패스키·2차인증 보안 점검, 계정 털리기 전 5분이면 돼요
안녕하세요, 깅글렛이에요.
요즘 ChatGPT나 구글 계정에 카드까지 물려두고 쓰는 분 많으시죠. 그런데 이게 한 번 털리면 결제부터 대화 이력까지 통째로 넘어가요.
겁주려는 건 아니에요. 오늘 하려는 건 딱 하나, 패스키 켜고 2차인증 손보고 로그인된 기기만 한 번 정리하면 5분이면 끝나는 점검이거든요.
대부분 무료고 클릭 몇 번이면 돼요. 중요한 계정 한두 개부터 같이 잠가볼게요.
계정은 왜 털릴까요? 1순위는 ’도난당한 비밀번호’예요
먼저 왜 이 점검이 필요한지부터 짚을게요. 계정이 뚫리는 가장 흔한 경로는 해킹 영화처럼 거창한 게 아니라 그냥 새어 나간 비밀번호예요.
미국 통신사 버라이즌의 2025년 데이터유출조사보고서(DBIR)를 보면, 유출된 자격증명(아이디·비밀번호)이 전체 침해 사고의 단일 최대 초기 침투 경로로 약 22%를 차지했어요. 웹 애플리케이션 침해로 좁히면 무려 88%에 도난당한 자격증명이 끼어 있었고요.
원인은 뻔하면서도 우리 얘기예요. 전 세계 사용자의 약 78%가 비밀번호를 재사용한다고 답했고, 52%는 최소 3개 이상 계정에 같은 비밀번호를 돌려 쓴대요. 한 사이트가 털리면 같은 비밀번호 쓰던 다른 계정이 자동 대입 공격으로 줄줄이 뚫리는 식이죠.
✍️ 사실 저도 한참 그랬어요. 메일이랑 쇼핑몰이랑 비밀번호가 똑같아서, 어디 한 군데 유출 뉴스 뜰 때마다 가슴이 철렁하더라고요. 그러다 비밀번호 관리자 깔고 나서야 마음이 좀 놓였어요.
그리고 요즘은 AI 계정이 특히 노려져요. 보안기업 그룹IB는 2023년 다크웹에서 10만 건이 넘는 ChatGPT 자격증명을 발견했어요. 이게 OpenAI 서버가 뚫린 게 아니라, 악성코드에 감염된 개인 PC에서 저장된 비밀번호가 새어 나간 것이라는 게 포인트예요. 결국 내 기기, 내 계정 관리가 1차 방어선인 거죠.
패스키부터 켜세요, 가짜 사이트에선 아예 작동을 안 하거든요
자, 1단계예요. 점검의 시작은 패스키부터 켜는 거예요.
📖 패스키(passkey)란? 비밀번호를 암호 키 한 쌍으로 대체하는 로그인 방식이에요. 지문·얼굴·기기 잠금해제(PIN)만으로 로그인하고, 비밀번호를 외우거나 입력할 필요가 없어요.
작동 원리는 이래요. 패스키를 만들면 내 기기가 키를 한 쌍 만들어요. 하나(공개키)는 서비스 서버에 저장되고, 실제 열쇠인 다른 하나(개인키)는 내 기기 안에만 남아요. 로그인할 때 지문이나 얼굴로 승인하면 기기가 그 열쇠로 서명해서 응답하는 구조죠.
왜 비밀번호보다 안전한지가 중요한 부분인데요. 패스키는 그걸 만든 진짜 도메인에서만 작동해요. 가짜 피싱 사이트에 속아 들어가도 주소가 다르면 인증 절차 자체가 시작되지 않거든요. 영국 국가사이버보안센터(NCSC)는 패스키를 두고 “비밀번호처럼 가로채거나, 재사용하거나, 훔칠 수 없다”고 표현했어요.
서버가 털려도 안전해요. 서비스가 해킹당해도 서버엔 공개키만 있어서, 정작 열쇠 역할을 하는 개인키는 새어 나가지 않으니까요. 그래서 구글은 패스키를 쓰는 계정이 비밀번호만 쓰는 계정보다 침해 가능성이 99.9% 낮다고 밝혔어요. NCSC도 자체 연구에서 패스키가 “가장 강한 비밀번호에 2단계 인증을 더한 것과 같거나 그보다 더 안전”하다고 평가했고, 2026년 기준 기본 로그인 수단으로 권장하고 있어요.
물론 패스키도 만능은 아니에요. 정직하게 한계를 짚자면, 모든 서비스가 패스키를 지원하진 않아요. 미지원 서비스는 여전히 비밀번호에 2차인증을 더해 써야 하죠. 그리고 기기를 잃어버릴 때를 대비해, 패스키가 어디에 백업되는지(보통 iCloud 키체인이나 구글 비밀번호 관리자, 1Password 같은 데 동기화돼요)랑 다른 기기로 복구하는 경로를 미리 확인해두면 좋아요.
한국 서비스는 어떨까요? 네이버·카카오 같은 국내 주요 서비스도 패스키와 2단계 인증을 제공해요. 네이버 패스키는 데스크톱 Windows 11 이상, 모바일 Android 9 이상 같은 최신 환경에서 지원돼요.
2차인증, 같은 2차인증이 아니에요 (앱 OTP가 문자보다 나아요)
2단계예요. 2차인증을 켜는 건 다들 아실 텐데, 사실 종류마다 안전도가 꽤 달라요.
📖 2FA(2차인증)란? 비밀번호 말고 한 단계를 더 거치는 로그인 보호예요. 문자 코드, 인증 앱, 보안키, 패스키 같은 게 여기 들어가요.
보안 자료들이 대체로 일치시키는 안전도 순서는 이래요. 하드웨어 보안키 ≈ 패스키 > 인증 앱(OTP) > SMS 문자. 위로 갈수록 피싱에 강하고, 아래로 갈수록 약해요.
| 방식 | 작동 | 강점 | 약점 |
|---|---|---|---|
| 하드웨어 보안키 | USB·NFC 물리 키로 인증 | 피싱 저항 최강 | 별도 기기 구매·휴대 |
| 패스키 | 기기 생체인증 + 암호 키 | 보안키급 + 휴대폰 잠금 수준 편의 | 서비스 지원 필요 |
| 인증 앱(OTP) | 30초마다 바뀌는 6자리 코드 | 무료·오프라인, 유심 바꿔치기에 영향 없음 | 실시간 피싱엔 약함 |
| 문자(SMS) | 휴대폰으로 코드 수신 | 설정 쉬움, 안 하는 것보단 훨씬 나음 | 유심 바꿔치기·통신망 취약점에 노출 |
정부 권고도 이 방향이에요. 미국 사이버보안 기관 CISA와 FBI는 2024년 12월 솔트 타이푼이라는 대형 사이버첩보 사건 직후 문자 인증을 권장하지 않는다고 안내했어요. 문자는 암호화가 안 되고 유심 바꿔치기에 취약하다는 이유였죠. 세계적으로도 인도 중앙은행이 디지털 결제에 문자를 단독 인증 수단으로 쓰는 걸 금지하는 등, 문자 OTP를 줄이는 흐름이에요.
오해는 마세요. 그렇다고 문자 2차인증이 쓰레기라는 건 절대 아니에요. 일부 자료는 문자 인증만으로도 대량 피싱의 96%를 막는다고 봐요. 안 켜는 것보다는 비교가 안 될 만큼 안전하다는 거죠. 핵심 메시지는 “문자 쓰지 마”가 아니라 “더 나은 방식이 있으니 가능하면 업그레이드하자”예요.
그래서 실전 전략은 이렇게 정리돼요. 이메일·금융·AI 결제처럼 가장 중요한 계정엔 패스키나 보안키를, 나머지엔 인증 앱을 쓰고, 문자는 둘 다 안 되는 최후의 폴백으로 두는 거예요.
켜는 경로는 서비스마다 비슷해요. 구글은 계정 → 보안에서 2단계 인증을 켜고요. ChatGPT는 설정 → 보안(Security)에서 다중 인증(MFA)을 켜는데, 인증 앱·푸시 알림·문자 중에 고를 수 있어요. 한 번 켜두면 ChatGPT랑 API 플랫폼 등 OpenAI 서비스 전반에 적용돼요. 네이버는 앱 보안 설정의 2단계 인증, 카카오는 설정 → 카카오계정 → 2단계 인증에서 손보면 돼요.
다만 위 메뉴 이름·경로는 2026년 6월 기준이에요. 이쪽은 UI 개편이 잦아서, 실제 화면에선 메뉴 이름이 조금 다를 수 있어요. 보통 ‘보안’ 또는 ‘계정 보안’ 안에 다 모여 있으니 거기부터 찾으면 돼요.
로그인된 기기·세션 확인하고, 모르는 건 끊어주세요
3단계로 넘어갈게요. 대부분의 서비스는 지금 내 계정에 로그인돼 있는 기기·세션 목록을 보여줘요. 이게 의외로 중요해요.
목록을 열어서 내가 모르는 기기나 낯선 위치가 있으면, 그 세션만 로그아웃하거나 아예 전체 로그아웃 후 비밀번호를 바꿔요. 구글은 보안 진단 화면의 ’내 기기’에서, ChatGPT는 설정 → 보안 → 활성 세션에서 ’모든 세션 로그아웃’을 누르면 돼요. 애플 계정도 연결된 기기 목록에서 원치 않는 기기를 로그아웃할 수 있고요.
여기서 꼭 알아야 할 게 있어요. 세션 탈취가 무서운 이유는 비밀번호와 2차인증을 우회하기 때문이에요. 악성코드 중엔 비밀번호뿐 아니라 로그인 세션(쿠키·토큰)까지 통째로 훔치는 게 있거든요. 이게 새 나가면 내 비밀번호를 모르고도, 2차인증을 안 거치고도 들어올 수 있어요. 앞서 말한 ChatGPT 자격증명 유출도 이 경로였죠.
그러니 감염이나 탈취가 의심되면 비밀번호 변경 한 번으로 끝내지 말고, 전체 세션 강제 로그아웃까지 같이 해야 깔끔해요. 참고로 ChatGPT는 전체 로그아웃이 적용되는 데 최대 30분 정도 걸려요.
✍️ 저는 ChatGPT 활성 세션 목록 처음 열었을 때 좀 놀랐어요. 예전에 회사 공용 PC에서 잠깐 로그인했던 게 그대로 살아 있더라고요. 바로 전체 로그아웃 한 번 눌러주니까 마음이 편하던데요.
비밀번호 바꿔도 안 끊기는 ’연결된 앱’을 따로 정리하세요
4단계인데, 여기가 이 글에서 제일 강조하고 싶은 부분이에요. 많이들 놓치는 함정이거든요.
📖 OAuth란? “구글로 로그인”, “카카오로 로그인”처럼 내 계정으로 다른 서비스에 접속을 허용하는 연결 방식이에요. 비밀번호 대신 ’토큰’이라는 출입증으로 묶여 있어요.
“구글로 로그인”, “카카오로 로그인” 편하다고 여기저기 눌러두면, 이렇게 연결된 제3자 앱이 시간이 지나며 잔뜩 쌓여요. 안 쓰거나 기억도 안 나는 앱은 연결을 끊어주는 게 좋아요. 구글이라면 계정 → 보안의 ’서드파티 앱 액세스 관리’에서 앱별 권한을 보고 차단하거나 삭제할 수 있어요.
여기서 꼭 짚어야 할 함정 하나. OAuth로 연결된 앱은 내 비밀번호가 아니라 토큰으로 묶여 있어요. 그래서 비밀번호를 바꾸거나 침해가 의심돼도, 연결을 직접 해제하지 않으면 그 앱은 계속 내 계정에 접근할 수 있어요. 비밀번호 바꿨으니 안심, 이게 아닌 거죠. 세션 로그아웃·비밀번호 변경과는 별개로 연결된 앱을 손수 끊어줘야 해요.
MFA(다중 인증)에도 비슷한 함정이 있어요. 2차인증을 새로 켜도, 이미 로그인돼 있던 다른 기기·세션이 자동으로 로그아웃되진 않아요. 즉 이미 침입한 사람이 있다면, 2차인증만 켜는 걸로는 그 사람을 못 끊어요. 순서가 중요해요. 침입이 의심되면 먼저 비밀번호를 재설정해서 기존 세션을 끊고, 그다음 2차인증을 켜는 거예요.
결제수단·로그인 알림까지 보면 5분 점검 끝이에요
마지막 5단계예요. AI나 온라인 계정에 카드 같은 결제수단이 등록돼 있으면, 탈취당했을 때 무단 결제나 구독으로 바로 피해가 와요. 실제로 ChatGPT 계정이 털린 뒤 모르는 결제가 생긴 국내 사례도 보고됐고요.
그래서 두 가지만 해두면 돼요. 하나는 새 기기 로그인 알림과 결제 알림을 켜두는 거예요. 많은 서비스가 이메일이나 푸시로 알려줘서, 켜두면 이상한 접속을 빨리 알아챌 수 있어요. 다른 하나는 안 쓰는 서비스에 등록해둔 카드를 지우는 거예요.
여기까지가 5분 점검의 전부예요. 정리하면 ① 패스키 켜고 ② 2차인증은 앱 OTP 위주로 ③ 로그인된 기기·세션 정리하고 ④ 연결된 앱 끊고 ⑤ 결제수단·알림 점검. 클릭 몇 번씩이라 진짜 금방이에요.
혹시 이미 감염이나 탈취가 의심된다면 순서가 있어요. 다른 안전한 기기에서 비밀번호부터 바꾸고 → 전체 세션 강제 로그아웃 → 2차인증 켜기(비번 변경 다음에) → 연결된 앱 정리 → 결제수단·최근 활동 확인 → 마지막으로 기기 악성코드 검사. 자격증명은 보통 감염된 기기에서 새니까, 기기 점검까지 해야 마무리돼요.
참고로 작년에 SK텔레콤 유심 정보가 약 2,500만 명 규모로 유출되면서(개인정보위 과징금이 1,347억여 원으로 역대 최고였죠), “내 인증수단이 새면 무슨 일이 벌어지나”에 대한 경각심이 많이 높아졌어요. 거창한 사건만 위험한 게 아니라, 오늘 이 5분이 그 출발선을 막아주는 거예요.
참고로 회사 기밀이나 망분리 같은 ‘조직 보안’, 그리고 AI한테 내 데이터가 어떻게 학습·보관되는지 같은 ’데이터 설정’은 결이 좀 달라서 다른 글에서 따로 다뤘어요. 이번 글은 계정 자체를 못 들어오게 잠그는 데 집중했고요.
깅글렛 한줄평
💬 비밀번호 하나 더 복잡하게 만드는 것보다, 핵심 계정에 패스키 켜고 연결된 앱 한 번 정리하는 게 훨씬 효과 커요. 지금 ChatGPT랑 구글 계정 하나씩만 열어서 5분만 투자해보세요.
마무리
오늘은 여기까지예요.
계정 보안이 거창해 보여도, 결국은 패스키 켜고 2차인증 손보고 로그인 기기 한 번 보는 게 다예요. 한 번에 다 못 해도 괜찮으니, 제일 중요한 계정 하나부터 잠가두시는 걸 추천해요.
여러분은 패스키 써보셨어요?
※ 본 글은 2026년 6월 기준 정보를 바탕으로 작성됐어요. 서비스 메뉴 이름·경로는 UI 개편으로 바뀔 수 있어요.