"다들 비밀번호를 실제로 어떻게 보관하지?" 신뢰할 만한 설문 데이터로 그 질문에 답하고, 거기서 거꾸로 안전한 방법을 찾아갑니다. 짧게 말하면, 가장 흔한 보관 습관이 바로 공격자가 노리는 지점입니다.
"다들 어떻게 보관하는가"에 대해 데이터가 말하는 것
수치는 나라와 설문마다 다르지만, 신뢰할 만한 여러 연구가 같은 경향을 보여줍니다.
Security.org의 연례 보고서는 미국 성인의 절반 이상이 관리자가 아닌 방법(암기·브라우저·종이)에 의존한다고 밝힙니다. 브라우저 저장도 늘고 있지만 — 브라우저에 비밀번호를 저장하는 많은 사람이 전용 관리자와의 보안 차이를 인지하지 못합니다.
"남들과 똑같이"가 위험한 이유
흔한 습관은 곧장 재사용, 약한 비밀번호, 분실로 이어지는데 — 이는 바로 공격자가 가장 잘하는 영역입니다.
"암기로 관리"하면 외울 수 있는 만큼만 비밀번호를 두게 되고 — 그래서 같거나 비슷한 것을 재사용합니다. 그러면 한 서비스가 한 번 유출되는 것만으로 공격자가 그 조합을 다른 모든 곳에 시도할 수 있습니다(크리덴셜 스터핑). 침해된 비밀번호 대부분이 재사용이라는 사실은 "외우기 쉬움"을 우선하는 태도가 어떻게 곧바로 연쇄적 함락으로 이어지는지를 보여줍니다.
보관 방법별 안전성
흔하지만 위험
- 암기: 떠올릴 수 있는 범위에 갇힘 → 재사용과 약한 문자열을 부른다
- 종이/포스트잇: 분실·어깨너머 훔쳐보기·사라짐에 취약; 규모가 커지면 무너진다
- 브라우저 저장: 아무것도 안 하는 것보다는 낫지만, 기기 장악에 약하고 모니터링/공유가 빈약하다
- 스프레드시트/메모 앱의 평문: 파일 하나만 유출돼도 전부 노출된다
안전한 방법
- 비밀번호 관리자: 사이트마다 강력하고 고유한 비밀번호를 자동 생성·저장; 가짜 사이트엔 자동 입력하지 않음 = 피싱 저항
- 패스키: 훔칠 수 있는 공유 비밀이 아예 없는 로그인
- MFA: 비밀번호가 유출돼도 악용을 막는다
- 종이는 복구 코드용으로만: 복구 코드 등으로 한정한다
핵심은 "암기나 종이를 그만 쓰라"가 아니라 — 외울 필요 자체를 없애는 것입니다. 관리자는 모든 로그인을 고유하게 만들고 대신 기억해 주므로, 당신은 강력한 마스터 비밀번호 하나(와 그 백업)만 지키면 됩니다.
내 상황에 맞는 보관 방법
원칙적으로는 전용 관리자가 가장 좋지만, 현실적인 선택은 쓰는 기기와 가족 구성에 따라 달라집니다. 계속 쓸 수 있는 것을 고르세요.
| 내 상황 | 권장 보관 장소 | 이유 |
|---|---|---|
| iPhone과 Mac만 쓴다 | 내장 '암호' 앱(iCloud 키체인) | 추가 구독 없이 생성, 자동 입력, 유출 경고 |
| 주로 Android와 Chrome | Google 비밀번호 관리자 | Chrome과 휴대폰에 이미 내장, 비밀번호 점검 기능 포함 |
| Windows와 iPhone처럼 여러 플랫폼을 섞어 쓴다 | 전용 클라우드 비밀번호 관리자 | OS를 넘나드는 하나의 금고 |
| 가족과 계정을 공유한다 | 공유 기능이 있는 전용 관리자 | 메신저나 이메일로 비밀번호를 보내지 않아도 된다 |
| 기기 사용이 서툰 가족 | OS 내장 저장소와, 종이에 적은 복구 정보 | 단계가 적어 계속 쓰기 쉽다. 집의 정해진 곳에 종이 한 장 |
| 업무 계정 | 회사가 지정한 것 | 업무 로그인을 개인 관리자에 섞지 않는다 |
OS 내장 비밀번호 저장소도 암기, 종이, 메모 앱보다 훨씬 안전합니다. 망설여진다면 이미 쓰는 기기의 저장소부터 시작하고, 플랫폼을 넘나들 필요가 생기면 전용 관리자로 옮기세요.
내 보관 습관을 점검하는 방법
10분 정도면 약한 곳을 확인할 수 있습니다.
저장된 비밀번호를 점검한다
Chrome에서는 오른쪽 위 프로필 → "비밀번호"(또는 더보기 → "비밀번호 및 자동 완성" → "Google 비밀번호 관리자") → 왼쪽의 "Checkup"(비밀번호 점검)을 엽니다. 유출된 비밀번호, 재사용된 비밀번호, 약한 비밀번호가 표시됩니다. iPhone에서는 '암호' 앱의 "보안" 항목에 같은 종류의 경고가 모여 있습니다.
평문 사본을 찾는다
메모 앱, 휴대폰 사진(스크린샷), 나에게 보낸 메시지, 스프레드시트나 텍스트 파일에서 "비밀번호", "password", "pass"를 검색합니다. 찾은 것은 제대로 된 저장소로 옮긴 뒤, 휴지통까지 포함해 원본을 삭제합니다.
중요한 계정의 재사용부터 고친다
1단계에서 경고가 많이 나와도 한꺼번에 고칠 필요는 없습니다. 이메일, Apple/Google 계정, 은행, 쇼핑부터 바꾸세요.
직접 정해야 하는 비밀번호의 강도를 확인한다
마스터 비밀번호처럼 직접 정해야 하는 것은 비밀번호 강도 검사기로 길이와 추측 가능성을 확인하세요.
흔한 실수와 고치는 법
- 마지막 숫자만 바꿔서 변경한다: 이전 비밀번호에서 쉽게 추측됩니다. 완전히 다른 것으로, 그리고 유출 통지를 받았을 때만 바꾸세요.
- "강한 비밀번호 하나를 모든 곳에": 한 곳에서 유출되면 모든 계정이 드러나므로 강도는 의미가 없습니다. 서비스마다 다른 것을 쓰세요.
- 관리자로 가져온 뒤에도 예전 메모나 스프레드시트를 남겨 둔다: 가져온 뒤에는 평문 원본을 삭제하세요.
- 복구 코드를 관리자 안에만 보관한다: 잠겼을 때 꺼낼 수 없습니다. 복구 코드는 종이 등 다른 곳에도 보관하세요.
실제 사례: 보관 방식이 피해를 좌우했다
이 사이트의 사고 해설 중, 보관과 재사용이 피해로 직결된 두 사례입니다.
- Takufile-bin(2019년): 운영자가 로그인 비밀번호를 평문으로 저장하고 있었고, 약 480만 건의 기록과 함께 유출되었습니다. 그 비밀번호를 다른 곳에서도 재사용한 사용자는 그곳에서도 위험해졌습니다. 사용자가 할 수 있었던 일은 서비스마다 다른 비밀번호를 쓰는 것입니다.
- 7pay(2019년): 2단계 인증이 없어 ID와 비밀번호만으로 로그인할 수 있었습니다. 다른 곳에서 유출된 비밀번호를 재사용하고 있었다면 그대로 들어갈 수 있었습니다. 사용자 측에서는 재사용을 멈추고, 제공되는 곳에서는 2단계 인증을 켜는 것이 도움이 됩니다.
두 경우 모두 운영자 측에 결함이 있었지만, 서비스마다 다른 비밀번호를 쓴 사용자는 다른 계정으로 피해가 번지는 것을 막을 수 있었습니다.
다음으로 읽기
- 유출 확인: 내 비밀번호가 유출됐는지 확인하는 법(Have I Been Pwned)
- 실전: 비밀번호 관리자 고르는 법 (외울 필요를 없애는 기본 단계)
- 흔한 질문: 비밀번호를 Google Drive에 저장해도 안전한가?
- 다음 단계: 패스키란 무엇인가 / MFA 고르는 법
- 만드는 쪽: 비밀번호를 안전하게 저장하는 법(해싱과 솔트)
출처
- Security.org, "Password Manager Annual Report (2024)": security.org
- Bitwarden, "World Password Day Global Survey (2024)": bitwarden.com
- Verizon, "2024 Data Breach Investigations Report (DBIR)": verizon.com
- NIST, "SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management"(2025년 8월): pages.nist.gov
- Google, "Check if your passwords have been exposed or are weak"(비밀번호 점검): support.google.com
- Apple Platform Security, "Password security recommendations": support.apple.com