번호를 외우는 방식은 이미 실패했습니다

결론부터

비밀번호 관리에서 가장 위험한 것은 약한 비밀번호가 아니라 재사용입니다.

A사이트가 털리면 유출된 이메일과 비밀번호 조합이 다른 사이트에 그대로 시도됩니다. 이걸 크리덴셜 스터핑이라고 부릅니다. 비밀번호가 아무리 복잡해도, 재사용했다면 가장 허술한 사이트의 보안 수준이 내 모든 계정의 수준이 됩니다.

재사용 시 실질 보안 수준가장 약한 사이트복잡도와 무관

사람이 외울 수 있는 개수5~10개실제 계정 수는 보통 수십~수백

해결 방식외우지 않기기억할 비밀번호는 하나만

왜 규칙 만들기는 실패하나

많은 사람이 "사이트 이름 + 고정 문자" 같은 나만의 규칙을 씁니다. naver!Kim2024, google!Kim2024 같은 식입니다.

이 방식은 하나만 유출되면 규칙이 노출됩니다. 공격자가 naver!Kim2024를 손에 넣으면 google!Kim2024를 시도하는 데 아무 어려움이 없습니다. 규칙 기반 비밀번호는 자동 생성 도구의 표준 공격 대상입니다.

계산 예시 — 재사용이 피해를 몇 배로 키우나

위 카드의 숫자를 그대로 넣어 봅니다. 계정이 100개이고 사람이 외울 수 있는 비밀번호가 5개라면, 한 비밀번호가 평균 20개 계정에 쓰입니다.

유출 1건이 노출하는 계정 수: 100 ÷ 5 = 20개
외우는 개수를 10개로 늘려도: 100 ÷ 10 = 10개
관리자로 전부 다른 값을 쓰면: 1개

외우는 개수를 두 배로 늘려도 피해는 절반밖에 줄지 않습니다. 반면 재사용을 없애면 피해가 1개로 고정됩니다. 노력을 더 하는 방향이 아니라 구조를 바꾸는 방향이 효과가 큰 이유입니다.

길이의 효과도 숫자로 보면 분명합니다. 영문 대소문자와 숫자 62종으로 만든 비밀번호의 조합 수는 8자리에서 62의 8제곱, 약 2.2×10¹⁴개입니다. 12자리면 62의 12제곱, 약 3.2×10²¹개입니다. 4자리를 늘리면 조합이 약 1,478만 배로 늘어납니다. 사람은 12자리 무작위 문자열을 수십 개 외울 수 없지만, 관리자는 자리수를 늘려도 비용이 들지 않습니다. 이 계산은 순수 조합 수이며, 유출된 비밀번호 목록을 먼저 시도하는 실제 공격에서는 "무작위인가"가 "길이"보다 먼저 작용합니다.

관리자가 실제로 하는 일

방식 비교

외우기·메모현재

기억할 개수: 계정 수만큼
재사용: 사실상 불가피
기기 간 동기화: 수동
피싱 사이트 구분: 사람 눈에 의존
유출 감지: 없음

비밀번호 관리자권장

기억할 개수: 1개(마스터)
재사용: 없음. 전부 다른 무작위
기기 간 동기화: 자동
피싱 사이트 구분: 주소가 다르면 자동입력 안 됨
유출 감지: 알림 제공

표로 보기

항목	외우기·메모	비밀번호 관리자
기억할 개수	계정 수만큼	1개(마스터)
재사용	사실상 불가피	없음. 전부 다른 무작위
기기 간 동기화	수동	자동
피싱 사이트 구분	사람 눈에 의존	주소가 다르면 자동입력 안 됨
유출 감지	없음	알림 제공

피싱 방어는 의외로 큰 이점입니다. 사람 눈은 naver.com과 naver-login.com을 헷갈립니다. 관리자는 저장된 주소와 정확히 일치하지 않으면 자동입력을 하지 않습니다. 자동입력이 안 되는 순간이 곧 경고 신호가 됩니다.

고르는 기준

확인 순서

1
제로 지식 구조인가가장 중요
서비스 제공자가 내 비밀번호를 볼 수 없는 구조여야 합니다. 암호화·복호화가 내 기기에서만 일어나는지 확인하십시오.
2
내보내기가 되는가
언제든 전체 데이터를 표준 형식으로 빼낼 수 있어야 합니다. 이게 안 되면 그 서비스에 갇힙니다.
3
쓰는 기기 전부를 지원하는가
한 기기에서라도 안 되면 결국 그 기기에서는 재사용하게 됩니다.
4
2단계 인증을 지원하는가
마스터 비밀번호 하나에 전부 걸려 있으므로, 마스터 계정 자체의 보호가 필수입니다.
5
복구 수단이 있는가놓치기 쉬움
마스터 비밀번호를 잊으면 제로 지식 구조에서는 제공자도 복구해줄 수 없습니다. 복구 키를 물리적으로 보관해야 합니다.

이 다섯 가지는 유료·무료, 브랜드와 무관하게 적용되는 구조 기준입니다. 단가로 비교하는 클라우드 저장공간과 달리, 비밀번호 관리자는 가격보다 **나갈 수 있는가(내보내기)**와 제공자가 볼 수 없는가(제로 지식) 두 가지가 선택의 대부분을 결정합니다. 가격 차이는 대체로 월 몇천 원 안이고, 구조 차이는 되돌리기 어렵습니다.

시작하는 순서

전부 한 번에 바꾸려 하면 대부분 중간에 포기합니다. 위험이 큰 순서로 하는 게 맞습니다.

순서	대상	이유
1	이메일 계정	다른 모든 계정의 비밀번호 재설정 통로입니다. 여기가 뚫리면 전부 뚫립니다
2	금융·결제	직접적인 피해
3	본인인증에 쓰는 계정	통신사, 간편인증
4	개인정보가 많은 곳	쇼핑, 클라우드
5	나머지	시간 날 때

이메일이 1번인 이유는 분명합니다. 이메일을 장악하면 나머지는 "비밀번호 찾기"로 순차 접수됩니다. 이메일 계정에는 일반적으로 2단계 인증을 함께 켜야 합니다.

1~3번까지 바꾸는 데 걸리는 시간은 대체로 한 시간 안입니다. 계정이 100개라도 위험이 큰 상위 10개를 먼저 바꾸면, 재사용으로 노출되는 계정 수는 위 계산의 20개에서 크게 줄어듭니다. 나머지 90개는 로그인할 때마다 하나씩 바꾸면 됩니다. 한 번에 끝내지 않아도 순서만 맞으면 첫날부터 효과가 납니다.

판단이 갈리는 지점

"브라우저에 저장하는 것으로 충분한가" — 재사용을 없앤다는 점에서는 안 쓰는 것보다 훨씬 낫습니다. 다만 브라우저 프로필이 통째로 노출되면 함께 위험해지고, 브라우저를 바꾸면 이전이 번거롭습니다. 시작점으로는 나쁘지 않되, 이메일·금융 계정만큼은 별도 관리를 권합니다.

"클라우드 동기화가 불안하다" — 로컬 저장 방식도 있습니다. 다만 기기 고장 시 전부 잃을 수 있으므로, 이 경우 백업 계획이 일반적으로 필요합니다.

조건	이쪽이면	저쪽이면
계정 수	10개 미만: 외워서 전부 다르게 쓰는 것이 가능한 범위	10개를 넘으면 재사용이 시작되고 관리자가 필요해집니다
사용 기기	1대, 브라우저 1종: 브라우저 저장으로 시작 가능	2대 이상·운영체제 혼용: 독립 관리자가 동기화 문제를 줄입니다
가족 공유	없음: 개인용으로 충분	공용 계정(공과금·구독)이 있으면 공유 기능이 선택 기준이 됩니다
복구 수단 보관	종이에 적어 보관할 수 있다: 제로 지식 구조가 적합	물리 보관이 어렵다: 복구 절차가 있는 방식을 먼저 확인

자주 묻는 질문

Q. 마스터 비밀번호는 어떻게 만들어야 하나요? A. 외워야 하는 유일한 비밀번호이므로 길이를 우선합니다. 관련 없는 단어 네다섯 개를 이어 붙인 문장형이 길고도 기억하기 쉽습니다. 다른 어디에도 쓰지 않은 값이어야 하고, 관리자 계정 자체에 2단계 인증을 함께 켜는 것이 일반적입니다.

Q. 관리자 서비스가 해킹되면 전부 뚫리는 것 아닌가요? A. 제로 지식 구조라면 서버에 저장된 것은 암호화된 덩어리이고, 푸는 열쇠는 마스터 비밀번호에서만 나옵니다. 그래서 마스터 비밀번호의 강도가 마지막 방어선입니다. 사고 이력이 있는 서비스라면 그때 무엇이 유출됐고 어떻게 공개했는지를 확인하는 편이 낫습니다.

Q. 휴대폰을 잃어버리면 계정에 못 들어가나요? A. 동기화형이라면 다른 기기에서 마스터 비밀번호와 2단계 인증으로 다시 들어갈 수 있습니다. 문제는 2단계 인증 앱이 그 휴대폰에만 있을 때입니다. 복구 코드를 종이로 따로 보관해 두면 이 상황을 피할 수 있습니다.

확인하지 못한 것

이 글은 특정 제품을 추천하지 않으며, 각 서비스의 보안 구조와 사고 이력은 직접 확인하시기를 권합니다. 관리자 서비스도 침해 사고를 겪은 사례가 있으므로, 마스터 비밀번호의 강도와 2단계 인증이 마지막 방어선이라는 점을 전제로 사용하십시오.

이 글의 계정 100개·비밀번호 5개 계산은 구조를 보여주기 위한 가정이며, 국내 이용자의 평균 계정 수나 재사용률을 조사한 통계를 인용한 것은 아닙니다. 조합 수 계산은 순수 수학이며 실제 공격의 성공 확률과는 다릅니다.

2026-09-20 갱신: 재사용 피해 배수와 조합 수 계산 예시, 조건별 판단 표, 자주 묻는 질문을 추가했습니다.