비밀번호를 외우는 방식은 이미 실패했습니다

결론부터

비밀번호 관리에서 가장 위험한 것은 약한 비밀번호가 아니라 재사용입니다.

A사이트가 털리면 유출된 이메일과 비밀번호 조합이 다른 사이트에 그대로 시도됩니다. 이걸 크리덴셜 스터핑이라고 부릅니다. 비밀번호가 아무리 복잡해도, 재사용했다면 가장 허술한 사이트의 보안 수준이 내 모든 계정의 수준이 됩니다.

재사용 시 실질 보안 수준가장 약한 사이트복잡도와 무관

사람이 외울 수 있는 개수5~10개실제 계정 수는 보통 수십~수백

해결 방식외우지 않기기억할 비밀번호는 하나만

왜 규칙 만들기는 실패하나

많은 사람이 "사이트 이름 + 고정 문자" 같은 나만의 규칙을 씁니다. naver!Kim2024, google!Kim2024 같은 식입니다.

이 방식은 하나만 유출되면 규칙이 노출됩니다. 공격자가 naver!Kim2024를 손에 넣으면 google!Kim2024를 시도하는 데 아무 어려움이 없습니다. 규칙 기반 비밀번호는 자동 생성 도구의 표준 공격 대상입니다.

관리자가 실제로 하는 일

방식 비교

외우기·메모현재

기억할 개수: 계정 수만큼
재사용: 사실상 불가피
기기 간 동기화: 수동
피싱 사이트 구분: 사람 눈에 의존
유출 감지: 없음

비밀번호 관리자권장

기억할 개수: 1개(마스터)
재사용: 없음. 전부 다른 무작위
기기 간 동기화: 자동
피싱 사이트 구분: 주소가 다르면 자동입력 안 됨
유출 감지: 알림 제공

표로 보기

항목	외우기·메모	비밀번호 관리자
기억할 개수	계정 수만큼	1개(마스터)
재사용	사실상 불가피	없음. 전부 다른 무작위
기기 간 동기화	수동	자동
피싱 사이트 구분	사람 눈에 의존	주소가 다르면 자동입력 안 됨
유출 감지	없음	알림 제공

피싱 방어는 의외로 큰 이점입니다. 사람 눈은 naver.com과 naver-login.com을 헷갈립니다. 관리자는 저장된 주소와 정확히 일치하지 않으면 자동입력을 하지 않습니다. 자동입력이 안 되는 순간이 곧 경고 신호가 됩니다.

고르는 기준

확인 순서

1
제로 지식 구조인가가장 중요
서비스 제공자가 내 비밀번호를 볼 수 없는 구조여야 합니다. 암호화·복호화가 내 기기에서만 일어나는지 확인하십시오.
2
내보내기가 되는가
언제든 전체 데이터를 표준 형식으로 빼낼 수 있어야 합니다. 이게 안 되면 그 서비스에 갇힙니다.
3
쓰는 기기 전부를 지원하는가
한 기기에서라도 안 되면 결국 그 기기에서는 재사용하게 됩니다.
4
2단계 인증을 지원하는가
마스터 비밀번호 하나에 전부 걸려 있으므로, 마스터 계정 자체의 보호가 필수입니다.
5
복구 수단이 있는가놓치기 쉬움
마스터 비밀번호를 잊으면 제로 지식 구조에서는 제공자도 복구해줄 수 없습니다. 복구 키를 물리적으로 보관해야 합니다.

시작하는 순서

전부 한 번에 바꾸려 하면 대부분 중간에 포기합니다. 위험이 큰 순서로 하는 게 맞습니다.

순서	대상	이유
1	이메일 계정	다른 모든 계정의 비밀번호 재설정 통로입니다. 여기가 뚫리면 전부 뚫립니다
2	금융·결제	직접적인 피해
3	본인인증에 쓰는 계정	통신사, 간편인증
4	개인정보가 많은 곳	쇼핑, 클라우드
5	나머지	시간 날 때

이메일이 1번인 이유는 분명합니다. 이메일을 장악하면 나머지는 "비밀번호 찾기"로 순차 접수됩니다. 이메일 계정에는 반드시 2단계 인증을 켜야 합니다.

판단이 갈리는 지점

"브라우저에 저장하는 것으로 충분한가" — 재사용을 없앤다는 점에서는 안 쓰는 것보다 훨씬 낫습니다. 다만 브라우저 프로필이 통째로 노출되면 함께 위험해지고, 브라우저를 바꾸면 이전이 번거롭습니다. 시작점으로는 나쁘지 않되, 이메일·금융 계정만큼은 별도 관리를 권합니다.

"클라우드 동기화가 불안하다" — 로컬 저장 방식도 있습니다. 다만 기기 고장 시 전부 잃을 수 있으므로, 이 경우 백업 계획이 반드시 필요합니다.

확인하지 못한 것

이 글은 특정 제품을 추천하지 않으며, 각 서비스의 보안 구조와 사고 이력은 직접 확인하시기를 권합니다. 관리자 서비스도 침해 사고를 겪은 사례가 있으므로, 마스터 비밀번호의 강도와 2단계 인증이 마지막 방어선이라는 점을 전제로 사용하십시오.