비밀번호에 관한 흔한 오해 10가지 (최신 기준 팩트체크)

작성: 손님랩 보안팀최종 업데이트: 2026-07-07

비밀번호에 관한 상식 중에는 한때는 맞았지만 지금은 틀린 것, 그리고 처음부터 근거가 약했던 것이 뒤섞여 있습니다. 이 글은 널리 퍼진 통념을 미국 국립표준기술연구소(NIST)의 디지털 신원 지침(SP 800-63B)처럼 현재 국제적으로 통용되는 보안 기준에 비추어 하나씩 검증합니다. 결론부터 말하면, 우리가 ‘복잡하고 귀찮게’ 지켜 온 규칙 상당수는 오히려 보안을 약화시키고 있었습니다.

오해 vs 진짜 권고 한눈에 보기

1. “90일마다 바꿔야 안전하다” — 오해

오랫동안 상식처럼 여겨졌지만, 지금은 권장되지 않습니다. 사람은 강제로 자주 바꾸라고 하면 password1 → password2처럼 기존 것을 살짝 비트는 예측 가능한 변형을 만듭니다. NIST는 유출 정황이 확인됐을 때만 변경하고, 그렇지 않다면 강한 비밀번호를 유지하도록 권고합니다.

2. “특수문자를 꼭 넣어야 강하다” — 오해

특수문자 강제 규칙(구성 규칙)은 강도에 생각만큼 기여하지 않습니다. 8자리에 억지로 ! 하나 끼운 비밀번호보다, 특수문자 없이도 16자로 긴 비밀번호가 훨씬 강합니다. 진짜 지렛대는 길이와 무작위성입니다. 실제로 얼마나 차이 나는지는 강도 검사기에서 직접 확인해 보세요.

3. “복잡한 치환이 안전하다” — 오해

a→@, o→0, i→1 같은 치환은 누구나 아는 규칙이라, 공격 도구가 이미 자동으로 대입합니다. P@ssw0rd는 password만큼이나 빨리 뚫립니다. 기억하기 쉬운 규칙은 공격자에게도 쉽습니다.

4. “비밀번호는 외워야 안전하다” — 오해

모든 계정에 다른 비밀번호를 쓰려면 수십 개를 외워야 하는데, 이는 불가능하므로 결국 재사용하게 됩니다. 재사용이야말로 가장 위험합니다. 검증된 비밀번호 관리자에 저장하면 마스터 비밀번호 하나만 기억하면 되고, 나머지는 모두 길고 무작위하게 유지할 수 있습니다.

5. “브라우저·관리자에 저장하면 위험하다” — 대체로 오해

현대의 전용 비밀번호 관리자와 주요 브라우저의 저장 기능은 데이터를 암호화해 보관합니다. 전용 관리자가 더 안전하지만, 아무 데도 저장하지 않고 같은 비밀번호를 재사용하는 것보다는 브라우저 저장이라도 훨씬 낫습니다.

6. “2FA만 있으면 비밀번호는 대충 써도 된다” — 오해

2단계 인증은 강력한 방어선이지만 만능은 아닙니다. 실시간 피싱이나 일부 공격은 2FA를 우회할 수 있고, 비밀번호가 약하면 방어선이 하나로 줄어듭니다. 강한 비밀번호와 2FA는 함께 써야 합니다. 자세한 내용은 2단계 인증 가이드를 참고하세요.

7. “내 계정은 털릴 게 없다” — 오해

별것 없어 보이는 계정도 공격자에게는 가치가 있습니다. 재사용된 비밀번호로 당신의 이메일·은행을 시도하는 발판이 되고, 계정을 스팸 발송이나 지인 사칭에 악용할 수 있습니다. ‘중요하지 않은 계정’이라는 생각이 가장 위험합니다.

8. “길이는 짧아도 규칙이 있으면 된다” — 오해

이름 + 생년 + 특수문자 같은 개인 규칙은 SNS 몇 번만 뒤지면 유추됩니다. 규칙이 있는 짧은 비밀번호보다, 규칙 없는 긴 패스프레이즈가 훨씬 안전하고 외우기도 쉽습니다.

9. “유출 사고는 대기업에서만 난다” — 오해

소규모 사이트일수록 보안 투자가 적어 오히려 더 쉽게 뚫리기도 합니다. 그리고 어디서 유출되든, 그 비밀번호를 다른 곳에 재사용했다면 피해는 당신의 모든 계정으로 번집니다. 규모가 아니라 재사용 여부가 문제입니다.

10. “보안 질문·비밀번호 힌트가 도움이 된다” — 오해

‘어머니 성함’, ‘출신 초등학교’ 같은 보안 질문의 답은 SNS나 공개 정보로 알아내기 쉬워, 오히려 취약점이 됩니다. NIST도 이런 지식 기반 인증을 권장하지 않습니다. 힌트를 남길 바에는 2FA를 켜세요.