2단계 인증으로 방어벽 구축하기
대부분의 계정 탈취는 비밀번호 단 하나만 뚫리면 즉시 완료됩니다. 영문, 숫자, 특수문자를 혼합한 16자리 이상의 복잡한 비밀번호를 설정했더라도, 무차별 대입 공격이나 사전 공격에는 무력할 수밖에 없습니다.
이를 보완하는 유일한 물리적 방어선이 바로 2단계 인증(MFA)입니다. 단순히 SMS 인증번호를 받는 방식보다는 구글 OTP나 마이크로소프트 인증기 같은 앱 기반의 TOTP(시간 기반 일회용 비밀번호) 방식을 권장합니다.
문자 메시지 기반 인증은 심 스와핑(SIM Swapping) 공격을 통해 탈취될 위험이 존재하기 때문입니다. 계정 설정에서 '신뢰할 수 있는 기기' 목록을 정기적으로 점검하여 본인이 사용하지 않는 기기나 타지역의 IP 접근이 기록되어 있는지 확인하는 작업이 수반되어야 합니다.
이메일 보안을 강화하려면 다중 인증(MFA) 활성화는 선택이 아닌 필수입니다. 또한, 발신자 주소를 정밀하게 확인하고 첨부파일 실행 전 샌드박스 검사를 거치는 습관이 계정 탈취를 막는 가장 확실한 방법입니다.
피싱 메일 감별을 위한 헤더 분석
교묘한 피싱 메일은 대기업의 공식 로고와 서식을 그대로 복제합니다. 하지만 발신자의 이메일 헤더는 속일 수 없습니다.
메일 본문의 '보낸 사람' 이름만 보지 말고, 실제 이메일 주소 영역을 클릭하여 도메인 철자가 미묘하게 다른지 확인하십시오. 예를 들어 'google.com'을 'g00gle.com'으로 바꾸거나, 사내 메일을 사칭하며 계정 정보를 요구하는 메일의 도메인이 공식 기업 도메인이 아닌 공용 도메인(gmail.com 등)으로 되어 있다면 100% 해킹 시도입니다. 특히 '긴급', '계정 차단', '보안 업데이트'와 같이 불안감을 조성하는 제목을 사용하는 메일은 반드시 공용 네트워크가 아닌 신뢰할 수 있는 브라우저를 통해 직접 해당 서비스의 공식 주소를 입력하여 접근하는 것이 안전합니다.
첨부파일과 외부 링크의 위험성
이메일 보안 습관의 핵심은 '열지 않는 것'에 있습니다. 최근에는 PDF나 DOCX 파일에 매크로를 심어 실행 시 악성코드가 설치되게 하거나, HTML 파일로 위장한 피싱 사이트 접속 유도 방식이 빈번합니다.
첨부파일은 다운로드 즉시 바이러스 토탈(VirusTotal)과 같은 다중 백신 검사 사이트에 업로드하여 스캔하는 것이 좋습니다. 본문에 포함된 링크는 클릭 전 마우스를 올려 하이퍼링크가 가리키는 실제 주소를 확인하십시오. 'bit.ly'나 't.co' 같은 단축 URL은 목적지를 숨기기 위한 용도로 활용되므로, 의심스러운 메일 내의 단축 링크는 절대 클릭해서는 안 됩니다.
계정 복구 정보의 최신화
계정 해킹이 발생했을 때 가장 큰 피해를 입는 경우는 복구 이메일이나 전화번호가 예전 정보로 방치되어 있을 때입니다. 해커는 계정 탈취 후 가장 먼저 복구 정보를 자신의 것으로 변경하여 본래 주인이 계정을 되찾지 못하도록 차단합니다. 6개월 단위로 계정 보안 대시보드에 접속하여 복구용 이메일 주소와 휴대전화 번호가 여전히 본인이 관리하는 것인지 확인하십시오. 또한, 가입한 지 오래된 서비스의 경우 '앱 비밀번호' 생성을 통해 기존 비밀번호가 유출되더라도 타인이 접근할 수 없도록 설정하고, 더 이상 사용하지 않는 외부 서비스와의 연동은 즉시 해제하는 것이 계정 보안의 기초입니다.