쓰는 사이트마다 비밀번호를 새로 만들라는데, 사람이 외울 수 있는 개수엔 한계가 있다. 그래서 대부분 같은 걸 돌려쓴다. 비밀번호 관리자는 바로 이 문제를 푸는 도구다. 복잡한 비밀번호를 대신 만들어 금고에 넣어두고, 로그인 창이 뜨면 알아서 채워준다. 이 글에서는 비밀번호 관리자가 왜 필요한지, 브라우저 내장 기능과 전용 앱은 뭐가 다른지, 초보자가 오늘 당장 시작하는 법은 무엇인지를 순서대로 정리한다.
비밀번호 재사용이 위험한 진짜 이유
한 곳에서 쓰던 비밀번호를 여러 사이트에 그대로 넣으면, 그중 어느 한 곳만 털려도 나머지가 전부 위험해진다. 공격자는 유출된 아이디와 비밀번호 조합을 다른 서비스에 자동으로 대입해본다. 이걸 크리덴셜 스터핑(credential stuffing)이라고 부른다. 은행, 이메일, 쇼핑몰 비밀번호가 다 같다면 도미노처럼 무너진다는 뜻이다.
내 계정이 이미 유출 목록에 올라 있는지 궁금하다면 ‘Have I Been Pwned’ 같은 유출 조회 서비스에 이메일을 넣어보면 대략 감이 온다. 과거 어느 사이트에서 털렸는지까지 알려주는 경우가 많다. 거기 뜨는 비밀번호를 아직도 다른 곳에 쓰고 있다면, 그게 1순위 교체 대상이다.
흔한 대응이 “1234”를 “1234!”로 바꾸거나 사이트 이름을 뒤에 붙이는 식인데, 규칙이 뻔하면 방어가 되지 않는다. 결국 안전한 방법은 사이트마다 서로 관련 없는 긴 비밀번호를 쓰는 것뿐이다. 사람 머리로는 불가능에 가깝다. 비밀번호 관리자는 이 일을 대신 맡아, 사이트마다 무작위 문자열을 만들어 저장하고 필요할 때 꺼내 쓴다.
비밀번호 관리자가 문제를 푸는 방식
동작 원리는 단순하다. 모든 계정 정보를 암호화된 금고(vault)에 넣어두고, 그 금고는 하나의 마스터 비밀번호로만 연다. 앞으로 외워야 할 건 마스터 비밀번호 딱 하나다. 나머지 수십, 수백 개는 관리자가 기억한다. 요즘은 서비스 대부분이 제로 지식(zero-knowledge) 구조를 내세운다. 금고를 기기 안에서 암호화한 다음 서버에 올린다는 뜻이다. 사업자조차 내용을 못 본다는 설계라, 마스터 비밀번호를 잃으면 복구가 어렵다는 점은 미리 알아둬야 한다.
비밀번호 관리자, 브라우저 내장 vs 전용 앱
크롬이나 사파리, 엣지에는 비밀번호 저장 기능이 이미 들어 있다. 별도 설치가 필요 없고 무료라 진입 장벽이 가장 낮다. 로그인할 때 “저장하시겠습니까?”가 뜨는 그 기능이 사실상 기본형 비밀번호 관리자다. 다만 브라우저 밖에서는 힘을 못 쓴다. 앱 로그인이나 다른 브라우저로 넘어가면 채워주지 못하는 경우가 많고, 안전한 공유나 만료 알림 같은 기능도 제한적이다.
전용 비밀번호 관리 앱은 브라우저든 모바일 앱이든 데스크톱이든 가리지 않고 채워준다. 유출 계정 경고, 중복·취약 비밀번호 진단, 가족·팀 공유, 보안 메모 저장 같은 기능이 붙는다. 대신 계정을 새로 만들어야 하고, 유료 요금제가 있는 경우가 많다. 아래 표로 성격 차이를 정리했다.
| 항목 | 브라우저 내장 | 전용 앱 |
|---|---|---|
| 비용 | 무료 | 무료 요금제 + 유료 플랜(서비스별 상이) |
| 적용 범위 | 주로 해당 브라우저 안 | 브라우저·모바일 앱·데스크톱 전반 |
| 기기 간 동기화 | 같은 브라우저 로그인 기준 | 서비스 계정 기준, 여러 브라우저 혼용 가능 |
| 부가 기능 | 기본 저장·자동 입력 위주 | 유출 경고·중복 진단·공유·보안 메모 등 |
| 시작 난이도 | 매우 쉬움(이미 켜져 있음) | 설치·가입 필요 |
정답이 하나로 정해져 있진 않다. 크롬 한 대로만 웹을 쓴다면 내장 기능으로도 당장은 충분하다. 반대로 폰과 노트북을 오가고 앱 로그인이 많다면 전용 앱 쪽이 훨씬 편하다. 많이 쓰이는 건 Bitwarden, 1Password, Dashlane, KeePass 계열인데, 구체적인 요금과 기능은 시기에 따라 바뀌니 가입 전에 공식 페이지에서 직접 확인하는 게 좋다.
브라우저에서 전용 앱으로 갈아탈 때, 그동안 크롬 등에 쌓아둔 비밀번호를 처음부터 다시 입력할 필요는 없다. 대개 브라우저에서 비밀번호를 파일로 내보낸(export) 뒤 전용 앱에서 가져오기(import)로 한 번에 옮기는 경로를 지원한다. 옮기고 나면 내보낸 파일은 그 자리에서 지우는 게 안전하다. 평문에 가까운 목록이 그대로 남기 때문이다.
마스터 비밀번호와 2단계 인증을 함께 걸기
비밀번호 관리자를 쓰면 모든 계정의 안전이 마스터 비밀번호 하나에 걸린다. 그러니 이 하나만큼은 강하게 만들어야 한다. 짧고 복잡한 조합보다, 서로 상관없는 단어를 여러 개 이어 붙인 긴 문장형이 외우기 쉬우면서 튼튼하다. 흔히 무작위 단어 네다섯 개를 이어 스무 자 안팎으로 만드는 방식을 권한다. 이렇게 하면 “P@ss1!” 같은 짧은 조합보다 외우기도 쉽고 깨기는 훨씬 어렵다. 다른 어디에도 쓰지 않은, 오직 금고 전용 비밀번호여야 한다.
여기에 2단계 인증(2FA)을 얹으면 방어선이 하나 더 생긴다. 누군가 마스터 비밀번호를 알아내도, 내 폰의 인증 앱이나 보안 키가 없으면 금고를 못 연다. 문자(SMS)보다는 인증 앱이나 하드웨어 키 방식이 더 안전하다고 본다. 문자는 통신사를 속여 남의 번호를 자기 기기로 가져가는 이른바 ‘심 스와핑’에 노출될 수 있어서다. 설정 자체는 앱의 보안 메뉴에서 몇 번 탭하면 끝난다.
초보자 시작 순서
- 쓸 도구를 하나 정한다. 우선 브라우저 내장으로 시작해도 되고, 처음부터 전용 앱을 골라도 된다.
- 전용 앱이라면 계정을 만들고 강한 마스터 비밀번호를 설정한다. 이건 종이에 적어 안전한 곳에 따로 보관하는 것을 권한다.
- 바로 2단계 인증을 켠다. 복구 코드가 나오면 캡처가 아니라 오프라인으로 안전하게 보관한다.
- 브라우저 확장 프로그램과 모바일 앱을 설치해 자동 입력을 켠다.
- 자주 쓰는 사이트부터 로그인하며 하나씩 금고에 저장한다.
- 중요한 계정부터 관리자가 만든 새 무작위 비밀번호로 바꿔 재사용 고리를 끊는다.
처음엔 나도 크롬 저장 기능만 썼다. 그런데 아이폰에서 은행 앱에 로그인하려니 비밀번호가 안 채워지고, 결국 “비밀번호 찾기”를 반복하고 있더라. 전용 앱으로 옮기고 나서야 노트북에서 저장한 게 폰 앱에서도 그대로 떴다. 다만 마스터 비밀번호를 너무 급하게 정했다가 한 번 헷갈려서 식은땀을 흘린 적이 있다. 그날 이후로 마스터 비밀번호만큼은 종이에 적어 서랍에 넣어둔다. 디지털로만 보관하면 정작 그걸 못 열 때 꺼낼 방법이 없기 때문이다.
자동 입력을 켜고 확인하기
자동 입력은 브라우저 확장 프로그램이 로그인 폼을 인식해 아이디와 비밀번호를 채워주는 기능이다. 확장 아이콘을 누르거나 입력칸을 클릭하면 저장된 계정 목록이 뜬다. 새 계정을 만들 때는 관리자가 무작위 비밀번호를 제안하고 저장할지 물어본다. 이 흐름에 익숙해지면 비밀번호를 직접 타이핑할 일이 거의 사라진다.
모바일에서는 운영체제의 자동 채우기 설정에서 사용할 관리자를 지정해야 자동 입력이 동작한다. 이걸 안 해두면 앱 로그인 때 목록이 안 떠서 “왜 안 되지” 하게 된다. iOS는 설정 앱의 비밀번호 관련 항목, 안드로이드는 시스템 설정의 자동 완성 항목에서 지정한다. 메뉴 이름과 위치는 버전마다 조금씩 다르니 화면을 보며 찾는 편이 낫다. 크롬 확장을 어떻게 설치하고 관리하는지 궁금하면 아래 관련 글도 함께 보자.
자주 묻는 질문
비밀번호 관리자 자체가 털리면 어떻게 되나요?
금고는 마스터 비밀번호로 암호화되어 있어서, 서버 데이터가 유출돼도 마스터 비밀번호 없이는 열기 어렵다. 그래서 마스터 비밀번호를 강하게 만들고 2단계 인증을 함께 거는 게 핵심이다. 반대로 마스터 비밀번호가 약하거나 다른 곳과 겹치면 이 장점이 무너진다.
마스터 비밀번호를 잊으면 복구되나요?
많은 서비스가 제로 지식 구조라 사업자도 내용을 못 보고, 그만큼 복구가 어렵거나 아예 불가능한 경우가 있다. 서비스마다 복구 코드나 계정 복구 절차가 다르니 가입 시 안내를 꼭 확인하고, 복구 코드는 오프라인으로 따로 보관해두는 게 안전하다.
브라우저 내장 기능만 써도 충분한가요?
한 브라우저 안에서만 웹을 쓴다면 당장은 쓸 만하다. 다만 앱 로그인, 여러 브라우저·기기 혼용, 안전한 공유가 필요해지면 전용 앱이 유리하다. 무료로 시작해보고 부족함을 느낄 때 옮겨도 늦지 않다.
가족과 비밀번호를 공유해도 되나요?
전용 앱 상당수가 안전한 공유 기능을 제공한다. 메신저로 비밀번호를 그냥 보내는 것보다, 관리자의 공유 기능으로 특정 항목만 권한을 주는 방식이 훨씬 안전하다. 세부 기능은 요금제에 따라 다를 수 있다.
비밀번호 관리자는 거창한 보안 지식 없이도 오늘 바로 효과를 보는 몇 안 되는 도구다. 마스터 비밀번호 하나를 튼튼하게 정하고 2단계 인증을 켠 다음, 자주 쓰는 계정부터 하나씩 옮겨보자. 며칠만 지나면 로그인할 때마다 비밀번호를 떠올리려 애쓰던 습관이 어느새 사라져 있을 것이다. 완벽하게 한 번에 끝내려 들기보다, 오늘 계정 다섯 개를 옮기는 작은 시작이 훨씬 낫다.
공식 참고: 한국인터넷진흥원 보호나라