# 비밀번호는 얼마나 자주 바꿔야 하나——이유가 있을 때만

> 거의 아무도 해 주지 않는 답이 있다. 달력을 보고 바꿀 필요는 없다. 무슨 일이 생겼을 때 바꾸는 것이다. 무엇이 「무슨 일」에 해당하는지, 그리고 나머지 시간——즉 거의 언제나——에는 무엇을 해야 하는지.

2026-09-02 · David Carrero · password.es
Original: https://password.es/ko/blog/bimilbeonho-eolmana-jaju-bakkwoya-hana/

---

결론부터 시작하자. 답은 짧은데 온전히 말해 주는 사람이 거의 없기 때문이다.
**이유가 있을 때. 구십 일마다가 아니라.**

달력을 보고 바꾸는 습관은 몸에 배어 있어서 거의 위생처럼, 이를 닦는 일처럼
느껴진다. 그러나 그것은 유효기간이 있는 권고였고 기간은 이미 지났다. 미국
NIST가 2003년에 썼고, 2017년에 철회했으며, 그 문서의 저자는 같은 해에 공개적으로
사과했다. 그 이야기는 [비밀번호란 무엇인가](/ko/blog/bimilbeonhoran/)에서 통째로
다뤘다. 여기서 중요한 것은 다른 쪽, 거의 설명되지 않는 쪽이다. **당신이 오늘,
당신의 비밀번호를 가지고 무엇을 할 것인가.**

## 달력은 당신이 무엇을 도둑맞았는지 모른다

날짜로 돌리는 방식의 문제는 날짜에 아무런 정보가 없다는 점이다.

누군가 2월의 어느 화요일에 당신의 비밀번호를 손에 넣었다면, 기한이 됐다고 4월
1일에 바꾸는 것은 그에게 한 달 반이 넘는 접근권을 선물하는 셈이다. 그리고 아무도
손대지 않았다면, 바꾸는 일은 아무것도 막지 못했다. 좋은 비밀번호를 아마도 더
나쁜 비밀번호로 바꿔 놓았을 뿐이다. 의무로 짜내는 비밀번호는 성의 없이 짜내기
때문이다.

실패의 메커니즘 전체가 여기 있다. **강제 순환은 새 비밀번호를 만들지 않는다.
변종을 만든다.** `Yeoreum2026!`이 `Gaeul2026!`이 되고 다시 `Gyeoul2026!`이 된다.
공격하는 쪽은 그것을 안다. 그 수열은 그것이 나온 벽걸이 달력만큼이나 예측
가능하기 때문이다. 시스템은 만족한다——비밀번호가 「바뀌었다」——그런데 실제 안전은
올라간 게 아니라 내려갔다.

그래서 NIST는 **SP 800-63B**에서 두 가지를 함께 말한다. 시간을 이유로 임의로
바꾸게 하지 말 것, 그리고 **침해의 정황이 있으면 즉시 변경을 강제할 것**. 바꾸는
일이 아무래도 좋다는 뜻이 아니다. 방아쇠가 날짜가 아니라 사실이어야 한다는
뜻이다.

## 정말로 셈에 들어가는 이유들

목록은 이렇다. 다음 중 하나라도 벌어졌다면 비밀번호는 다음 달이 아니라 오늘
바꾼다.

- **유출 목록에 나타났다.** 해당 서비스의 유출이든, 같은 것을 쓰던 다른 어떤
  서비스의 유출이든.
- **재사용했다.** `X`가 유출됐고 다른 네 곳에도 같은 것을 걸어 뒀다면, 바꿀
  비밀번호는 하나가 아니라 다섯이다.
- **그 사이트가 아닌 사이트에 입력했다.** 급하게 온 메일, 링크, 비슷하게 생긴
  양식. 2초 뒤에 알아차렸다는 사실은 상관없다. 이미 보낸 뒤다.
- **공유했다.** 배우자에게, 동료에게, 업무 대화방에, 종이에. 누가 읽는지 당신이
  통제하지 못하는 통로를 지나간 비밀번호는 더 이상 당신 것이 아니다.
- **이상한 움직임이 보인다.** 가 본 적 없는 곳에서의 로그인, 요청하지 않은
  재설정 메일, 쓴 적 없는 보낸 메시지.
- **기기가 침해됐다.** 악성코드가 있는 컴퓨터, 잃어버린 휴대전화, 모르는
  수리점을 거쳐 온 노트북.
- **서비스가 알려 준다.** 회사가 그 메일을 보내면 그날 안에 처리하라. 문자
  그대로 SP 800-63B가 상정하는 경우다.
- **동거가 끝났다.** 헤어진 상대, 함께 쓰던 집, 동업자. 둘의 것이던 계정이 이제
  한 사람의 것이 되었다.

공통점을 보라. **전부 사실이다.** 「구십 일이 지났다」는 항목은 하나도 없다.

첫 번째 항목에는 도구가 있다. 특정 비밀번호가 이미 돌아다니는 목록에 있는지,
그리고 얼마나 버틸지 알고 싶다면 [비밀번호 검사기](/ko/checker/)에 넣어 보라.
분석은 당신의 브라우저 안에서 이뤄지고, 거기서 밖으로 나가지 않는다.

## 이유가 있을 때는 순서가 중요하다

비밀번호를 바꾸는 것은 당연한 수순이고, 많은 경우 첫 번째 수순이 아니다. 같은
일을 두 번 하지 않게 해 주는 순서는 이렇다.

**먼저 기기.** 입력하는 것을 읽어 가는 무언가가 깔려 있다고 의심된다면, 바로 그
기기에서 비밀번호를 바꾸는 일은 새 비밀번호를 직접 건네주는 것과 같다. 먼저
정리하거나 다른 기기를 쓰라.

**그다음 메일.** 당신의 메일 계정은 여러 계정 중 하나가 아니다. 나머지 전부의
「비밀번호를 잊었어요」 링크를 받는 계정이다. 메일을 쥔 사람은 나머지를 정문으로
쥔다. 시작할 비밀번호가 하나뿐이라면 바로 그것이다.

**이어서 열려 있는 세션을 닫는다.** 비밀번호를 바꿔도 이미 안에 있는 사람이 늘
쫓겨나는 것은 아니다. 계정 설정에서 모든 기기에서 로그아웃하는 항목을 찾아
사용하라. 그러지 않으면 침입자는 당신의 비밀번호가 더는 필요 없는 세션으로 계속
연결돼 있다.

**그리고 마지막으로, 무엇을 심어 놓았는지 확인한다.** 가장 많이 건너뛰는
단계다. 계정에 들어온 사람은 구경만 하지 않는다. 복구용 메일 주소를 바꾸고,
전화번호를 추가하고, 자기 이차 인증을 켜고, 애플리케이션을 연결하고, 메일함에
전달 규칙을 심는다. **비밀번호만 바꾸고 그것을 확인하지 않으면, 내일 활짝 열린
문으로 다시 들어온다.** 복구 수단, 승인된 기기, 연결된 앱, 전달 규칙을 되짚어
보라.

한 가지 더. 너무 당연해서 가장 많이 무시되는 것이다. 바꿀 때 새 비밀번호는
반드시 **새것**이어야 한다. 늘 쓰던 것에 숫자만 바꾼 것이 아니라.
[생성기](/ko/)에서 만들고, 당신의 기억에 의존하지 않는 곳에 보관하라.

## 나머지 삼백육십 일에는 무엇을 하나

방아쇠가 사실이고 그 사실이 드물다면, 질문은 다른 것이 된다. 그러면 할 일이
없는가? 정반대다. 순환이 서툴게 풀려던 문제는 네 가지로 잘 풀린다. 그리고 네
가지 모두 한 번만 하면 된다.

**길게 만들 것.** SP 800-63B는 비틀기보다 길이를 앞세운다. 긴 비밀번호가 기호를
욱여넣은 짧은 것보다 낫다. 일의 대부분은 여기에 있다.

**사이트마다 다르게 할 것.** 남의 유출을 화재가 아니라 작은 사고로 바꿔 주는
것이 바로 이것이다. 계정마다 고유하다면 하나가 새어도 나머지에 닿지 않는다.
돌려쓴다면, 써 본 기억조차 없는 서비스가 당신 은행 계정의 안전을 결정한다.

**유출 목록과 대조할 것.** NIST가 한 교체가 정확히 이것이다. 기호를 요구하는
대신, 당신의 비밀번호가 이미 돌아다니지 않는지 확인하는 것. 이 확인은 정말로
유효기간이 있다——오늘 목록에 없는 비밀번호가 내년에는 올라 있을 수 있다——그래서
좋은 관리자는 이 확인을 스스로 반복하고 당신에게 알려 준다.

**가능한 곳에는 이차 인증을 둘 것.** 이차 인증이 걸려 있으면 훔친 비밀번호는
열쇠이기를 그만두고 반쪽 열쇠가 된다.

이 넷이 함께 순환이 한 번도 해내지 못한 일을 해낸다. **이유가 있는 바로 그때
비밀번호를 바꾼다. 이유가 있다는 사실을 당신이 알게 되기 때문이다.** 목록을
지켜보는 관리자는 경보 장치다. 달력은 아무것도 알리지 않는다. 그저 지나갈 뿐이다.

## 회사에서 구십 일마다 강제한다면

흔하다. 십오 년 전에 쓰인 뒤 아무도 다시 열어 보지 않은 정책이 있기 때문이다.
두 가지.

첫째, 실무적으로. 바꿔야 한다면 **진짜로 바꿔라**. 통째로 새것을 생성해 관리자에
넣어라. 계절별 변종은 바꾸지 않는 것보다 나쁜 유일한 선택이다. 무언가 한 것 같은
기분을 주기 때문이다.

둘째, 정책을 움직일 수 있는 사람에게. 논거를 지어낼 필요가 없다. **SP 800-63B**에
있다. NIST의 공식 지침이고, 비밀번호의 주기적 변경을 요구해서는 안 되며 침해의
정황이 있을 때는 변경을 강제해야 한다고 명시돼 있다. 오늘도 구십 일 규칙을
유지하는 곳은, 그것을 펴낸 바로 그 기관이 몇 년 전에 대체한 문서를 따르고 있는
셈이다.

## 짧은 답, 다시 한번

비밀번호는 얼마나 자주 바꿔야 하나? **무슨 일이 생겼을 때.**

그리고 「무슨 일이 생겼을 때」는 생겼다는 사실을 알아야만 작동하므로, 긴 답은
이렇다. 모든 비밀번호를 길고, 서로 다르고, 감시받는 상태로 두라. 그러면 하나를
바꿔야 하는 날 당신은 그것을 알게 되고, 대상은 하나뿐이며, 2분이면 끝난다.

나머지는 안심하려고 달력에 칸 하나를 표시하는 일일 뿐이다.

---

*출처: NIST SP 800-63「Electronic Authentication Guideline」(2003), 구성 규칙과
주기적 변경이 등장하는 문서 · NIST SP 800-63B「Digital Identity Guidelines:
Authentication and Lifecycle Management」(2017): 복잡성보다 길이, 임의의 주기적
변경 없음, 침해 정황이 있을 때의 강제 변경, 유출된 비밀번호 목록과의 대조 ·
2003년 지침의 저자 빌 버가 2017년 8월 월스트리트 저널에 한 발언.*