비밀번호 변경 시 «방금 사용한 비밀번호 가…» 로 시작하는 안내가 뜨는 것은, 새로 정한 번호가 바로 앞에 쓰던 번호와 같거나 너무 비슷해 서비스가 받아 주지 않는다는 뜻이다. 이 기사는 그 문구가 왜 나오는지, 비밀번호 변경 주기는 어떤 기준으로 잡아야 하는지, 구글 계정이나 도어락처럼 대상이 달라지면 방법이 어떻게 달라지는지를 차례로 답한다. 법령에서 말하는 변경 주기가 누구에게 적용되는 것인지도 함께 가려 본다.
같은 번호가 거절되는 구조
대부분의 서비스는 비밀번호 원문을 그대로 저장하지 않고, 원문을 되돌릴 수 없게 바꾼 값만 보관한다. 새 비밀번호를 입력하면 서비스는 그 값을 같은 방식으로 바꿔 보관된 값과 견준다. 이전에 쓰던 번호의 변환 값과 일치하면 «방금 사용한 비밀번호» 라는 이유로 변경을 거절한다. 서비스에 따라 바로 앞 번호 하나만 견주기도 하고, 여러 개의 이전 번호를 함께 견주기도 한다.
이런 장치를 둔 취지는 변경이라는 절차가 형식에 그치지 않게 하려는 데 있다. 번호를 바꾸라고 해 놓고 같은 번호를 다시 받아 주면, 바꾸게 한 이유 자체가 사라진다. 그래서 설계자는 이전 번호의 재사용을 막고, 어떤 서비스는 앞뒤 숫자만 살짝 바꾼 비슷한 번호까지 걸러 낸다. 어느 범위까지 같은 번호로 보는지는 서비스마다 다르며, 이용자가 바깥에서 알 수 있는 기준은 대개 화면의 안내 문구뿐이다.
비밀번호 변경 화면의 구성도 이 흐름을 따른다. 보통 기존 비밀번호 입력, 새 비밀번호 입력, 새 비밀번호 확인의 세 칸으로 되어 있고, 새 번호가 규칙을 어기면 칸 아래에 사유가 표시된다. 길이, 문자 종류, 이전 번호와의 중복 여부가 대표적인 검사 항목이다. 사유 문구가 서비스마다 제각각이어서, 같은 번호가 왜 막히는지 헷갈리는 일이 생긴다.
실제로 가장 자주 어긋나는 지점은 기존 번호 끝의 숫자나 기호만 바꾸는 습관이다. 사람은 기억하기 쉬운 쪽으로 움직이기 때문에 이런 변형을 흔히 택하지만, 서비스가 비슷한 번호를 걸러 내도록 되어 있으면 거절된다. 거절되지 않더라도 이런 변형은 보안상 새 번호라 하기 어렵다. 거절 문구를 만났다면 번호 전체의 구성을 새로 짜는 편이 낫다.
얼마나 자주 바꿔야 하는가
비밀번호 변경 주기를 법령이 정하고 있느냐는 물음에는 구조를 나눠 답해야 한다. 우리나라에는 개인정보를 처리하는 사업자와 기관이 지켜야 할 안전성 확보 조치 기준이 있고, 여기에 접근 권한자의 비밀번호 작성 규칙을 정하고 적용하며 주기적으로 변경하도록 하는 취지의 내용이 담겨 있다. 다만 이는 서비스를 운영하는 쪽에 지우는 의무이며, 개인 이용자가 자기 계정의 번호를 몇 달마다 바꿔야 한다는 의무가 아니다. 구체적인 주기와 적용 대상은 해당 기준의 고시 내용에 따라 정해지므로, 확인이 필요하면 관계 기관의 공식 안내를 열어 봐야 한다.
해외에서는 정기 변경을 강제하는 방식을 줄이는 방향의 지침도 있다. 미국의 표준 기관이 내놓은 인증 지침은 일정 기간마다 일률적으로 바꾸게 하기보다, 길이를 충분히 확보하고 노출이 의심될 때 바꾸도록 권하는 쪽에 가깝다. 이는 미국 기준의 이야기이며 우리나라 제도와는 구조가 다르다. 그래서 국내 서비스가 주기적 변경을 요구한다면 그것은 해당 서비스의 규정이나 적용되는 국내 기준에 따른 것으로 이해하는 편이 정확하다.
개인이 스스로 기준을 세운다면 주기보다 사유를 먼저 보는 것이 합리적이다. 다른 곳에서 같은 번호를 쓴 사실을 알았을 때, 낯선 기기에서 로그인했다는 알림을 받았을 때, 공용 기기에서 로그인한 뒤 로그아웃을 잊었을 때가 변경이 필요한 대표적인 경우다. 반대로 길고 고유한 번호를 쓰고 추가 인증까지 켜 두었다면 일률적으로 자주 바꾸는 것의 효과는 제한적일 수 있다. 다만 소속 기관이나 서비스가 주기를 정해 두었다면 그 규정이 우선한다.
대상이 다르면 방법도 달라진다
구글 계정은 계정 관리 화면의 보안 메뉴에서 비밀번호를 바꾼다. 이전에 쓴 번호와 같은 번호를 다시 넣으면 받아 주지 않는 경우가 있고, 변경 뒤에는 다른 기기의 로그인 상태가 풀리거나 다시 확인을 요구할 수 있다. 메뉴 이름과 위치는 서비스 개편에 따라 달라질 수 있으므로 화면에 보이는 보안 항목을 따라가는 것이 가장 확실하다. 번호를 잊은 경우에는 복구용 연락처나 인증 수단을 통한 재설정 절차를 이용한다.
도어락은 계정이 아니라 기기 안에 번호가 저장되는 방식이어서 절차가 전혀 다르다. 제품마다 관리자 모드나 등록 모드로 들어가는 버튼 순서가 다르고, 기존 번호를 지우고 새 번호를 등록하는 순서도 다르다. 따라서 제품 설명서나 제조사의 공식 안내를 확인하는 것이 먼저다. 가족이나 세입자처럼 여럿이 쓰는 번호라면 바꾼 뒤 사용자에게 알리는 절차도 챙겨야 한다.
| 구분 | 내용 |
|---|---|
| 서비스 계정 | 보안 설정 메뉴에서 변경하며, 이전 번호 재사용은 서비스 규칙에 따라 막힌다 |
| 기기 내장 번호(도어락 등) | 제품 설명서의 등록 절차를 따르며, 계정과 달리 기기에서 직접 바꾼다 |
| 기관·사업자 내부 계정 | 소속 규정과 적용 기준에 따라 변경 주기가 정해진다 |
| 노출이 의심될 때 | 주기와 무관하게 즉시 변경하고, 같은 번호를 쓴 다른 곳도 함께 바꾼다 |
흔한 오해와 확인 순서
가장 흔한 오해는 번호를 자주 바꿀수록 무조건 안전하다는 생각이다. 바꿀 때마다 기억하기 쉬운 변형을 택하면 오히려 번호가 약해질 수 있고, 적어 두다 보면 관리가 느슨해진다. 또 하나의 오해는 «방금 사용한 비밀번호» 거절 문구를 서비스 오류로 보는 것이다. 이는 대개 정상적인 규칙 검사이며, 오류가 아니라 재사용을 막는 안전장치다. 마지막으로, 법령이 모든 개인에게 일정 주기의 변경을 요구한다는 이해도 사실과 다르다.
변경이 막힐 때는 순서대로 점검하면 된다. 먼저 화면에 적힌 사유 문구를 읽고, 길이와 문자 종류 조건을 맞췄는지 본다. 다음으로 이전에 쓴 번호와 같거나 비슷하지 않은지 확인하고, 번호 전체를 새로 구성한다. 그래도 해결되지 않으면 해당 서비스의 고객 안내나 도움말에서 비밀번호 규칙 항목을 찾아보고, 주기와 관련한 법령상 기준이 궁금하면 개인정보 보호 관련 기관의 공식 안내에서 안전성 확보 조치 기준의 고시 내용을 확인하면 된다.
· · · · · · · · · ·
스페셜타임스는 AI 기술의 도움을 받아 더 빠르고 다양한 뉴스를 독자에게 전달하기 위해 노력하고 있습니다.