아이디는 비밀이 아니라 이름표예요
새 서비스에 가입할 때 우리는 아이디와 비밀번호를 한 화면에서 함께 정해요. 그래서 둘을 똑같이 '지켜야 할 정보'로 여기기 쉽지만, 실제로 하는 일은 전혀 달라요. 아이디는 '나는 이 계정의 주인이다'라고 말하는 이름표이고, 비밀번호는 그 말이 사실임을 증명하는 열쇠예요. 미국 국립표준기술연구소(NIST)의 디지털 신원 지침 SP 800-63B도 비밀번호를 '알고 있는 것'으로 분류하고, 공격자가 추측하거나 알아내는 일이 현실적으로 불가능할 만큼의 강도와 비밀성을 갖춰야 한다고 적어요.
이름표는 남에게 보이라고 있는 거예요. 인스타그램이나 X의 아이디는 프로필 주소와 댓글, 태그에 그대로 찍히고, 이메일 아이디는 메일을 받는 사람 모두가 봐요. 게임 아이디는 친구 목록과 순위표에 올라가요. 그러니 아이디를 정할 때 물어야 할 질문은 '이게 들킬까'가 아니라 '이게 공개돼도 괜찮을까'예요. 아이디에 넣은 정보는 처음부터 공개된다고 보고 고르는 편이 안전해요.
반대로 비밀번호는 절대 보여서는 안 되는 정보예요. 한국인터넷진흥원(KISA) 보호나라의 자주 묻는 질문은 해킹이 일어나는 경로로 암호를 추측하는 방법을 꼽고, 친한 친구나 아는 사람에게 아이디와 비밀번호를 알려줬다가 그 사람이 계정을 쓰는 경우를 '가장 쉽게 일어날 수 있는 문제'라고 설명해요. 이름표는 보여 줘도 되지만 열쇠는 아무리 가까운 사람에게도 건네지 않는 것, 이 구분이 계정 안전의 출발점이에요.
숫자 네 자리가 알려 주는 것
아이디 끝에 숫자를 붙이면 이미 쓰이는 아이디와 겹치지 않게 만들기 쉬워요. 문제는 그 숫자를 무엇으로 고르느냐예요. 네 자리 숫자는 0000부터 9999까지 1만 가지가 있지만, 사람들이 실제로 고르는 숫자는 그 안에서 고르게 퍼져 있지 않아요.
| 네 자리 숫자의 종류 | 가짓수 | 1만 가지 중 비율 | 보는 사람이 떠올리는 것 |
|---|---|---|---|
| 월일 모양(0101~1231, 2월 29일 포함) | 366 | 3.66% | 생일, 기념일 |
| 연도 모양(1950~2019) | 70 | 0.70% | 태어난 해 |
| 휴대폰 번호 뒷자리 | 1만 가지 전부 가능 | – | 연락처 |
월일과 연도 모양은 합쳐도 전체의 4.4%뿐인데, 아이디에 붙은 네 자리 숫자를 보면 많은 사람이 먼저 이 둘을 떠올려요. 숫자가 정말 생일이라면 그 아이디는 '생일이 4월 15일인 민수'처럼 사람을 좁히는 단서가 돼요. 생일은 본인 확인 질문이나 다른 서비스의 비밀번호 찾기에 쓰이는 경우가 있어서, 공개된 이름표에 붙여 둘 이유가 없어요. 휴대폰 번호 뒷자리는 숫자 모양만으로는 티가 나지 않지만, 이미 내 번호를 아는 사람에게는 이 계정이 나라는 확인이 되고, 처음 보는 사람에게는 번호를 알아내는 조각 하나를 건네는 셈이에요.
이 사이트 아이디 만들기 도구의 '내가 정한 숫자' 칸으로 실험해 보면 이 점이 더 분명해져요. 이 칸은 숫자만 남기고 앞에서부터 네 자리까지만 받아요. 코드의 정리 함수에 '010-1234-5678'을 넣으면 '0101'이 되고, '19980415'를 넣으면 '1998'이 돼요. 길게 넣은 개인정보가 잘려 나가도 남는 네 자리는 여전히 통신사 앞자리나 태어난 해 그대로예요. 키워드 칸도 비슷해요. 영문 소문자와 숫자만 남기고 열 글자에서 자르기 때문에, 'Kim Minsu 1998'을 넣으면 'kimminsu19'가 남아요. 이름과 태어난 해의 앞 두 자리가 함께 들어간 아이디가 되는 거예요.
같은 아이디를 여러 곳에 쓸 때 생기는 일
모든 서비스에서 같은 아이디를 쓰면 기억하기 편하고 친구가 찾기도 쉬워요. 그 편리함의 반대쪽에는 두 가지 위험이 있어요. 하나는 연결이에요. 같은 아이디로 검색하면 쇼핑몰 후기, 게임 기록, 동호회 글이 한 사람의 것으로 묶여요. 각각은 사소해도 모아 놓으면 사는 지역이나 생활 패턴이 드러날 수 있어요.
다른 하나는 더 직접적이에요. 아이디와 비밀번호를 모두 같은 조합으로 쓰는 경우예요. NIST 지침은 서비스마다 다른 비밀번호를 쓰는 것이 중요하다고 강조하면서, 한 사이트에서 유출된 비밀번호로 다른 사이트의 계정에 들어가는 공격을 이유로 들어요. 아이디가 같고 비밀번호까지 같다면, 보안이 약한 작은 사이트 한 곳이 털리는 순간 메일과 메신저 계정의 열쇠까지 함께 넘어가는 셈이에요.
내 계정정보가 이미 새어 나갔는지 확인하는 공식 창구도 있어요. 개인정보보호위원회와 한국인터넷진흥원이 운영하는 '털린 내 정보 찾기 서비스'는 다크웹 같은 곳에서 아이디나 이메일, 비밀번호가 불법으로 유통되는지 조회해 줘요. 서비스 소개는 개인의 계정정보가 명의도용과 보이스피싱 같은 범죄에 쓰이고 있어 2차 피해를 막으려고 만들었다고 설명해요. 자주 묻는 질문에는 유출 이력이 나오면 곧바로 비밀번호를 바꾸라는 안내와 함께, 아이디나 비밀번호를 몰라 탈퇴하기 어려운 오래된 사이트는 개인정보포털의 회원탈퇴 대행을 이용하라는 내용이 있어요. 입력한 정보는 일방향 암호화를 거쳐 비교하고 조회 뒤 바로 파기한다고 밝혀 두었어요.
비밀번호는 아이디와 따로 생각하기
아이디를 잘 만들어도 비밀번호가 약하면 소용이 없어요. 비밀번호에 대해서는 NIST SP 800-63B 개정 4판이 꽤 구체적인 기준을 두고 있어요. 이 지침은 정부 시스템을 만드는 기관에 주는 요구 사항이지만, 개인이 비밀번호를 정할 때도 그대로 참고할 만해요.
| 항목 | NIST SP 800-63B(개정 4판)의 기준 |
|---|---|
| 최소 길이 | 비밀번호 하나로만 로그인하면 15자 이상, 다른 인증 수단과 함께 쓰면 8자 이상 |
| 최대 길이 | 적어도 64자까지 허용하도록 권장 |
| 문자 섞기 규칙 | 대문자·숫자·기호를 섞으라는 식의 규칙은 강제하지 않음 |
| 주기적 변경 | 정기적으로 바꾸게 하지 않음. 유출 정황이 있으면 바꾸게 함 |
| 금지 목록 | 유출된 비밀번호, 사전 단어, 서비스 이름, 사용자 이름과 그 변형을 걸러 냄 |
| 힌트·보안 질문 | 로그인 전 누구나 볼 수 있는 힌트나 '첫 반려동물 이름' 같은 질문을 쓰게 하지 않음 |
| 비밀번호 관리 프로그램 | 자동 완성과 붙여 넣기를 허용함 |
표에서 아이디와 직접 이어지는 줄은 금지 목록이에요. 지침은 사용자 이름과 거기서 파생된 말을 비밀번호 후보에서 걸러 낼 예로 들어요. 아이디가 'soft_bunny'인데 비밀번호가 'softbunny1234'라면, 공개된 이름표를 보고 열쇠의 모양을 짐작할 수 있다는 뜻이에요. 비밀번호에는 아이디의 단어도, 아이디 끝의 숫자도 다시 쓰지 마세요.
길이 기준도 눈여겨볼 만해요. 15자는 외우기 어려워 보이지만, 문자 섞기 규칙을 강제하지 않는다는 줄과 함께 보면 서로 관계없는 낱말 몇 개를 이어 붙인 긴 문장형 비밀번호도 충분히 쓸 수 있다는 뜻이에요. 지침은 비밀번호 관리 프로그램이 더 강한 비밀번호를 고르게 돕는다는 연구도 함께 언급해요.
아이디 만들기 도구가 실제로 하는 일
도구 코드를 읽고 함수로 직접 세어 본 내용이에요. 이 도구는 미리 정해 둔 영어 단어를 이어 붙여 아이디를 만들어요. 스타일마다 꾸미는 말 30개, 대상 30개, 앞에 붙는 말 8개, 뒤에 붙는 말 12개가 있어요. 키워드를 비우고 숫자를 붙이지 않으면, 일반 영문 아이디 기준으로 귀여운·멋진 스타일은 1,500가지, 심플·인스타용은 1,497가지, 게임용은 1,465가지 기본 조합이 나와요. 이 단어들에는 내 정보가 하나도 들어 있지 않아서, 결과만 보고는 누가 만든 아이디인지 알 수 없어요.
키워드를 넣으면 사정이 달라져요. 키워드 하나에 붙일 수 있는 단어는 스타일마다 80개뿐이라 'minsu'를 넣은 귀여운 스타일의 기본 조합은 80가지예요. 이름을 아는 사람이 스타일만 짐작하면 후보를 금방 좁힐 수 있는 크기예요. 키워드를 쓰고 싶다면 본명보다 나만 아는 별명이나 좋아하는 낱말이 나아요.
저장 방식도 확인했어요. 이미 나온 조합을 다시 보여 주지 않으려고 이 브라우저에 기록을 남기는데, 기록되는 것은 숫자와 구분 기호를 뺀 단어 조합뿐이에요. 키워드를 넣어 만든 조합은 아예 기록하지 않고, '내가 정한 숫자'도 저장하지 않아요. 다만 생일처럼 보이는 숫자를 넣어도 도구가 따로 막지는 않아요. 숫자 칸을 비운 채 만들기를 누를 때 나오는 안내 문구와 사용법 설명에 생일과 전화번호를 피하라는 말이 들어 있을 뿐이에요. 고르는 판단은 결국 쓰는 사람의 몫이라서, 무작위 두 자리를 고르거나 숫자를 아예 붙이지 않는 쪽이 가장 간단한 해결책이에요.
새 계정을 만들기 전 점검 순서
가입 버튼을 누르기 전에 아래 다섯 가지를 차례로 확인해 보세요.
- 아이디를 공개 정보로 읽어 보기. 아이디를 처음 보는 사람의 눈으로 읽고 본명, 생일, 태어난 해, 전화번호, 학교나 회사 이름이 떠오르는지 확인해요. 하나라도 걸리면 그 부분을 빼거나 아무 뜻 없는 말로 바꿔요.
- 숫자의 출처 확인하기. 붙인 숫자가 나와 관련된 숫자라면 무작위 숫자로 바꿔요. 도구의 무작위 두 자리는 00부터 99 사이에서 고르게 뽑아요.
- 쓰임새에 따라 아이디 나누기. 친구에게 보여 줄 계정과 조용히 쓰는 계정은 서로 다른 아이디로 만들어 쉽게 이어지지 않게 해요.
- 비밀번호는 아이디와 무관하게 새로 만들기. 아이디의 단어와 숫자를 다시 쓰지 않고, 서비스마다 다른 비밀번호를 정해요. 기억이 어렵다면 비밀번호 관리 프로그램에 맡겨요.
- 추가 인증 켜기와 유출 확인. 서비스가 문자나 인증 앱을 쓰는 2단계 인증을 지원하면 켜 두고, 가끔 '털린 내 정보 찾기 서비스'로 이전 계정이 새어 나가지 않았는지 확인해요.
팁 아이디와 비밀번호를 가족이나 친구에게 알려 줘야 할 일이 생기면, 일이 끝난 뒤 바로 비밀번호를 바꾸세요. 아이디는 그대로 둬도 되지만 열쇠는 새로 깎아야 해요. 쓰지 않는 오래된 계정은 탈퇴해서 지켜야 할 열쇠의 수를 줄이는 것도 좋은 방법이에요.