며칠 전 회사 동료가 점심 먹다가 갑자기 "어? 나 이거 왜 본 적 없는 로그인 알림이 와있지?"라며 휴대폰을 보여줬습니다. 쇼핑몰에서 낯선 IP로 로그인 시도가 있었다는 메일이었죠. 비밀번호를 몇 년째 안 바꾸고 여러 사이트에 똑같이 쓰고 있었다는 걸 그제야 깨닫더군요. 솔직히 저도 작년까지 똑같았습니다. "설마 내 정보가 유출됐겠어" 하고 미루다가, 막상 이메일 비밀번호 유출 확인 사이트 사용법을 찾아보고 돌려봤더니 제 메일 주소가 무려 4개의 과거 유출 데이터베이스에 올라가 있었습니다. 그중 하나는 제가 10년 전에 가입하고 완전히 잊고 있던 쇼핑몰이었고요. 이 글은 직장인이 업무 중 5분만 투자해서 끝낼 수 있는, Have I Been Pwned(HIBP)로 이메일·비밀번호 유출 여부를 확인하고 바로 대응하는 절차를 정리한 겁니다. AI 시대에는 유출된 개인정보가 피싱 메일 자동 생성이나 딥보이스 사기에도 악용되기 때문에, 이런 점검을 자동화 루틴처럼 주기적으로 해두는 게 결국 생산성의 일부라고 생각합니다.
3줄 요약
- haveibeenpwned.com에 이메일 주소만 입력하면 과거 유출 사고 목록이 무료로 뜬다.
- Pwned Passwords 기능은 비밀번호를 서버에 그대로 보내지 않고 해시 앞 5자리만 비교하는 k-anonymity 방식이라 안전하다.
- 유출이 확인되면 그 사이트 비밀번호부터 즉시 바꾸고, 같은 비밀번호를 쓰는 다른 곳도 전부 바꾼 뒤 비밀번호 관리자로 전환하는 게 가장 빠른 해법이다.
Have I Been Pwned가 뭐고 왜 믿어도 될까?
Have I Been Pwned는 호주의 보안 전문가 트로이 헌트가 만든 무료 유출 확인 서비스입니다. 2026년 9월 기준 전 세계 1,000개 이상 사이트에서 발생한 유출 사고 데이터, 누적 178억 건 이상의 유출 계정 정보를 모아두고 있습니다. 회원가입도 필요 없고, 이메일 주소만 입력하면 그 주소가 어떤 유출 사고에 포함됐는지 몇 초 안에 보여줍니다.
가장 많이 나오는 질문이 "내 비밀번호를 거기 입력해도 되나요?"인데, 결론은 안전합니다. 비밀번호 확인 기능(Pwned Passwords)은 입력한 비밀번호를 그대로 서버에 보내지 않습니다. 비밀번호를 내 브라우저(기기)에서 먼저 해시값으로 변환한 다음, 그 해시의 앞 5자리만 서버로 보내서 "이 패턴으로 시작하는 유출 해시가 있는지"를 비교합니다. 이걸 k-anonymity 방식이라고 부르는데, 전체 비밀번호나 전체 해시값이 서버에 노출되지 않는다는 게 핵심입니다. 공식 FAQ에서도 "웹사이트에 명시적으로 로그되는 정보는 없다"고 밝히고 있습니다.
이메일 유출 확인하는 법, 정말 1분이면 끝날까?
실제로 해보면 체감상 1분이 안 걸립니다. 절차를 표로 정리했습니다.
| 단계 | 할 일 | 소요 시간 |
|---|---|---|
| 1 | haveibeenpwned.com 접속 | 5초 |
| 2 | 상단 검색창에 자주 쓰는 이메일 주소 입력 후 "pwned?" 클릭 | 10초 |
| 3 | 결과 확인: "Oh no — pwned!"(유출됨) 또는 "Good news — no pwnage found!"(안전) | 5초 |
| 4 | 유출됐다면 아래로 스크롤해 어떤 사이트에서, 언제, 어떤 정보가 샜는지 목록 확인 | 20초 |
| 5 | 회사 메일, 개인 메일, 자주 쓰는 보조 메일까지 각각 반복 | 1~2분 |
결과 목록에는 유출된 서비스 이름, 유출 시점, 유출된 데이터 종류(이메일만인지, 비밀번호·전화번호·주소까지 포함인지)가 따로 표시됩니다. 비밀번호까지 함께 유출됐다고 나오면 그 서비스에서 쓰던 비밀번호는 지금 당장 바꿔야 하는 수준이라고 보시면 됩니다. 저는 확인했을 때 2016년, 2019년 유출 2건에 비밀번호까지 함께 샜다고 나와서 좀 놀랐습니다. 이미 10년 다 된 일이라 "지금 와서 무슨 의미가 있나" 싶었는데, 문제는 그 비밀번호를 당시에 다른 사이트 3~4곳에도 똑같이 썼다는 거였죠.
비밀번호 자체가 유출됐는지는 어떻게 따로 확인하나요?
이메일 주소 검색과 별개로, 특정 비밀번호 하나가 과거 유출 데이터에 포함된 적 있는지 바로 확인하고 싶다면 사이트 내 "Pwned Passwords" 페이지를 이용하면 됩니다. 비밀번호를 입력하면 몇 번 유출 사고에 등장했는지 숫자로 알려줍니다. 1회 이상 나온다면 더 미루지 말고 바꿔야 할 비밀번호입니다. 자주 쓰는 비밀번호 패턴(예: 생일+이름 조합)을 이 기능으로 미리 돌려보는 것도 추천합니다 — 실제로 안 쓰고 있는 비밀번호라도 비슷한 패턴을 다른 서비스에서 재사용하고 있다면 참고가 되거든요.
유출 확인됐을 때 바로 해야 할 것, 체크리스트
유출이 뜨는 순간 머리가 복잡해지는데, 아래 순서대로만 하면 됩니다.
- [ ] 유출된 서비스에 로그인해서 비밀번호를 지금 바로 변경한다
- [ ] 그 비밀번호를 다른 사이트에도 똑같이 썼는지 기억을 더듬어 전부 바꾼다 (가장 많이 빠뜨리는 단계)
- [ ] 해당 계정에 2단계 인증(OTP)이 있다면 켠다
- [ ] 유출 데이터에 전화번호·주소까지 포함됐다면, 그 번호로 오는 스미싱·보이스피싱 문자를 평소보다 더 의심한다
- [ ] 비밀번호 관리자를 쓰고 있지 않다면 이번 기회에 도입을 검토한다
마지막 항목이 사실 제일 중요합니다. 사람 머리로 사이트마다 다른 비밀번호 수십 개를 기억하는 건 불가능에 가깝거든요. 저는 이 사건 이후로 Bitwarden을 쓰기 시작했는데, 무료 플랜만으로도 비밀번호·패스키·보안 메모를 개수 제한 없이 저장하고 모든 기기에서 동기화, 자동 입력까지 다 됩니다. 유료 Premium 플랜은 연 19.80달러(월 약 1.65달러) 수준으로 TOTP 인증코드 생성, 보안 리포트(재사용 비밀번호 자동 탐지), 파일 첨부 기능이 추가되는데, 처음에는 무료 플랜만으로 시작해도 충분합니다. 참고로 패스키로 전환한 뒤 로그인이 막혔을 때 체크리스트도 같이 봐두시면 비밀번호 의존도를 더 줄이는 데 도움이 됩니다.
AI 시대 유출 정보, 왜 비밀번호 하나로 끝나지 않을까?
예전엔 비밀번호 유출이 "그 계정만 털리는" 문제였지만, 요즘은 유출된 이메일·전화번호가 AI 기반 피싱의 재료로 쓰입니다. 유출 데이터에 포함된 실명, 가입 서비스 목록, 구매 이력 같은 디테일을 AI가 조합하면 "안녕하세요 OOO님, 지난주 주문하신 상품이..." 식으로 훨씬 자연스러운 사기 메일을 대량으로 만들 수 있습니다. 최근 화제가 됐던 영상통화 딥페이크 가족 사기도 결국 유출된 개인정보에서 출발하는 경우가 많습니다. 그러니 비밀번호 유출 확인은 단순히 "그 사이트 하나 조심하자"가 아니라, 전체적인 개인정보 노출 수준을 가늠하는 용도로 봐야 합니다.
자주 묻는 질문
Q. Have I Been Pwned에 내 이메일을 검색하면 그 기록이 남나요?
A. 공식 FAQ에 따르면 검색 자체는 로그로 남기지 않는다고 명시돼 있습니다. 단, 유출 알림을 구독(이메일 등록)하면 알림 발송을 위해 그 이메일만 별도로 저장됩니다.
Q. 무료인데 왜 믿어도 되나요?
A. 운영자가 보안 연구자로서 신뢰도를 쌓아온 비영리성 공공 서비스에 가깝고, 마이크로소프트 등 기업 보안팀도 실제로 참고 자료로 사용합니다. 광고나 수익 목적의 피싱 사이트가 아니라는 점은 오랜 운영 기간과 보안 커뮤니티의 검증으로 확인된 부분입니다.
Q. 유출됐다고 나왔는데 지금 그 사이트를 안 쓰면 그냥 무시해도 되나요?
A. 그 사이트는 안 써도, 같은 비밀번호를 다른 곳에 재사용했는지가 진짜 문제입니다. 탈퇴한 서비스라도 비밀번호 패턴만큼은 반드시 점검하시는 게 안전합니다.
오늘 알려드린 건 거창한 보안 솔루션이 아니라, 커피 한 잔 내리는 시간에 끝나는 점검 습관입니다. 이메일 주소 1~2개 검색하고, 유출이 있으면 그 자리에서 비밀번호만 바꿔도 리스크가 확 줄어듭니다. 혹시 지금 이 글 읽으시면서 "나도 한번 확인해봐야겠다" 싶은 분 계신가요? 검색해보고 결과가 어땠는지, 댓글로 공유해주시면 다음 글에서 더 구체적인 대응법으로 풀어보겠습니다.