비밀 아닌 비밀번호 순위, 올해도 ‘123456’이 1위
2위에 ‘Password’, 16위에는 ‘starwars’가 올라

[보안뉴스 오다인 기자] 올해도 어김없이 ‘123456’과 ‘Password’가 가장 많이 쓰이는 비밀번호 1·2위에 올랐다. 외국에서는 ‘비밀’번호가 무용할 정도로 뚫리기 쉽다는 뜻에서 ‘최악의 비밀번호 순위’라고 부른다. 즉, 가장 빈번하게 해킹되는 비밀번호 순위에 올해 새롭게 등장한 비밀번호가 있었으니, 바로 16위에 오른 스타워즈(starwars)다.


2017 최악의 비밀번호 순위는 비밀번호 관리 전문업체 스플래시데이터(SplashData)가 온라인상에 유출된 500만 개 이상의 평문 비밀번호를 수집해서 발표했다. 대부분은 북미 및 서유럽 사용자 크리덴셜이다. 최악의 비밀번호 순위 발표는 올해가 7번째이며, 본 순위에는 야후 해킹 때 유출된 크리덴셜과 성인 웹사이트에서 유출된 크리덴셜은 포함되지 않았다.

비밀번호 ‘starwars’는 영화 ‘스타워즈(Star Wars)’가 큰 인기몰이를 하면서 광범위하게 쓰이기 시작한 것으로 보인다. 스타워즈는 악명 높은 비밀번호 ‘passw0rd’를 17위로 누르고 올해 최악의 비밀번호 16위에 등극했다.

스플래시데이터 CEO 모건 슬레인(Morgan Slain)은 웹 애플리케이션 페이스트빈(Pastebin) 등에 노출돼 있는 비밀번호를 긁어모은 게 전부라고 말했다. 슬레인은 “수집한 비밀번호 중 어떤 것도 구매하거나 해독하지 않았다”고 밝혔다. 즉, 온라인에서 찾을 수 있는 것만 모았는데도 500만 개 이상의 비밀번호를 수집할 수 있었다는 이야기다.

‘12345678’, ‘qwerty’, ‘football’ 등 흔히 등장하는 비밀번호들도 상위 10위 안에 안착했다. 올해 상위에 새롭게 등장한 비밀번호로는, 숫자 하나를 더한 ‘123456789’(6위)가 있었고, ‘letmein’(7위)과 ‘iloveyou’(10위)처럼 딱히 창의적이지 않은 조합들도 나타났다.

△1위: 123456
△2위: Password
△3위: 12345678
△4위: qwerty
△5위: 12345
△6위: 123456789
△7위: letmein
△8위: 1234567
△9위: football
△10위: iloveyou
△11위: admin
△12위: welcome
△13위: monkey
△14위: login
△15위: abc123
△16위: starwars
△17위: 123123
△18위: dragon
△19위: passw0rd
△20위: master
△21위: hello
△22위: freedom
△23위: whatever
△24위: qazwsx
△25위: trustno1

슬레인은 “시간이 지나도 여전히 사람들은 더 나은 비밀번호에 대한 필요를 느끼지 못하는 것 같다”고 말했다. 그는 “최악의 비밀번호 순위는 사람들이 비밀번호를 더 진지하게 생각하도록 유도하고, 비밀번호를 공유하거나 똑같은 비밀번호를 반복해서 사용하는 게 스스로를 위험에 노출시키는 일이라는 사실을 깨닫게 해준다”고 강조했다.

슬레인은 최악의 비밀번호 순위를 보면 비밀번호가 사용자의 관심을 어떻게 반영하는지 다시 한 번 상기할 수 있다고도 덧붙였다. “이 순위를 쭉 훑어보면, 사람들이 무엇에 관심을 갖고 있는지 알 수 있습니다. 누군가의 이름이라든지 애완동물 이름, 인기 있는 문화 같은 것 말이죠.”

스플래시데이터에 따르면, 사용자의 10%가량은 2017 최악의 비밀번호 상위 15개 중 최소한 1개는 사용한 적 있는 것으로 나타났다. 최악의 비밀번호 1위인 ‘123456’을 사용한 사람은 전체의 3%를 차지했다.

슬레인은 유출된 비밀번호들이 정확히 언제 만들어졌는지에 대해선 알아낼 수 없었지만, 일부 비밀번호들은 몇 년씩 쓰인 것들이라고 말했다.

다국적 금융 서비스 기업 비자(Visa)가 1,000명의 미국인을 대상으로 설문조사한 결과에 따르면, 소비자들은 비밀번호라는 절차 자체에 다소 피곤해하는 것으로 나타났다. 응답자의 70%가 비밀번호보다 생체인증이 더 간편하다고 생각했으며, 46%는 생체인증이 더 안전하다고 생각하고 있었다. 약 3분의 1은 때때로 지문인증을 사용하고 있으며, 35%는 정기적으로 지문인증을 사용하고 있다고 응답했다. 응잡자의 절반은 더 이상 다중의 비밀번호를 기억해야 할 필요가 없다는 점이 생체인증의 가장 큰 장점이라고 밝혔다.

그러나 슬레인은 애플의 생체인증 옵션을 예로 들면서 여전히 기기에 최소 하나의 비밀번호가 필요하다는 점을 지적했다. “기기를 업데이트할 때, 터치ID 뒤에 비밀번호를 반드시 입력해야 합니다. 지문이나 얼굴 인식을 사용하면서 비밀번호를 수년 간 사용하지 않았다면, 나중에 비밀번호를 기억해내는 건 더 어려워지죠.”

스플래시데이터는 사용자에게 △12자리 이상의 문자 조합 △대문자 및 소문자 포함 △특수문자 포함 등을 고려해서 비밀번호를 설정하고, 여러 개의 계정에서 동일한 비밀번호를 사용하지 말라고 권고하고 있다.
[국제부 오다인 기자(boan2@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>