비밀번호 유출 검사

솔직한 한계

이곳에서는 Pwned Passwords 유출 말뭉치만 검사합니다. 수백 건의 알려진 데이터 유출에서 수집한 비밀번호입니다. “찾지 못함”은 “알려진 유출에서 목격되지 않음”을 뜻하며, “안전”을 뜻하지 않습니다.

이메일 유출 조회는 이곳에서 제공하지 않습니다. Have I Been Pwned의 이메일 유출 API는 유료 구독 서비스이므로, 이 페이지에서는 무료로 제공한다고 약속하지 않습니다.

유출 데이터: Have I Been Pwned — Pwned Passwords (haveibeenpwned.com/Passwords).

유출 말뭉치란 무엇인가 — 그리고 숫자는 무엇을 의미하는가

유출 말뭉치는 실제 데이터 유출에서 수집한 비밀번호의 모음입니다. 어떤 서비스가 침해되어 비밀번호 데이터베이스가 유출되면, 그 안에 들어 있던 비밀번호(대개 해시 형태로 저장됨)가 수집되고, 중복이 제거되고, 색인이 생성되어, 누구나 특정 비밀번호가 그 안에 포함되어 있는지 물어볼 수 있습니다. Have I Been Pwned의 Pwned Passwords 말뭉치에는 수백 건의 유출에서 수집한 10억 개가 넘는 비밀번호가 들어 있으며, 새로운 유출이 나타날 때마다 계속 늘어나고 있습니다. 이 규모가 바로 검사의 존재 이유입니다. 여러분이 5초 만에 지어낸 비밀번호는, 정확히 같은 형태로, 다른 수천 명이 이미 지어냈을 가능성이 매우 높습니다. 그리고 그 비밀번호가 유출된 데이터베이스에 한 번이라도 들어 있었다면, 공격자는 이미 목록을 손에 쥐고 도달할 수 있는 모든 로그인 페이지에 시도할 준비가 되어 있습니다.

이 검사는 k-익명성(k-anonymity)이라는 방법 덕분에 비밀번호를 드러내지 않고 동작합니다. 비밀번호는 브라우저에서 SHA-1으로 해시되어 40자 지문이 만들어집니다. 그 지문의 처음 5자만 서비스로 전송됩니다. 서비스는 그 5자를 공유하는 모든 지문 접미사(대개 800개 정도)를 반환하고, 브라우저는 그 목록에서 자신의 접미사를 로컬에서 찾습니다. 5자면 수백 개의 닮은 비밀번호 속에 하나의 비밀번호를 숨기기에 충분하고, 서비스가 여러분이 어떤 비밀번호를 물었는지 알 수 없을 만큼 짧습니다. 비밀번호 자체가 네트워크를 가로지르거나, 서버 로그에 닿거나, URL에 나타나는 일은 없습니다.

찾았다, 찾지 못했다 — 그리고 다음에 할 일

횟수가 0보다 크다는 것은 그 비밀번호가 유출에서 그만큼 목격되었다는 뜻입니다. 수백만 회의 횟수 — “password”는 5천만 번 이상 목격되었습니다 — 는 모든 크리덴셜 스터핑 공격에서 가장 먼저 시도되는 추측 중 하나라는 뜻이며, 이메일과 은행을 시작으로 사용하는 모든 곳에서 바꿔야 합니다. 횟수가 작다고 해서 합격은 아닙니다. 단 한 번의 등장만으로도 그 비밀번호가 공격자의 단어 목록에 들어 있다는 뜻이며, 아마도 추측 가능한 패턴을 따르고 있다는 신호이기도 합니다. 이름에 연도를 붙인 것, 키보드 위를 훑는 것, 흔한 문구의 숫자 하나를 바꾼 것 등이 그렇습니다. 두 경우 모두 해결책은 같습니다. 비밀번호 생성기로 생성한, 다른 어디에서도 사용한 적 없는 고유한 비밀번호로 교체하고, 머리 속이나 메모 파일이 아니라 비밀번호 관리자에 보관하세요.

횟수가 0인 것은 좋은 소식이지만, 엄격한 한계가 있습니다. 그 비밀번호가 이 말뭉치가 알고 있는 유출에서는 목격되지 않았다는 뜻에 불과합니다. 비밀번호가 강한지, 추측이 가능한지, 아직 드러나지 않은 유출에 이미 들어 있는지에 대해서는 아무것도 말해주지 않습니다. 짧고 익숙한 비밀번호는 말뭉치에 없을 수 있지만, 몇 분 만에 추측 공격에 무너질 수 있고, 10개 사이트에서 재사용한 비밀번호는 단 한 번의 유출로 10곳을 모두 잃게 됩니다. “찾지 못함”을 비밀번호를 유지해도 된다는 허락으로 받아들일 수 있는 경우는, 그 비밀번호가 길고, 무작위이며, 정확히 한 곳에서만 사용될 때뿐입니다. 세 가지 테스트 중 하나라도 실패하면, 그래도 바꾸세요. 이 검사가 알려주는 것은 노출 여부이지, 강도가 아닙니다.

비밀번호가 안전한지 묻기 위해 비밀번호를 챗봇이나 AI 어시스턴트에 붙여 넣지 마세요. 채팅은 대화 기록을 남깁니다. 여러분의 비밀번호는 타인의 서버에 저장되고, 모델을 훈련하거나 조정하는 데 사용되며, 이후 답변에서 그대로 인용될 가능성도 있습니다. 유출 검사의 목적과 정반대입니다. 같은 규칙은 폼에 비밀번호를 입력하면 판단해주겠다고 약속하는 모든 웹사이트에도 적용됩니다. 이 페이지처럼 로컬에서 해시하고 그 방식을 보여주지 않는 한, 비밀번호가 전송되고 저장되고 있다고 가정하세요. 유출 검사가 할 가치가 있는 이유는, 바로 비밀을 누구에게도 넘기지 않고 수행할 수 있기 때문이며, 그 특성은 질문이 작게 느껴질 때조차 지킬 가치가 있습니다.

평이한 말로 설명하는 검사

자주 묻는 질문