얼마 전 회사 동료가 "요즘 로그인이 이상하게 자주 풀린다"며 불안해하길래 이메일 주소를 확인해봤더니, 이미 몇 년 전 유출 사고 목록에 이름이 올라가 있었습니다. 정작 본인은 전혀 몰랐다는 게 더 놀라웠죠. 솔직히 저도 회사 이메일과 개인 이메일을 합쳐 계정이 40개가 넘다 보니, 어디서 유출됐는지 일일이 확인할 엄두가 안 났습니다. 그런데 이메일 계정 유출 확인하는 법을 제대로 알고 나니, 5분이면 내 정보가 어느 유출 사고에 포함됐는지 바로 확인할 수 있더군요. 오늘은 무료 서비스 Have I Been Pwned로 유출 여부를 점검하는 방법과, 매번 수동으로 확인하기 귀찮은 분들을 위해 비밀번호 관리 자동화까지 정리해봅니다. 직장인이라면 업무 계정 하나가 뚫렸을 때 회사 전체 시스템까지 위험해질 수 있으니, 개인 취미가 아니라 업무 리스크 관리 차원에서 꼭 짚고 넘어가야 할 주제입니다.
왜 비밀번호 유출 확인이 직장인에게 특히 중요할까?
많은 분이 "나는 딱히 노출될 일 없는데"라고 생각하지만, 실제로는 내가 가입한 적 있는 쇼핑몰이나 커뮤니티 사이트 서버가 해킹당하면서 이메일과 비밀번호가 통째로 유출되는 경우가 대부분입니다. 즉 내 잘못이 아니라 내가 이용한 서비스의 보안이 뚫린 것이죠. 문제는 많은 사람이 여러 사이트에 같은 비밀번호를 재사용한다는 점입니다. 한 조사에 따르면 사용자의 절반 이상이 두 개 이상의 사이트에서 동일한 비밀번호를 쓰고 있다고 합니다. 이 경우 쇼핑몰 하나에서 유출된 비밀번호로 회사 이메일까지 뚫리는 '크리덴셜 스터핑' 공격이 가능해집니다. 실제로 국내 금융보안원 통계를 보면 2025년 사이버 사기 피해액은 전년 대비 47.2% 증가한 1조 2,578억 원에 달했는데, 그 상당수가 이런 계정 정보 재사용에서 시작됩니다. 회사 업무용 계정이 뚫리면 나 혼자만의 문제가 아니라 동료들의 정보, 거래처 이메일까지 위험해질 수 있다는 걸 꼭 기억해야 합니다.
Have I Been Pwned으로 이메일 유출 확인하는 방법
가장 널리 쓰이는 무료 서비스가 Have I Been Pwned(HIBP)입니다. 호주의 보안 전문가가 만든 사이트로, 전 세계에서 발생한 대형 데이터 유출 사고 정보를 모아 검색 가능하게 만들어둔 곳입니다. 사용법은 정말 간단합니다.
- haveibeenpwned.com에 접속한다
- 확인하고 싶은 이메일 주소를 입력창에 넣는다
- "pwned!"라는 빨간 결과가 뜨면 어떤 유출 사고에 포함됐는지 목록이 표시된다
- 각 항목을 눌러보면 유출된 날짜, 유출된 데이터 종류(비밀번호, 전화번호, 주소 등)까지 확인 가능하다
제 경험상 회사 이메일로 검색했을 때는 다행히 깨끗했지만, 예전에 쓰던 개인 이메일은 6개의 유출 사고에 포함돼 있었습니다. 그중 하나는 2019년에 있었던 대형 커뮤니티 사이트 해킹이었는데, 그때 쓰던 비밀번호를 지금도 몇몇 사이트에서 재사용하고 있다는 걸 깨닫고 식은땀이 났습니다. 처음엔 저도 "설마 나까지"라는 생각으로 미루다가, 직접 확인하고 나서야 심각성을 느꼈습니다. 참고로 HIBP는 이메일뿐 아니라 비밀번호 자체가 유출 목록에 있는지도 확인해주는데, 입력한 비밀번호는 해시 처리되어 안전하게 전송되니 걱정하지 않아도 됩니다. 혹시 여러분도 지금 바로 이메일 주소를 입력해서 확인해보신 적 있으세요?
유출됐다면 지금 당장 해야 할 조치 3가지
검색 결과에서 유출 이력이 나왔다고 해서 당장 큰일이 나는 건 아니지만, 방치하면 위험이 커집니다. 다음 순서로 대응하는 게 좋습니다.
1. 해당 비밀번호를 쓰는 모든 곳에서 즉시 변경하기
유출된 비밀번호와 같거나 비슷한 비밀번호를 다른 사이트에서도 쓰고 있다면 전부 바꿔야 합니다. 이때 서로 다른 사이트마다 완전히 다른 비밀번호를 쓰는 게 핵심입니다.
2. 2단계 인증(2FA) 켜기
비밀번호만으로는 부족합니다. 구글 OTP 앱이나 문자 인증을 추가해두면 비밀번호가 유출돼도 로그인 자체가 막힙니다. 특히 회사 이메일, 클라우드 저장소, 금융 앱은 반드시 2FA를 켜두시길 권합니다.
3. 계정 활동 내역 확인하기
구글, 카카오 등 주요 서비스는 '로그인 기록' 메뉴에서 낯선 기기나 지역에서의 접속 이력을 보여줍니다. 모르는 접속이 있다면 즉시 비밀번호 변경과 함께 다른 기기 로그아웃 처리를 해야 합니다. 이전에 정리한 인공지능 스미싱 구별법 및 차단 설정 글에서도 다뤘듯, 요즘은 유출된 개인정보를 활용한 맞춤형 피싱 문자까지 결합되는 경우가 많아 계정 점검과 스미싱 대비는 함께 챙기는 게 안전합니다.
여러 계정 비밀번호 관리, 자동화로 편하게 하는 법
계정이 몇 개 안 되면 수동으로 관리해도 되지만, 직장인 대부분은 업무 툴만 해도 이메일, 그룹웨어, 클라우드, 협업 툴 등 로그인해야 할 곳이 십여 개가 넘습니다. 이걸 전부 다른 비밀번호로 외워서 관리하는 건 사실상 불가능합니다. 이럴 때 비밀번호 관리자를 쓰면 사이트마다 무작위로 강력한 비밀번호를 자동 생성해주고, 로그인 시 자동으로 입력해줍니다.
대표적으로 Bitwarden은 무료 플랜만으로도 무제한 비밀번호 저장과 기기 간 동기화가 가능해서 개인 용도로는 충분합니다. 조직 단위로 공유 폴더나 긴급 접근 기능이 필요하다면 프리미엄 플랜(연간 약 10달러 수준)이나 팀용 플랜(사용자당 월 약 4달러)으로 넘어가면 됩니다. 1Password는 개인 플랜이 월 약 3천 원대부터 시작하고, 유출 모니터링 기능인 워치타워를 통해 저장된 계정 중 유출된 것이 있으면 자동으로 알려줍니다. 즉 매번 HIBP 사이트에 들어가 일일이 검색할 필요 없이, 비밀번호 관리자 하나만 제대로 설정해두면 유출 감지부터 비밀번호 교체까지 절반 이상 자동화할 수 있는 셈입니다. 회사에서 여러 툴을 쓰는 분이라면 개인 무료 플랜부터 시작해보고, 팀 전체 보안이 걱정된다면 유료 팀 플랜 도입을 건의해보는 것도 방법입니다.
유출 재발을 막는 습관 만들기
한 번 점검하고 끝내는 게 아니라 주기적으로 확인하는 습관이 중요합니다. HIBP에는 이메일을 등록해두면 새로운 유출 사고가 발생할 때마다 자동으로 알림 메일을 보내주는 기능이 있으니, 등록해두고 잊고 지내도 됩니다. 또한 사이트마다 다른 비밀번호를 쓰는 원칙, 중요 계정에는 반드시 2FA를 적용하는 원칙, 그리고 의심스러운 로그인 알림이 오면 바로 확인하는 습관까지 세 가지만 지켜도 계정 탈취 위험을 상당히 줄일 수 있습니다. 저는 이후로 분기에 한 번씩 캘린더 알림을 걸어두고 주요 계정을 점검하고 있는데, 이 정도 루틴만으로도 마음이 훨씬 편해졌습니다.
지금까지 이메일 계정 유출 확인하는 법과, 유출됐을 때 대처법, 그리고 비밀번호 관리 자동화 방법까지 살펴봤습니다. 핵심은 딱 하나입니다. 지금 이 글을 읽고 있는 순간, haveibeenpwned.com에 이메일 주소 한 번 넣어보는 것. 5분이면 끝나는 이 확인 하나가 나중에 겪을 수 있는 큰 골치거리를 막아줄 수 있습니다. 여러분은 비밀번호 관리, 어떤 방법으로 하고 계신가요? 아직 확인해본 적 없다면 댓글로 결과 한번 공유해주세요.