내 아이디·비밀번호가 유출됐는지 확인하는 방법
어느 날 낯선 곳에서 로그인 시도 알림이 오거나, 쓰지도 않은 서비스에서 가입 안내 메일이 온다면 내 아이디와 비밀번호가 이미 유출됐을 가능성이 있다. 문제는 유출이 됐는지 스스로 알아채기 어렵다는 점이다. 다행히 정부가 무료로 확인해 주는 창구가 있다. 이 글에서는 유출 여부를 직접 확인하는 방법과, 유출이 맞았을 때 순서대로 해야 할 일을 정리한다.
왜 확인이 필요한가
공격자들이 즐겨 쓰는 수법 중에 크리덴셜 스터핑이 있다. 한 사이트에서 새어 나온 아이디와 비밀번호 조합을 다른 사이트에 그대로 자동으로 대입해 보는 공격이다. 사람들이 여러 곳에 같은 비밀번호를 돌려쓴다는 점을 노린다. 그래서 몇 년 전 잊고 지낸 사이트에서 새어 나간 비밀번호 하나가, 지금 쓰는 이메일과 포털 계정을 여는 열쇠가 되기도 한다. 내 조합이 이미 시중에 돌고 있는지부터 확인하는 것이 방어의 출발점이다.
유출은 대개 나와 무관한 곳에서 시작된다. 내가 가입했던 어느 쇼핑몰이나 커뮤니티가 해킹당하면, 거기 저장돼 있던 내 아이디와 비밀번호가 통째로 새어 나가 거래된다. 내 관리가 아무리 철저해도 서비스 쪽에서 뚫리면 막을 방법이 없다. 그래서 "내가 조심하니 괜찮다"가 아니라 "이미 새어 나갔다고 가정하고 확인한다"는 태도가 현실적이다.
'털린 내 정보 찾기'로 확인하기
개인정보보호위원회와 한국인터넷진흥원(KISA)이 함께 운영하는 무료 서비스가 있다. 이름은 털린 내 정보 찾기이고, 주소는 kidc.eprivacy.go.kr이다. 여기에 평소 쓰는 아이디와 비밀번호 조합, 또는 이메일과 비밀번호 조합을 입력하면, 그 조합이 다크웹이나 해킹 사고를 통해 불법 유통되고 있는지 대조해 알려준다. 한 번에 최대 5개 계정까지 확인할 수 있다.
비밀번호를 직접 넣는다는 점이 불안하게 느껴질 수 있는데, 정부가 운영하는 공식 서비스이고 조회 목적 외 저장을 하지 않는다고 안내한다. 그래도 마음이 쓰인다면, 가장 중요한 이메일과 포털 계정처럼 뚫리면 피해가 큰 것부터 우선 확인하면 된다. 조회 결과 유출 이력이 없다고 나와도 안심하기보다는, 그 시점까지 확인된 유통 정보에 없었다는 뜻으로 받아들이는 것이 정확하다.
유출로 확인됐다면, 이 순서로
- 해당 계정 비밀번호부터 즉시 변경한다. 다른 곳에서 쓰지 않은, 길고 복잡한 새 비밀번호로 바꾼다.
- 같은 비밀번호를 쓰던 다른 사이트를 모두 바꾼다. 이메일과 포털처럼 다른 계정 복구의 관문이 되는 곳을 먼저 처리한다.
- 2단계 인증을 켠다. 비밀번호가 새어 나가도 휴대폰 인증이나 인증 앱이 한 겹 더 막아 주므로, 비밀번호만 아는 공격자는 로그인에 실패한다.
- 마지막 로그인 기록과 계정 복구용 연락처가 바뀌지 않았는지 확인한다.
평소에 해 둘 것
가장 확실한 예방은 비밀번호를 사이트마다 다르게 쓰는 것이다. 외우기 어렵다면 비밀번호 관리 앱이나 브라우저의 저장 기능을 활용하고, 핵심 계정에는 2단계 인증을 기본으로 켜 둔다. 유출 확인은 한 번으로 끝내지 말고 반년에 한 번 정도 점검하는 습관을 들이면 좋다. 이런 확인과 대응은 2026년 8월 기준으로도 여전히 유효한 기본기다.