어느 날 아침, 한 번도 접속한 적 없는 해외 쇼핑몰에서 “주문이 완료되었습니다”라는 메일이 도착합니다. 알고 보니 몇 년 전 가입했다가 잊고 지낸 커뮤니티에서 이메일과 비밀번호가 유출됐고, 그 조합이 다른 사이트에서도 그대로 통한 것입니다. 이런 일은 특별히 운이 나빠서가 아니라, 같은 비밀번호를 여러 곳에 쓰는 습관 때문에 벌어집니다. 이 글에서는 비밀번호 관리자가 왜 필요한지, 어떤 서비스를 어떻게 시작하면 되는지를 2026년 7월 기준 최신 정보로 정리했습니다.
비밀번호 재사용이 위험한 진짜 이유 — 크리덴셜 스터핑
한 사이트에서 유출된 아이디와 비밀번호 조합을 자동화 도구로 수많은 다른 사이트에 대입해 보는 공격을 크리덴셜 스터핑(credential stuffing)이라고 합니다. 공격자는 여러분의 비밀번호를 “알아맞히는” 것이 아니라, 이미 유출된 정답을 그대로 다른 문에 넣어보는 것입니다.
문제는 이 공격이 놀라울 만큼 잘 통한다는 점입니다. 보안 업계 보고에 따르면 상당수 이용자가 여러 사이트에서 동일하거나 살짝만 바꾼 비밀번호를 재사용하고 있으며, 침해된 계정의 대다수가 다른 서비스에서 이미 노출된 이력을 가지고 있었습니다. 즉 한 곳만 뚫려도 같은 비밀번호를 쓰는 모든 계정이 함께 위험해집니다. 사람이 사이트마다 다른 복잡한 비밀번호를 외우는 것은 사실상 불가능하기 때문에, 이 문제는 의지가 아니라 도구로 풀어야 합니다.
비밀번호 관리자는 어떻게 안전한가
비밀번호 관리자는 사이트별로 길고 무작위한 비밀번호를 자동으로 만들어 저장하고, 로그인할 때 알아서 채워주는 앱입니다. 여러분은 오직 마스터 비밀번호 하나만 기억하면 됩니다.
“한곳에 다 모아두면 오히려 위험하지 않나요?”라는 걱정이 자연스럽게 듭니다. 핵심은 대부분의 전용 서비스가 제로 지식(zero-knowledge) 암호화를 쓴다는 점입니다. 저장된 데이터는 여러분의 기기에서 마스터 비밀번호로 암호화된 뒤 서버로 올라가기 때문에, 서비스 회사조차 그 내용을 열어볼 수 없습니다. 서버가 해킹당해도 공격자가 얻는 것은 해독 불가능한 암호문 덩어리뿐입니다. 다만 이 구조에서는 마스터 비밀번호를 분실하면 회사도 복구를 도와줄 수 없으므로, 마스터 비밀번호와 복구 수단 관리가 그만큼 중요합니다.
주요 비밀번호 관리자 비교 (2026년 7월 기준)
크게 브라우저·OS 내장형과 전용 앱으로 나뉩니다. 내장형은 무료이고 별도 설치가 필요 없어 진입 장벽이 낮은 대신, 다른 생태계와의 호환이나 고급 기능이 약합니다. 전용 앱은 플랫폼을 가리지 않고 기능이 풍부합니다. 아래 표는 대표적인 선택지를 정리한 것으로, 가격은 공식 정책 기준이며 환율·부가세에 따라 실제 결제액은 달라질 수 있습니다.
| 서비스 | 유형 | 무료 플랜 | 유료(개인) | 패스키 | 특징 |
|---|---|---|---|---|---|
| 비트워든(Bitwarden) | 전용 앱 | 비밀번호·기기 무제한 | 연 약 $19.80 | 무료 플랜부터 지원 | 오픈소스, 전 플랫폼 지원. 2026년 1월 프리미엄 가격 인상 |
| 1Password | 전용 앱 | 없음(14일 체험) | 연 약 $47.88 | 지원 | 세련된 UI, 여행 모드 등 고급 기능. 2026년 3월 가격 인상 |
| Proton Pass | 전용 앱 | 비밀번호·기기 무제한, 별칭 10개 | 연 약 $35.88 | 무료 플랜부터 동기화 | 프라이버시 중심, 이메일 별칭 기능 |
| 구글 비밀번호 관리자 | 브라우저/OS 내장 | 무료 | — | 지원(크롬·안드로이드, 데스크톱 동기화) | 크롬·안드로이드 사용자에게 기본 제공 |
| 애플 암호(Apple Passwords) | OS 내장 | 무료 | — | 지원(iCloud 키체인) | 애플 생태계 중심, 윈도우·안드로이드 공식 앱은 제한적 |
정리하면, 여러 기기·운영체제를 넘나든다면 비트워든이나 Proton Pass의 무료 플랜이 부담 없는 출발점입니다. 애플 기기만 쓴다면 애플 암호, 크롬 중심이라면 구글 비밀번호 관리자도 충분히 실용적입니다. 처음부터 유료 서비스를 고를 필요는 없으며, 무료로 습관을 들인 뒤 필요할 때 옮겨도 됩니다.
안전한 마스터 비밀번호 만들기
마스터 비밀번호는 모든 것을 여는 단 하나의 열쇠이므로, 짧고 복잡한 것보다 길고 기억하기 쉬운 것이 좋습니다. 다음 원칙을 따르세요.
- 서로 관련 없는 단어 4개 이상을 조합합니다. 예를 들어 무작위한 단어들을 엮어 하나의 문장처럼 만들면 길이가 길어져 안전하면서도 외우기 쉽습니다.
- 다른 어디에도 쓰지 않은 완전히 새로운 것으로 만듭니다. 재사용하는 순간 관리자의 의미가 사라집니다.
- 생일, 이름, 전화번호처럼 추측 가능한 개인정보는 배제합니다.
- 종이에 적어 안전한 곳(예: 집 안 서랍)에 보관하는 것은 온라인 유출과 무관하므로 초보자에게는 오히려 현실적인 백업이 됩니다.
2단계 인증과 패스키를 함께 쓰기
비밀번호 관리자에 2단계 인증(2FA)을 반드시 걸어두세요. 마스터 비밀번호가 노출되더라도 두 번째 관문이 있으면 침입을 막을 수 있습니다. 인증 앱(TOTP)이나 하드웨어 보안 키를 권장하며, 문자(SMS) 방식은 가로채기에 취약해 차선책으로만 씁니다.
더 나아가 패스키(passkey)는 비밀번호 자체를 없애는 차세대 방식입니다. FIDO2·WebAuthn 표준을 기반으로 기기에는 개인 키가, 사이트에는 공개 키만 저장됩니다. 네트워크로 재사용 가능한 비밀번호가 오가지 않기 때문에 피싱과 크리덴셜 스터핑에 원천적으로 강합니다. 구글·애플·마이크로소프트 등 주요 서비스가 이미 패스키를 지원하며, 위 표의 관리자 대부분이 패스키 저장·동기화를 제공합니다. 아직 모든 사이트가 패스키를 지원하는 것은 아니므로, 당분간은 비밀번호 관리자 + 2단계 인증 + 지원 사이트는 패스키를 병행하는 것이 현실적입니다.
기존 비밀번호 옮기기 — 마이그레이션 절차
이미 브라우저에 저장된 비밀번호가 많아도 이전은 어렵지 않습니다. 다음 순서로 진행하세요.
- 관리자 선택 및 설치. 위 비교표를 참고해 서비스를 정하고 앱과 브라우저 확장 프로그램을 설치합니다.
- 마스터 비밀번호 설정과 2단계 인증 활성화. 계정을 만들자마자 먼저 잠금을 단단히 해둡니다.
- 기존 비밀번호 가져오기. 브라우저나 다른 관리자에서 비밀번호를 내보내(export) 새 관리자로 불러옵니다(import). 대부분의 서비스가 이 기능을 제공합니다.
- 내보낸 파일 즉시 삭제. 내보낸 CSV 파일에는 비밀번호가 평문으로 담겨 있으므로, 가져오기가 끝나면 반드시 완전히 삭제합니다.
- 중요 계정부터 비밀번호 교체. 이메일·금융·핵심 SNS처럼 중요한 곳부터 관리자의 생성기로 새 비밀번호를 만들어 바꿉니다. 재사용·유출된 비밀번호는 보안 점검 기능이 알려줍니다.
- 브라우저 자동 저장 끄기. 관리자와 브라우저가 중복 저장하면 혼란스러우므로 브라우저 쪽 자동 저장은 꺼둡니다.
자주 묻는 질문
무료 비밀번호 관리자만 써도 충분한가요?
대부분의 개인 사용자에게는 충분합니다. 비트워든이나 Proton Pass의 무료 플랜은 비밀번호와 기기 수 제한이 없고 패스키까지 지원합니다. 암호화 파일 첨부, 긴급 액세스, 통합 인증기 같은 부가 기능이 필요할 때 유료로 올리면 됩니다.
비밀번호 관리자 회사가 해킹당하면 제 비밀번호도 유출되나요?
제로 지식 구조에서는 회사 서버에 여러분의 마스터 비밀번호로만 풀 수 있는 암호문만 저장됩니다. 서버가 뚫려도 공격자는 해독할 수 없는 데이터만 얻습니다. 다만 이 방어는 마스터 비밀번호가 충분히 강하고 2단계 인증이 켜져 있을 때 유효합니다.
마스터 비밀번호를 잊어버리면 어떻게 되나요?
제로 지식 구조의 특성상 회사도 대신 풀어줄 수 없어, 원칙적으로 복구가 매우 어렵습니다. 그래서 서비스마다 제공하는 복구 키·긴급 연락처 같은 수단을 가입 직후 설정해두고, 마스터 비밀번호는 안전한 오프라인 백업으로 남겨두는 것이 좋습니다.
마무리
비밀번호 관리는 한 번 습관을 들이면 오히려 매일의 로그인이 편해지는 몇 안 되는 보안 조치입니다. 오늘 할 일은 세 가지입니다. 무료 관리자 하나를 골라 설치하고, 강력한 마스터 비밀번호와 2단계 인증을 설정하고, 이메일·금융 같은 핵심 계정부터 새 비밀번호로 바꾸는 것입니다. 완벽하게 한 번에 끝내려 하기보다, 중요한 계정부터 차근차근 옮겨가는 편이 지속 가능합니다.
본 글은 2026년 7월 기준으로 작성되었으며, 각 서비스의 기능과 정책은 변경될 수 있으니 공식 사이트에서 확인하시기 바랍니다.