내 개인정보, 어떻게 지킬까? 유출 방지를 위한 필수 습관
전 세계에서 매일 수백만 건의 계정 정보가 유출된다. 한국인터넷진흥원(KISA) 자료에 따르면 개인정보 침해 신고 건수는 매년 꾸준히 증가하는 추세이며, 피해자 대부분은 '내가 표적이 될 줄 몰랐다'고 말한다. 문제는 해커가 특별한 누군가를 노리는 게 아니라는 점이다. 자동화된 도구가 무작위로 수십억 개의 계정을 훑고, 취약한 비밀번호 하나가 도미노처럼 다른 계정까지 무너뜨린다.
시작 전에 확인해야 할 것들 — 내 정보는 이미 유출됐을까?
유출 여부를 먼저 파악하라
'Have I Been Pwned'(haveibeenpwned.com)는 이메일 주소를 입력하면 해당 계정이 알려진 데이터 유출 사고에 포함됐는지 즉시 확인해주는 서비스다. 수십억 건의 유출 데이터를 색인화해 놓은 이 사이트는 보안 연구자 트로이 헌트가 운영하며, 실제로 신뢰할 수 있는 도구로 널리 인정받고 있다. 이메일을 입력했을 때 빨간 화면이 뜬다면, 지금 당장 해당 계정의 비밀번호를 바꿔야 한다.
어떤 정보가 위험에 노출되는가
유출되는 정보는 단순한 이메일·비밀번호 조합에 그치지 않는다. 전화번호, 주소, 생년월일, 심지어 신용카드 정보까지 포함되는 경우가 많다. 이 정보들이 조합되면 '크리덴셜 스터핑(credential stuffing)'이라 불리는 공격에 쓰인다. 공격자가 유출된 아이디·비밀번호 쌍을 다른 사이트에 자동으로 대입해보는 방식이다.
비밀번호를 제대로 관리하는 방법
비밀번호 관리자를 쓰지 않으면 결국 같은 비밀번호를 쓰게 된다
사람이 기억할 수 있는 복잡한 비밀번호의 수는 한계가 있다. 그래서 대부분의 사람들은 하나의 비밀번호를 여러 사이트에 돌려쓴다. 이게 바로 가장 흔한 실수다. 비밀번호 관리자(Bitwarden, 1Password 등)를 사용하면 각 사이트마다 완전히 다른 무작위 비밀번호를 자동으로 생성하고 저장해준다.
강력한 비밀번호의 실제 조건
길이가 복잡성보다 중요하다. 'P@ssw0rd!'처럼 특수문자를 넣은 8자리 비밀번호보다, 'correct-horse-battery-staple' 같은 무작위 단어 4개 조합이 실제로 더 강력하다. 이는 암호 전문가들이 수십 년간 강조해온 사실인데, 아직도 많은 사이트가 '특수문자 포함 8자 이상'이라는 낡은 기준을 고집한다. 가능하면 20자 이상의 무작위 문자열을 비밀번호 관리자로 생성해 사용하는 것이 가장 안전하다.
비밀번호 관리자의 마스터 비밀번호 하나만 기억하면 된다. 나머지는 전부 기계가 만들고 기계가 기억한다.
2단계 인증(2FA)은 선택이 아니라 기본값이다
2단계 인증을 활성화하면 비밀번호가 유출되더라도 공격자가 계정에 접근하기 훨씬 어려워진다. SMS 인증보다는 Google Authenticator나 Authy 같은 앱 기반 OTP가 더 안전하다. SIM 스와핑 공격(공격자가 통신사를 속여 피해자의 전화번호를 자신의 SIM으로 옮기는 수법)이 SMS 인증을 무력화할 수 있기 때문이다.
일상에서 개인정보를 지키는 실천 습관
공공 와이파이에서 절대 하지 말아야 할 것들
카페나 공항의 무료 와이파이는 편리하지만, 같은 네트워크에 접속한 누군가가 트래픽을 엿볼 수 있는 환경이다. 인터넷 뱅킹, 이메일 로그인, 쇼핑 결제는 공공 와이파이에서 하지 않는 것이 원칙이다. 꼭 써야 한다면 VPN을 먼저 켜라. VPN은 트래픽을 암호화해 같은 네트워크의 다른 사용자가 내용을 볼 수 없게 만든다.
피싱 메일을 구별하는 실용적인 방법
피싱 메일의 수준이 날로 정교해지고 있다. 예전처럼 맞춤법이 엉망인 메일만 조심해서는 안 된다. 핵심 확인 포인트는 발신자 이메일 주소의 도메인이다. 'naver.com'처럼 보이지만 실제로는 'naver-support.xyz' 같은 주소인 경우가 많다. 링크를 클릭하기 전에 마우스를 올려 실제 URL을 확인하는 습관을 들이면 대부분의 피싱을 걸러낼 수 있다.
실제로 2023년 국내에서 대형 택배사를 사칭한 피싱 문자가 대규모로 유포된 사례가 있었다. 수신자가 링크를 클릭하면 악성 앱이 설치되고, 문자 인증번호까지 탈취되는 구조였다. 문자 속 링크는 원칙적으로 클릭하지 않는 것이 가장 안전하다.
피싱의 목표는 당신을 속이는 게 아니라 당신이 서두르게 만드는 것이다. '지금 당장 확인하지 않으면 계정이 정지됩니다'라는 문구가 보이면 일단 멈춰라.
앱 권한 설정을 정기적으로 점검하라
스마트폰에 설치된 앱들이 요구하는 권한을 마지막으로 확인한 게 언제인가. 손전등 앱이 연락처 접근 권한을 요구하거나, 게임 앱이 마이크 권한을 갖고 있다면 이미 문제다. iOS와 안드로이드 모두 설정 메뉴에서 앱별 권한을 확인하고 불필요한 것은 차단할 수 있다. 3개월에 한 번씩 점검하는 것을 권장한다.
개인정보 유출 사고를 예방하는 고급 습관
이메일 별칭(alias)으로 실제 주소를 숨겨라
회원가입할 때마다 실제 이메일 주소를 입력하면, 그 사이트가 해킹될 때 내 주소가 스팸 목록에 오른다. SimpleLogin이나 Apple의 'Hide My Email' 기능을 사용하면 각 사이트마다 다른 별칭 주소를 만들 수 있다. 어떤 사이트에서 유출이 발생했는지도 바로 파악할 수 있고, 해당 별칭만 삭제하면 그만이다.
신용카드 가상번호 활용하기
온라인 결제 시 실제 카드 번호 대신 가상 카드 번호를 사용하는 방법이 있다. 일부 카드사와 핀테크 서비스에서 이 기능을 제공하며, 특정 가맹점에서만 사용 가능한 일회성 번호를 발급받을 수 있다. 쇼핑몰이 해킹되더라도 실제 카드 정보는 노출되지 않는다.
소셜미디어에서 노출되는 정보를 의식하라
생년월일, 전화번호, 거주 지역, 직장 정보를 소셜미디어 프로필에 공개하는 것은 보안 질문의 답을 공개하는 것과 같다. 많은 서비스의 계정 복구 질문이 '어머니의 성함', '첫 번째 학교 이름' 같은 정보를 묻는데, 이런 것들이 소셜미디어에 이미 올라와 있는 경우가 많다.
(Opinion: 보안 질문 자체가 구조적으로 취약한 설계다. '어머니의 성함'은 비밀이 아니다. 보안 질문에는 실제 답 대신 무작위 문자열을 입력하고 비밀번호 관리자에 저장해두는 것이 훨씬 현명하다.)
자주 묻는 질문
개인정보가 이미 유출됐다면 어떻게 해야 하나요?
먼저 유출된 계정의 비밀번호를 즉시 변경하고, 같은 비밀번호를 사용한 다른 계정도 모두 바꿔야 한다. 금융 정보가 포함된 경우 해당 카드사나 은행에 연락해 카드 재발급을 요청하는 것이 안전하다. 한국인터넷진흥원(KISA)의 개인정보침해 신고센터(국번 없이 118)에 신고할 수도 있다.
비밀번호 관리자 자체가 해킹되면 어떻게 되나요?
실제로 일부 비밀번호 관리자 서비스가 침해를 당한 사례가 있었다. 그러나 잘 설계된 서비스는 마스터 비밀번호로 암호화된 데이터만 저장하기 때문에, 서버가 털려도 공격자는 암호화된 덩어리만 얻는다. 마스터 비밀번호를 강력하게 설정하고 2단계 인증을 활성화하면 이 위험을 크게 줄일 수 있다.
VPN을 쓰면 개인정보가 완전히 보호되나요?
VPN은 네트워크 트래픽을 암호화해 같은 와이파이 사용자나 인터넷 서비스 제공업체(ISP)로부터 내용을 숨겨주지만, 만능 해결책은 아니다. VPN 제공업체 자체가 로그를 기록할 수 있고, 피싱 사이트 방문이나 악성 앱 설치를 막아주지는 못한다. VPN은 여러 보안 습관 중 하나일 뿐이다.
개인정보 보호는 한 번 설정하면 끝나는 일이 아니다. 새로운 서비스에 가입할 때마다, 새 앱을 설치할 때마다, 낯선 링크를 받을 때마다 판단이 필요하다. 귀찮다는 느낌이 드는 그 순간이 정확히 공격자가 노리는 틈이다. 보안 습관이 자동화될수록, 그 틈은 좁아진다.
댓글
댓글 쓰기