내 비밀번호가 유출됐을까? 확인 방법과 유출됐을 때 할 일

MaciPhoneAndroidWindows업데이트

저장해 둔 비밀번호가 유출되었는지는 대개 휴대전화나 컴퓨터가 이미 알려 줄 수 있습니다. Apple의 암호 앱과 Google 비밀번호 관리자는 저장된 비밀번호를 알려진 데이터 유출과 비교해, 해당하는 것을 알려 줍니다. 유출된 비밀번호가 나오면 그 사이트와, 같은 비밀번호를 쓴 다른 곳에서 모두 바꾸고 2단계 인증을 켜세요.

간단한 답변

iPhone이나 Mac에서는 암호 앱을 열고 보안을 선택합니다. 다른 기기에서는 Chrome이나 passwords.google.com에서 Google의 비밀번호 진단을 실행합니다. 둘 다 저장된 비밀번호 가운데 유출된 것을 알려 줍니다. 아이디와 비밀번호가 다크웹 등에서 유통되는지는 털린 내 정보 찾기 서비스로도 확인할 수 있습니다. 나온 비밀번호는 바로 바꾸고 2단계 인증을 켜세요.

iPhone이나 Mac에서 확인하려면?

암호 앱을 씁니다. Apple은 iPhone이 사용자의 암호를 안전하게 모니터링하고, 감지된 데이터 유출에 암호가 포함되면 경고한다고 설명합니다.

iPhone에서는 이렇게 합니다.

  1. 암호 앱을 엽니다.
  2. 보안을 탭합니다. 계정의 암호가 취약하거나 유출된 경우 문제를 설명하는 메시지가 표시됩니다.
  3. 계정을 탭한 다음 암호 변경을 탭하고, 웹사이트나 앱에서 암호를 바꿉니다.

Mac에서는 이렇게 합니다.

  1. 암호 앱을 엽니다.
  2. 사이드바에서 보안을 클릭합니다. 취약한 암호나 유출된 암호가 있는 계정이 나열됩니다.
  3. 계정을 클릭한 다음 암호 변경을 클릭하고, 웹사이트나 앱에서 암호를 바꿉니다.

이 감지 기능은 끌 수 있으므로 켜져 있는지 확인하세요. iPhone에서는 설정 > 앱 > 암호에서 유출된 암호 감지를 켭니다. Mac에서는 암호 앱에서 암호 > 설정을 선택한 다음 유출된 암호 감지를 선택합니다.

Google 비밀번호 관리자로 확인하려면?

비밀번호 진단을 실행합니다. Google은 Google 계정에 저장된 비밀번호가 노출됨, 안전하지 않음, 여러 계정에서 사용됨 가운데 어디에 해당하는지 확인할 수 있다고 설명합니다.

  • 컴퓨터의 Chrome: 오른쪽 상단에서 더보기 > 비밀번호 및 자동 완성 > Google 비밀번호 관리자를 선택하고, 왼쪽에서 진단을 선택합니다.
  • Android의 Chrome: 더보기 > 설정 > 자동 완성 및 비밀번호 > Google 비밀번호 관리자 > 진단을 탭합니다.
  • 다른 브라우저: passwords.google.com으로 이동해 비밀번호 진단으로 이동 > 비밀번호 확인을 선택합니다. 로그인해야 할 수 있습니다.

Google은 해킹되거나 도용된 비밀번호와 사용자 이름 조합은 온라인에 공개되어 안전하지 않으므로, 최대한 빨리 바꾸는 것이 좋다고 말합니다.

국내에서 확인할 수 있는 서비스도 있나요?

있습니다. 개인정보보호위원회와 KISA(한국인터넷진흥원)가 운영하는 털린 내 정보 찾기 서비스(kidc.eprivacy.go.kr)는 다크웹 등에서 내 계정정보(아이디나 이메일, 비밀번호)가 불법으로 유통되고 있는지 확인하는 서비스입니다. 홈페이지에서 유출여부 조회하기를 누르고 본인인증을 거친 뒤 조회합니다. 유출 이력이 확인되면 그 계정을 쓰는 사이트의 비밀번호를 즉시 바꿔 2차 피해를 막으라고 안내합니다.

영국 국가사이버보안센터(NCSC)도 공개된 데이터 유출에 내 정보가 나왔는지 확인하는 온라인 도구로 haveibeenpwned.com을 예로 들고, 백신이나 비밀번호 관리자에 비슷한 기능이 들어 있는 경우가 많다고 말합니다.

비밀번호가 유출됐다면 무엇을 해야 하나요?

그 비밀번호를 바꾸고, 같은 비밀번호를 쓴 곳도 모두 바꿉니다. NCSC는 범죄자가 유출된 비밀번호를 다른 계정에 그대로 넣어 보는 방법(크리덴셜 스터핑)을 쓰며, 많은 사람이 같은 비밀번호를 여러 곳에 쓰기 때문에 이 방법이 통한다고 설명합니다. 또 비밀번호가 도난당하는 가장 흔한 경로는 내 정보를 가진 조직의 데이터 유출이라고 말합니다.

  1. 유출된 비밀번호를 바꿉니다. 메시지 속 링크가 아니라, 주소를 직접 입력하거나 공식 앱으로 그 사이트에 들어갑니다.
  2. 같은 비밀번호를 쓴 다른 계정도 바꿉니다. NCSC는 두 단계가 모두 필요하다고 분명히 말합니다.
  3. 비밀번호 관리자를 씁니다. NCSC는 비밀번호 관리자가 있으면 외울 필요가 없으니 서비스마다 다른 비밀번호를 쓸 수 있고, 강한 비밀번호를 만들어 주며, 올바른 웹사이트에서만 비밀번호를 채우므로 피싱을 막는 데도 도움이 된다고 설명합니다. 내 기기에서는 브라우저나 기기가 비밀번호를 저장하게 해도 안전하며, Chrome, Edge, Safari 같은 주요 브라우저는 모두 비밀번호를 만들거나 저장해 준다고 합니다.
  4. 2단계 인증을 켭니다. 이메일부터 시작해 은행, SNS, 쇼핑 계정 순으로 켜세요. NCSC는 범죄자가 비밀번호를 알아도 계정에 들어오지 못하게 막는 데 도움이 된다고 말합니다.

계정에 로그인할 수 없거나, 보안 설정이 바뀌었거나, 모르는 로그인이 보이면 다른 사람이 내 계정에 로그인했을 때(영어)를 참고하세요. 해킹이나 개인정보 침해가 걱정된다면 KISA의 국번 없이 118에서 상담을 받을 수 있습니다.

PHP2Shell 때문에 내 비밀번호가 유출됐나요?

그렇다는 공식 발표는 없습니다. PHP2Shell은 많은 웹사이트가 쓰는 언어인 PHP의 심각한 취약점 두 가지로, PHP 개발팀이 2026년 10월 21일 수정 버전을 냈습니다. KISA는 이를 로그인 없이 외부에서 서버에 원하는 명령을 실행할 수 있는 치명적 보안 취약점이라고 설명합니다. 서버에 약점이 있다는 것은 정보가 빠져나갔다는 것과 같지 않습니다. NCSC는 데이터 유출을 정보가 도난당하거나 허가 없이 접근된 것이라고 설명합니다.

2026년 10월 23일 기준으로 이 문제와 관련해 영향을 받은 회사나 이용자를 밝힌 공식 권고는 없습니다. 회사가 유출을 알리는 방식은 PHP 취약점과 내 개인정보에서 설명합니다.

Failshot에 대해

비밀번호 정리는 위의 단계가 맡습니다. Failshot은 다른 순간, 누군가 내 Mac 앞에 앉아 잠금을 해제하는 순간을 위한 앱입니다. Mac 암호가 첫 번째 보안 계층이고, Failshot은 그다음인 두 번째 보안 계층(second layer device security)입니다.

Failshot이 켜져 있으면 Mac의 잠금을 해제한 사람의 사진을 찍고, Pro에서는 이어서 5초 동영상도 녹화합니다. 잠금을 해제한 사람은 Failshot 창에서 그 잠금 해제가 촬영되었다는 안내를 보게 됩니다. Pro에서 이메일 알림을 켜면, 내가 본인이라고 확인하지 않은 잠금 해제, 잘못 입력한 Failshot PIN이나 답변, Failshot이 켜져 있는 동안 카메라 접근 권한이 꺼진 경우에 Failshot이 이메일을 보냅니다. Failshot을 끄거나 메뉴에서 종료할 때는 Touch ID 또는 Failshot PIN과 답변을 쓰며, Mac 암호로는 끌 수 없습니다.

Failshot은 failshot.app에서 macOS 14 이상의 Mac용으로 무료로 다운로드할 수 있습니다. 무료로 사용할 수 있습니다. Pro는 동영상, 이메일 알림, 암호화된 보관함을 더합니다. failshot.app에서 Failshot Pro를 7일 동안 무료로 써 볼 수 있습니다. 가입할 때 카드를 등록하며, 해지하지 않으면 8일째에 요금이 청구됩니다. 앱은 영어로 제공됩니다. iPhone, Android, Windows 버전은 출시 예정입니다.

자주 묻는 질문

유출 경고가 떴다면 누군가 내 계정에 들어온 건가요?

그것만으로는 알 수 없습니다. 경고는 그 비밀번호가 알려진 유출에 포함되었다는 뜻입니다. 그래도 바꾸세요. 그다음 NCSC가 꼽는 신호를 확인합니다. 로그인이 안 되는지, 보안 설정이 바뀌었는지, 보내지 않은 메시지가 있는지, 낯선 장소나 시간의 로그인이 있는지 보세요.

Google이 비밀번호 유출을 알려 주나요?

Google은 저장된 비밀번호를 온라인에서 발견하면 사용자에게 알린다고 설명합니다. 이 알림은 passwords.google.com의 오른쪽 상단 설정에서 비밀번호 경보로 켜고 끌 수 있습니다. 알림을 받으면 비밀번호 진단으로 직접 이동해 알림 내용이 사실인지 확인하라고 안내합니다.

더 이상 쓰지 않는 계정의 경고는 어떻게 하나요?

Apple에 따르면 해결할 수 없는 권장 사항은 암호 앱에서 보안을 누르고 계정을 고른 다음 가리기를 누르면 가릴 수 있습니다. 더 이상 쓰지 않는 사이트나 앱의 암호라면, 전체를 누른 뒤 계정을 왼쪽으로 쓸어넘겨 제거할 수 있습니다.

비밀번호보다 패스키가 나은가요?

쓸 수 있다면 검토해 볼 만합니다. NCSC는 비밀번호를 바꿀 때 가능하면 패스키를 쓰는 방법도 있다고 말합니다. Apple은 웹사이트나 앱이 패스키나 Apple로 로그인으로의 업그레이드를 지원하면, 암호를 바꿀 때 그쪽으로 옮길 수 있다고 설명합니다.

내 비밀번호가 유출됐다는 메일이 왔는데 진짜인가요?

아닐 수 있습니다. NCSC는 범죄자들이 유출 사고를 겪은 회사를 사칭한 메시지를 보낸다고 경고합니다. 메일 속 링크는 쓰지 말고, 암호 앱이나 비밀번호 진단, 또는 그 회사의 공식 웹사이트로 확인하세요. 구별하는 법은 보안 업데이트 사칭 메일 구별법에 정리했습니다.

출처