비밀번호 관리하기

쉽게 말하면

비밀번호를 돌려쓰는 건 앞문 열쇠로 금고까지 열리게 만들어 둔 것과 같아요. 편하려고 그렇게 하는데, 사고가 나면 한 번에 다 열려요.

사고는 이 순서로 일어나요

누가 사장님을 노려서 찍어 뚫는 일은 드물어요. 대부분은 남의 사고에 딸려 들어가는 방식이에요. 순서가 거의 똑같아요.

1. 1사장님이 몇 년 전에 가입한 어느 쇼핑몰이나 카페 사이트가 털려요. 사장님 잘못이 아니에요. 그 회사가 털린 거예요.
2. 2거기 저장돼 있던 이메일 주소와 비밀번호 목록이 통째로 유출돼요. 이런 목록은 실제로 거래되고, 공개된 곳에 그냥 쌓이기도 해요.
3. 3누군가 그 목록을 받아서 자동으로 다른 사이트에 하나씩 넣어 봐요. 사람이 아니라 프로그램이 밤새 돌려요. 결제사, 도메인 회사, 이메일, 클라우드 순으로요.
4. 4사장님이 같은 비밀번호를 썼던 곳에서 문이 열려요. 여기서 처음으로 사장님 일이 돼요.
5. 5도메인이나 업무 이메일이 넘어가면 나머지는 시간문제예요. 비밀번호 찾기 메일이 전부 그 이메일로 오니까요.

그래서 대책의 핵심은 "뚫리지 않게 하기"가 아니라 "한 곳이 뚫려도 거기서 끝나게 하기" 예요. 비밀번호를 다 다르게 쓰는 이유가 이거 하나예요.

AI에게 그대로 말하세요

사장님이 직접 코드를 고칠 일은 없어요. 보이는 증상을 그대로 말하면 돼요. 아래 표의 오른쪽 문장을 복사해서 붙여 쓰셔도 돼요. 전문 용어를 외울 필요 없어요.

내 열쇠 목록 만들기

관리 앱을 깔기 전에 종이 한 장으로 등급을 나눠 보세요. 다 같은 무게가 아니에요. 아래가 흔한 순서예요.

3순위가 아무 문제 없다는 뜻이 아니에요. 3순위에서 새어 나온 비밀번호가 1순위를 여는 경로가 되기 때문에 목록에 넣는 거예요. 그래서 위아래 비밀번호를 절대 같게 쓰지 않아요.

실제로 이런 장면이 나와요

지금은 신경 쓰지 않아도 되는 때

겁을 줘서 뭔가 하게 만드는 문서가 되고 싶지 않아서 솔직하게 적어요. 아래에 해당하면 지금은 넘어가세요. 나중에 필요해질 때 다시 오면 돼요.

마지막 줄이 이 섹션의 핵심이에요. 완벽한 도구를 고르는 시간이 사고 위험보다 비쌀 때가 많아요. 브라우저나 휴대폰에 이미 붙어 있는 저장 기능으로 시작해서, 계정이 스무 개를 넘고 직원이 생기면 그때 전용 앱으로 옮기세요.

직원·외주와 나눠 쓸 때

혼자 쓸 때보다 어려운 게 이 부분이에요. 사람이 늘면 비밀번호가 카톡방과 메모지로 퍼져요. 순서만 지키면 돼요.

1. 1비밀번호를 나눠 주지 말고 계정을 나눠 줘요. 서비스가 사람별 계정을 지원하면 그걸 쓰고, 아직 없으면 앞의 표에 있는 문장으로 만들어 달라고 하면 돼요.
2. 2필요한 만큼만 열어 줘요. 주문만 보는 사람에게 정산 화면까지 줄 필요는 없어요. 등급을 나누는 이야기는 권한 나누기에서 깊이 다뤄요.
3. 3꼭 비밀번호를 전달해야 하면 기록이 남는 곳을 피해요. 단체 카톡방과 이메일은 영구 기록이에요. 전화로 말하고 화면에서는 지우는 편이 나아요.
4. 4그만두는 날에 끄는 것을 일정에 넣어요. 나중에 하려고 두면 대부분 안 해요. 마지막 근무일 체크리스트에 한 줄 넣어 두세요.
5. 5결제·도메인 계정은 끝까지 사장님만 가져요. 여기까지 나눠 주면 되찾는 데 회사 상대로 증빙을 해야 해요.

손님 비밀번호는 다른 이야기예요

여기까지는 사장님이 쓰는 비밀번호 이야기였어요. 사장님 서비스에 손님이 가입한다면 손님 비밀번호를 보관하는 쪽 이야기가 하나 더 생겨요. 무게가 다른 이유는 남의 것을 맡아 두는 일이라서예요.

핵심은 하나예요. 손님 비밀번호를 원래 글자 그대로 저장하지 않아요. 되돌릴 수 없게 섞어서 저장하고, 로그인할 때는 같은 방식으로 섞어서 결과가 맞는지만 비교해요. 그러면 사장님도, 사장님 데이터베이스를 훔친 사람도 원래 글자를 알 수 없어요.

판단 기준도 간단해요. 사장님 서비스가 손님에게 "당신 비밀번호는 abc123입니다"라고 알려 줄 수 있으면 잘못 저장된 거예요. 제대로 만들어졌으면 알려 줄 수가 없고, 새로 정하게만 할 수 있어요.

자주 묻는 것

Q. 브라우저에 비밀번호를 저장하면 위험하다고 들었어요

"돌려쓰기"보다는 훨씬 안전해요. 다만 그 컴퓨터에 남이 앉을 수 있으면 위험해요. 컴퓨터 자체에 잠금을 걸어 두고, 매장 공용 컴퓨터에는 1순위 계정을 저장하지 마세요. 그 조건이 지켜지면 전용 앱을 안 써도 괜찮아요.

Q. 비밀번호는 얼마나 길어야 해요?

특수문자를 억지로 섞은 짧은 것보다 긴 것이 훨씬 강해요. 뜻이 이어지지 않는 단어 네 개를 붙인 것도 좋아요. 관리 앱을 쓴다면 앱이 만들어 주는 무작위 문자열이 제일 좋아요. 어차피 외울 필요가 없으니까요.

Q. 2단계 인증이 정확히 뭐예요?

비밀번호 말고 하나를 더 확인하는 것이에요. 보통 휴대폰에 뜨는 숫자 여섯 자리예요. 비밀번호가 이미 털렸어도 휴대폰이 없으면 못 들어와요. 앞에서 말한 1순위 세 계정에는 꼭 켜세요. 로그인 방식 자체가 궁금하면 로그인 만들기를 보세요.

Q. 문자로 오는 인증번호랑 인증 앱 중에 뭐가 나아요?

둘 다 안 켠 것보다 훨씬 낫고, 인증 앱이 조금 더 안전해요. 휴대폰 번호를 가로채는 수법이 있어서요. 다만 처음에는 문자로 켜 두는 것도 충분해요. 완벽을 기다리다 안 켜는 게 제일 나빠요.

Q. 관리 앱 하나에 다 넣으면 그게 털리면 끝 아닌가요?

합리적인 걱정이에요. 그래서 꾸러미 비밀번호는 다른 어디에도 쓰지 않는 하나로 정하고, 꾸러미 계정에도 2단계 인증을 켜요. 그리고 비교해 보세요. 지금 열 곳에 같은 비밀번호를 쓰고 있으면 위험한 문이 열 개예요. 꾸러미는 한 개고 잠금이 두 겹이에요.

Q. 서비스에 넣는 API 키도 이 앱에 넣나요?

사람이 보는 사본은 넣어 두면 좋아요. 다만 프로그램이 읽는 자리는 따로예요. 그건 환경변수와 API 키 쪽 이야기예요. 두 곳에 다 두는 게 정석이에요.

Q. 비밀번호를 종이에 적어서 금고에 넣는 건요?

인터넷으로 훔칠 수 없으니 나쁘지 않아요. 실제로 도메인·결제 계정 복구 코드는 종이 보관을 권하는 곳도 있어요. 단 매장 계산대 밑 메모지는 금고가 아니에요.

Q. 이미 오래 돌려쓴 비밀번호가 있어요. 다 바꿔야 하나요?

한 번에 다 하려면 안 하게 돼요. 1순위 세 개만 오늘 바꾸세요. 나머지는 다음에 그 사이트에 로그인할 때 하나씩 바꾸면 몇 달 안에 정리돼요.

헷갈리기 쉬운 것

복잡한 비밀번호 = 안전한 비밀번호? 꼭 그렇지 않아요. 복잡하면 외우기 어려워서 결국 한 개를 만들어 전부에 돌려쓰게 돼요. 다 다르게 쓰는 것이 복잡하게 쓰는 것보다 중요해요.

비밀번호를 바꿨으니 안심? 이미 로그인해 있던 창은 그대로 살아 있는 경우가 많아요. 그래서 사고 뒤에는 비밀번호 변경과 함께 "로그인된 기기 전부 로그아웃" 을 같이 눌러요.

관리 앱과 자동 로그인은 같은 것? 달라요. 자동 로그인은 문을 열어 둔 상태예요. 관리 앱은 문은 잠긴 채로 열쇠를 꺼내 주는 거예요. 공용 컴퓨터에서는 자동 로그인을 끄고 관리 앱만 쓰세요.