유출 사고 기사가 뜰 때마다 드는 생각이 있죠. 내 계정은 괜찮은가.
확인하는 데 5분이면 됩니다. 그리고 확인 과정에서 비밀번호를 어디에도 보내지 않아도 돼요.
유출된 자격증명이 쌓인 목록과 대조하는 개념 컷 — 출처: 공개 자료 기반 자가 생성
비밀번호를 보내지 않고 확인하는 방법
Have I Been Pwned는 공개된 유출 데이터를 모아 검색할 수 있게 해 주는 서비스입니다. 이 중 비밀번호 조회는 원리가 특이해요.
해시 앞 5자리만 보내 유출 횟수를 확인한 실제 조회 — 출처: 직접 실행
앞 다섯 글자만 보낸다
비밀번호를 SHA-1로 해시한 뒤 앞 5자리만 서버에 보냅니다. 서버는 그 5자리로 시작하는 해시를 전부 돌려주고, 내 해시가 그 안에 있는지는 내 컴퓨터에서 맞춰 봅니다.
서버 입장에서는 어떤 비밀번호를 물어봤는지 알 수 없어요. 5자리로 시작하는 해시는 보통 수백 개씩 되니까요. 이걸 k-익명성(k-anonymity) 방식이라고 부릅니다.
위 화면에서 조회한 password123은 유출 데이터에 2,266,543번 나옵니다. 반면 아무도 쓰지 않은 조합은 0으로 나와요.
명령어가 부담스러우면
웹에서도 같은 일을 합니다. 비밀번호를 입력하면 브라우저가 해시를 만들어 앞 5자리만 보내요. 입력한 값 자체는 전송되지 않습니다.
🔗 링크 첨부 - https://haveibeenpwned.com/Passwords
이메일 주소로 조회하는 쪽은 다릅니다. 이건 주소를 실제로 보내야 하고, 대신 어느 사고에 내 주소가 포함됐는지를 목록으로 보여줍니다.
그 목록엔 무엇이 들어 있나
2026년 8월 13일 기준으로 이 서비스에 등재된 유출 사고는 1,026건, 누적 계정 수는 177억 7,784만 개입니다.
유출 사고에 포함된 정보 항목별 건수 — 출처: 직접 작성 (자료: Have I Been Pwned)
이메일 주소는 거의 모든 사고에 들어 있고, 비밀번호가 함께 나간 사고가 673건입니다. 전체의 3분의 2 가까이가 비밀번호까지 같이 샜다는 뜻이에요.
생년월일과 집 주소, 전화번호가 나간 사고도 각각 300건 안팎입니다. 이 조합은 본인 확인 질문을 우회하거나 그럴듯한 사칭 연락을 만드는 데 쓰입니다.
국내 서비스도 있습니다. 인테리어 앱 집꾸미기가 2020년 3월 사고로 129만 8,651건이 등재돼 있어요. 해외 서비스 목록이라 국내 사고가 전부 잡히지는 않지만, 없는 것도 아닙니다.
국내는 정부가 창구를 갖고 있다
해외 목록이 놓치는 자리를 메우는 공공 서비스가 셋 있습니다. 전부 무료예요.
다크웹에 내 계정이 도는지 — 털린 내 정보 찾기
개인정보보호위원회·KISA가 운영하는 털린 내 정보 찾기 서비스 — 출처: 개인정보보호위원회 · KISA
🔗 링크 첨부 - https://kidc.eprivacy.go.kr
개인정보보호위원회와 KISA가 함께 운영합니다. 다크웹 등에서 불법 유통되는 계정정보에 내 아이디·이메일과 패스워드가 들어 있는지 조회해요. 이메일로 본인인증을 한 뒤 조회하는 방식이고 회원가입은 필요 없습니다.
앞에서 본 해외 목록이 국내 사이트 계정을 잘 잡지 못하는 자리를 이쪽이 메웁니다. 둘 다 돌려 보는 편이 낫습니다.
내 이름으로 열린 회선 — 명의도용방지 Msafer
전기통신사업자가 함께 운영하는 Msafer 명의도용방지서비스 — 출처: KAIT
🔗 링크 첨부 - https://msafer.or.kr
내 명의로 개통된 전기통신서비스 회선을 한 번에 조회합니다. 전기통신사업법 제32조의6에 근거한 대국민 무료 서비스이고 KAIT가 운영해요.
더 쓸모 있는 건 가입제한 쪽입니다. 신규 개통·번호이동·기기변경·명의변경을 미리 차단해 둘 수 있어요. 뒤에서 볼 유심 스와프가 남이 내 명의로 회선을 여는 공격이라, 이걸 걸어 두면 그 경로가 막힙니다.
어디에 가입했는지 기억이 안 날 때 — 개인정보 포털
🔗 링크 첨부 - https://www.privacy.go.kr
정보주체 권리행사 메뉴에 본인확인 내역 조회와 웹사이트 회원탈퇴가 들어 있습니다. 본인확인을 거쳐 가입했던 사이트를 모아 보여주고, 그 자리에서 탈퇴 요구까지 대신 넣어 줘요.
예전에 e프라이버시 클린서비스라는 이름으로 쓰던 그 기능입니다. 옛 주소는 지금 열리지 않으니 개인정보 포털로 들어가야 합니다.
쓰지도 않는 옛 계정이 사고의 출발점이 되는 경우가 많습니다. 안 쓰는 계정은 비밀번호를 바꾸는 것보다 없애는 쪽이 확실해요.
| 서비스 | 무엇을 보나 | 운영 |
|---|---|---|
| 털린 내 정보 찾기 | 계정정보 다크웹 유통 | 개인정보위·KISA |
| Msafer | 내 명의 통신 회선 | KAIT |
| 개인정보 포털 | 본인확인·가입 내역 | 개인정보위 |
쓰던 비밀번호를 한꺼번에 확인하기
비밀번호를 하나만 쓰는 사람은 없죠. 예전에 쓰던 것까지 확인하려면 하나씩 넣어 보는 것보다 저장된 걸 통째로 점검하는 쪽이 빠릅니다.
크롬은 비밀번호 관리자 안에, 아이폰은 설정 앱의 비밀번호 항목에 같은 점검 기능이 들어 있어요. 저장해 둔 비밀번호를 한 번에 대조해 유출된 것과 재사용 중인 것을 함께 짚어 줍니다.
아래는 대표적으로 많이 쓰이는 조합들을 직접 조회해 본 결과입니다.
비밀번호 목록을 한 번에 조회한 결과 — 출처: 직접 실행
결과를 보면 규칙이 하나 보입니다.
| 비밀번호 | 유출 횟수 |
|---|---|
| P@ssw0rd | 6,421,042 |
| qwerty1234 | 1,420,452 |
| korea1234 | 5,263 |
| summer2026! | 0 |
특수문자와 숫자를 섞은 P@ssw0rd가 642만 번으로 가장 많습니다. 복잡해 보이는 규칙일수록 남들도 똑같이 떠올린다는 뜻이에요. korea1234처럼 한국어 사용자에게나 익숙할 조합도 5천 번 넘게 나옵니다.
반대로 summer2026!은 0입니다. 강해서가 아니라 아직 목록에 없어서예요. 유출 횟수는 비밀번호의 강도가 아니라 이미 공격자 손에 있는지를 알려 줍니다.
걸렸다면, 그리고 다시 안 털리려면
하나라도 0이 아니면 그 비밀번호는 이미 공격자의 사전에 들어 있습니다. 순서가 있어요.
2026년 월별 신규 등재 계정 수 — 출처: 직접 작성 (자료: Have I Been Pwned)
무엇부터 바꾸나
| 순서 | 대상 | 이유 |
|---|---|---|
| 1 | 메일 계정 | 재설정 링크의 종착지 |
| 2 | 같은 비번 쓴 곳 | 대입 공격의 표적 |
| 3 | 결제·금융 | 피해가 바로 현금화 |
| 4 | 나머지 | 급하지 않음 |
메일이 첫 번째인 이유는 단순합니다. 다른 서비스의 비밀번호 재설정 링크가 전부 메일로 오니까요. 메일이 뚫리면 나머지는 순서대로 열립니다.
두 번째가 중요한 이유는 공격 방식 때문이에요. 한 곳에서 샌 아이디와 비밀번호를 다른 서비스에 그대로 대입해 보는 걸 크리덴셜 스터핑이라고 합니다. 비밀번호를 돌려쓰지 않았다면 한 곳이 털려도 거기서 끝나요.
2단계 인증은 방식마다 다르다
비밀번호가 새더라도 한 겹이 더 있으면 계정은 버팁니다. 다만 방식마다 막아 주는 범위가 달라요.
| 방식 | 막는 것 | 한계 |
|---|---|---|
| SMS | 단순 도용 | 유심 스와프 |
| 인증 앱 | 유심 스와프 | 실시간 피싱 |
| 패스키·보안키 | 피싱 중계까지 | 기기 분실 대비 |
SMS는 없는 것보다 낫지만 통신사 회선을 가로채는 유심 스와프에 뚫립니다. 앞의 Msafer 가입제한이 그 경로를 미리 막아 주는 장치예요. 인증 앱은 그걸 막아 주는 대신, 가짜 사이트가 입력한 번호를 실시간으로 진짜 사이트에 넘기는 방식에는 여전히 약해요.
패스키는 여기서 갈립니다. 인증에 쓰는 키가 사이트 주소에 묶여 있어서 가짜 사이트에서는 애초에 동작하지 않습니다. 사용자가 속아 넘어가도 키가 응답하지 않아요.
점검은 한 번으로 끝나지 않는다
위 차트를 보면 2026년 들어 매달 수천만 건씩 새 계정이 목록에 추가됐습니다. 1월에만 1억 3천만 건이 넘었어요.
지금 점검해서 깨끗해도 다음 달 사고에 내 주소가 포함될 수 있습니다. 이메일 주소를 등록해 두면 새 사고에 포함될 때 무료로 알려 주니, 한 번 등록해 두는 편이 매번 확인하는 것보다 낫습니다.
🔗 링크 첨부 - https://haveibeenpwned.com/NotifyMe
털렸는지 모르는 상태가 가장 오래갑니다
정리하면
비밀번호 점검은 해시 앞 5자리만 보내는 방식이라 원본을 넘기지 않고도 됩니다. 조회 결과의 숫자는 강도가 아니라 이미 공격자 손에 있는지를 뜻해요.
0이 아닌 게 나왔다면 메일 계정부터, 그다음 같은 비밀번호를 돌려쓴 곳 순서로 바꿉니다. 그리고 알림을 등록해 두면 다음 사고는 기사보다 먼저 알게 됩니다.
국내 계정은 해외 목록에 잘 안 잡히니 털린 내 정보 찾기를 같이 돌리고, 통신 명의는 Msafer에서 가입제한까지 걸어 두면 한 바퀴가 끝납니다.
참고 출처
- [Have I Been Pwned] Breaches API — 등재 사고 1,026건·항목 구성·월별 등재 (본문 수치 원자료)
- 본문 수치는 2026년 8월 13일 조회 기준