이메일은 마스터 키입니다
거의 모든 온라인 서비스가 '비밀번호를 잊으셨나요?'라며 이메일을 통한 계정 복구를 제공합니다. 따라서 여러분의 이메일 주소를 손에 쥔 사람은 Amazon 계정, 뱅킹 앱, 소셜 네트워크, 클라우드 저장소, Apple ID나 Google 계정까지 잠재적으로 장악하게 됩니다.
여러분의 Gmail이나 Outlook에 접근한 공격자는, 비밀번호를 단 하나도 알지 못한 채로 그 이메일에 연결된 어떤 서비스에서든 비밀번호 재설정을 걸 수 있습니다. Gmail 비밀번호를 강력하게 만드는 것은 Spotify 비밀번호보다 비교할 수 없을 만큼 더 중요합니다.
이것이 바로 보안 전문가들이 말하는 '가장 약한 고리'입니다. 공격자는 가장 잘 보호된 서비스를 노리지 않습니다. 다른 서비스로 이어질 수 있는, 가장 허술하게 보호된 서비스를 노립니다.
이메일 계정을 노리는 흔한 공격들
네 가지 공격 경로가 이메일 계정 탈취의 절대다수를 차지합니다.
가장 빈번한 것은 표적 피싱입니다. Google, Microsoft, Apple을 흉내 낸 이메일이 다시 로그인하라고 유도하고, 피싱 페이지가 여러분의 자격 증명을 실시간으로 가로챕니다. 크리덴셜 스터핑은 다른 서비스에서 유출된 비밀번호 데이터베이스를 악용합니다(Have I Been Pwned는 150억 개가 넘는 노출 계정을 목록화하고 있습니다). 같은 비밀번호를 재사용한다면, 공격자는 자동으로 그 비밀번호를 여러분의 이메일에 시도합니다. SIM 스와핑은 통신사에서 여러분의 전화번호를 탈취해 인증 문자를 가로챕니다. 무차별 대입(brute force)은 2FA가 없고 단순한 비밀번호를 쓰는 계정을 노립니다.
이메일을 지키는 방법
효과가 큰 순서로 정리한 다섯 가지 구체적 행동입니다.
- →2단계 인증(2FA)을 켜세요. SIM 스와핑에 취약한 SMS보다는, 인증 앱(Google Authenticator, Authy, Aegis)을 이용하는 편이 좋습니다.
- →비밀번호 관리자(Bitwarden, 1Password)로 생성한 고유하고 긴 비밀번호(20자 이상)를 사용하고, 다른 곳에서 절대 재사용하지 마세요.
- →활성 세션을 주기적으로 확인하세요. Gmail에서는 페이지 하단의 '계정 활동'을 클릭해 의심스러운 접속을 확인하고 종료할 수 있습니다.
- →새 기기 로그인 알림을 켜세요. Gmail과 Outlook은 새로운 로그인이 있을 때마다 이메일이나 알림을 보냅니다.
- →잘 모르는 사이트에서는 주 이메일 주소를 로그인 아이디로 쓰지 마세요. 별칭 주소(SimpleLogin, Apple Hide My Email)를 사용하세요.
디지털 보안은 하나의 사슬입니다. 그 가장 약한 고리는 정작 여러분이 지키려는 서비스가 아니라, 이메일인 경우가 많습니다. 오늘 5분만 들여 주 이메일 계정에 2FA를 켜세요. 개인 디지털 보안에서 들인 노력 대비 보호 효과가 가장 높은 단 하나의 행동입니다.
- Have I Been Pwned — aggregated data-breach database (Troy Hunt), homepage account count
- Google Security Team, with New York University & UC San Diego — “New research: How effective is basic account hygiene at preventing hijacking,” Google Security Blog, 2019
- Kevin Lee, Ben Kaiser, Jonathan Mayer, Arvind Narayanan — “An Empirical Study of Wireless Carrier Authentication for SIM Swaps,” SOUPS 2020, Princeton University
- NIST Special Publication 800-63B — Digital Identity Guidelines: Authentication and Lifecycle Management (§5.1.3.3)
계정 보안 상태 확인하기