안전한 비밀번호 만드는 법: 길이가 먼저, 재사용은 금물
회원가입을 할 때마다 "대문자, 숫자, 특수문자를 포함해 8자 이상"이라는 안내가 나오고, 그래서 Password1! 같은 비밀번호를 만들어 본 적 있을 거예요. 그런데 이런 비밀번호는 생각보다 쉽게 뚫려요. 안전한 비밀번호에서 정말 중요한 건 길이와 예측 불가능성, 그리고 재사용하지 않는 거예요. 이 글에서는 안전한 비밀번호를 만드는 기준과 관리 방법을 정리했어요.
1. 약한 비밀번호의 전형적인 모습
- 흔한 패턴: 123456, qwerty, password, 1234abcd처럼 많이 쓰는 문자열
- 개인정보 기반: 생일, 전화번호 뒷자리, 이름, 반려동물 이름. 아는 사람이나 SNS를 보는 사람이 추측할 수 있어요
- 규칙적인 변형: password를 P@ssw0rd로 바꾸는 식의 치환은 공격자도 이미 알고 있어요
- 여러 사이트에서 같은 비밀번호: 한 사이트에서 유출되면 다른 사이트도 연쇄적으로 뚫려요
2. 한국 기준과 국제 권고는 어떻게 다를까
우리나라 "개인정보의 안전성 확보조치 기준" 고시에는 개인정보를 취급하는 사람이 쓰는 비밀번호의 작성 규칙이 있어요. 예를 들어 영문·숫자·특수문자 중 2종류 이상을 조합해 10자리 이상, 또는 3종류 이상을 조합해 8자리 이상으로 만드는 방식이에요. 이건 기관과 기업이 개인정보 담당자에게 적용하는 최소 기준이에요.
반면 미국 NIST의 디지털 신원 지침(SP 800-63B)은 다른 접근을 해요. 사용자가 직접 정하는 비밀번호는 최소 8자 이상이어야 하고, 대소문자·특수문자를 섞으라는 식의 구성 규칙은 강요하지 않아야 해요. 또 이유 없이 주기적으로 바꾸게 하지 말고, 이미 유출됐거나 흔히 쓰는 비밀번호 목록과 대조해서 거르라고 권고해요. 복잡하게 섞는 것보다 길고 예측하기 어려운 비밀번호가 낫고, 주기적으로 바꾸게 하면 사람들이 오히려 쉬운 패턴을 쓴다는 판단이에요.
3. 길이가 늘수록 얼마나 안전해질까
무작위로 만든 비밀번호의 안전도는 엔트로피(비트)로 가늠할 수 있어요. 쓸 수 있는 문자가 N종이고 길이가 L이면 엔트로피 = L × log₂N 비트예요. 비트가 1 늘어날 때마다 맞히기 어려움이 두 배가 돼요.
| 구성 | 문자 종류 수 | 8자 | 12자 | 16자 | 20자 |
|---|---|---|---|---|---|
| 영문 대소문자 + 숫자 | 62종 | 약 48비트 | 약 71비트 | 약 95비트 | 약 119비트 |
| 영문 대소문자 + 숫자 + 특수문자 | 약 87종 | 약 52비트 | 약 77비트 | 약 103비트 | 약 129비트 |
같은 12자에서 특수문자를 더하면 71비트에서 77비트로 6비트 늘지만, 12자에서 16자로 길이를 늘리면 26비트가 늘어요. 그래서 특수문자 한 종류를 더하는 것보다 네 글자를 더 길게 만드는 쪽이 훨씬 효과가 커요. 이 표는 문자를 무작위로 뽑았을 때의 계산이에요. 사람이 기억하기 쉽게 만든 단어 조합이나 패턴은 계산값보다 훨씬 약해요.
길이와 문자 종류를 정하면 안전한 무작위 비밀번호를 한 번에 여러 개 만들고, 강도를 엔트로피로 보여 줘요. 생성은 브라우저 안에서만 이뤄져요.
비밀번호 생성기 열기 →4. 기억하기 쉬우면서 긴 비밀번호: 패스프레이즈
사람이 외우는 비밀번호라면 서로 관련 없는 단어 여러 개를 이어 붙인 패스프레이즈가 좋은 방법이에요. 예를 들어 서로 무관한 단어 네다섯 개를 무작위로 골라 붙이면 길이가 길면서 외우기 쉬워요. 핵심은 "노래 가사"나 "좋아하는 문장"처럼 남이 추측할 수 있는 말이 아니라 무작위로 뽑은 단어를 쓰는 거예요.
5. 비밀번호를 지키는 습관
- 사이트마다 다른 비밀번호: 가장 중요한 습관이에요. 하나가 유출돼도 피해가 번지지 않아요.
- 비밀번호 관리자 사용: 사이트마다 긴 무작위 비밀번호를 쓰려면 직접 외울 수 없어요. 브라우저나 전용 앱의 비밀번호 관리자에 맡기고, 마스터 비밀번호만 길게 외우세요.
- 2단계 인증 켜기: 비밀번호가 새어도 문자나 인증 앱 코드가 없으면 로그인할 수 없어요. 이메일, 금융, 클라우드 계정부터 켜세요.
- 유출 알림 확인: 사용 중인 서비스에서 유출 사고 안내가 오면 즉시 바꾸세요. 이유 없이 자주 바꿀 필요는 없어요.
- 종이·메모장에 평문으로 적지 않기: 부득이하다면 집 안의 안전한 곳에 보관하세요.
자주 묻는 질문
비밀번호를 정기적으로 바꿔야 하나요?
NIST는 이유 없이 주기적으로 바꾸게 하지 말라고 권고해요. 유출이 의심되거나 사고 안내를 받았을 때 바꾸는 게 효과적이에요. 다만 회사나 학교처럼 조직 정책이 변경을 요구하면 그 정책을 따르세요.
특수문자는 꼭 넣어야 하나요?
사이트가 요구하면 넣어야 하지만, 보안 측면에서는 길이가 더 중요해요. 특수문자를 하나 더하는 것보다 글자 수를 몇 자 더 늘리는 편이 효과가 커요.
생성기가 만든 비밀번호가 서버에 저장되나요?
PIKOO 비밀번호 생성기는 브라우저의 보안 난수 기능으로 내 기기 안에서만 만들어요. 서버로 보내거나 저장하지 않아요. 그래도 만든 비밀번호는 바로 관리자에 저장하세요.
다른 사람과 비밀번호를 공유해야 한다면요?
가능하면 공유하지 않는 게 좋아요. 부득이할 때는 문자·메신저에 그대로 적지 말고, 공유가 끝나면 즉시 바꾸세요. 가족 구성원이 함께 쓰는 서비스는 비밀번호 관리자의 공유 기능을 쓰는 방법도 있어요.
출처
- 국가법령정보센터 - 개인정보의 안전성 확보조치 기준 (비밀번호 작성규칙) (확인일: 2026-10-07)
- NIST SP 800-63B - Digital Identity Guidelines: Authentication and Lifecycle Management (5.1.1 Memorized Secrets) (확인일: 2026-10-07)
이 글의 설명은 게시일 기준이에요. 도구와 규격은 업데이트될 수 있으니 중요한 작업 전에는 공식 문서를 확인하세요.