핵심 POINT
브라우저에 비밀번호를 저장하는 것 자체가 곧바로 위험한 것은 아닙니다. 영국 국가사이버보안센터(NCSC)도 본인 기기에 저장하는 것은 안전하다고 설명합니다. 다만 저장된 비밀번호는 기기와 계정의 보안 수준만큼만 안전합니다.
위험은 기기가 인포스틸러(정보탈취형 악성코드)에 감염됐을 때 커집니다. 인포스틸러는 저장된 비밀번호뿐 아니라 쿠키, 세션 데이터, 인증 토큰까지 노릴 수 있습니다. 따라서 비밀번호를 바꾸는 것만으로는 대응이 끝나지 않습니다.
Chrome의 Google 비밀번호 관리자에서 ‘진단’ 기능으로 유출·취약 비밀번호를 점검합니다. 여기에 2단계 인증을 켜고 공용 기기에는 저장하지 않는 것이 기본 수칙입니다. 업무 계정은 재사용 비밀번호와 활성 세션, 감염 단말까지 함께 점검해야 합니다.
크롬에 비밀번호 저장해도 될까? 안전한 비밀번호 관리자 사용법 5가지
로그인할 때마다 크롬은 비밀번호를 저장할지 묻습니다. 편의 때문에 대부분 저장을 선택합니다. 그런데 인포스틸러 로그로 보이는 계정정보 240억 건이 외부에 노출된 사례가 공개됐습니다. 이에 브라우저에 저장된 로그인 정보의 안전성을 다시 점검할 필요가 커졌습니다.
먼저 결론부터 말씀드리면, 본인 기기에서 비밀번호를 저장하는 것 자체가 곧바로 위험한 것은 아닙니다. 다만 이 안전은 기기와 계정이 안전할 때에만 유지됩니다. 이번 글에서는 크롬 비밀번호의 저장 방식과 위험해지는 상황, 안전한 설정 방법을 순서대로 정리합니다.
■ 크롬에 저장한 비밀번호의 관리 방식
출처: AI(ChatGPT) 생성 이미지
Chrome은 Google 비밀번호 관리자로 여러 사이트의 비밀번호를 저장합니다. Chrome에 로그인한 상태라면 비밀번호가 Google 계정에 저장되어 여러 기기와 일부 앱에서 사용할 수 있습니다. 로그인하지 않았다면 해당 기기에만 저장됩니다. Google 계정에 저장된 비밀번호는 passwords.google.com에서 관리할 수 있습니다.
비밀번호 저장은 크롬만의 기능이 아닙니다. Chrome, Edge, Safari 등 주요 브라우저가 모두 비밀번호를 만들고 저장하는 기능을 제공합니다. NCSC는 본인 기기에 저장하는 것은 안전하다고 설명합니다. 특히 여러 기기에서 같은 운영체제나 브라우저를 쓴다면 가장 쉬운 방법이라고 안내합니다.
자동 채우기는 편의 기능이자 피싱 방어에도 도움이 되는 기능입니다. 저장된 비밀번호는 올바른 웹사이트에서만 자동으로 입력됩니다. 따라서 주소만 비슷한 가짜 사이트에는 입력되지 않습니다.
■ 브라우저 비밀번호 저장의 위험, 인포스틸러가 노리는 정보
1) 기기 안의 로그인 정보를 통째로 노리는 인포스틸러
인포스틸러(Information Stealer)는 기기에 저장된 정보를 훔치는 악성코드입니다. 피싱 메일의 첨부파일, 가짜 프로그램이나 업데이트, 악성 광고와 웹페이지처럼 정상으로 착각하기 쉬운 경로로 설치됩니다. 종류에 따라 브라우저에 저장된 사용자명과 비밀번호뿐 아니라 쿠키, 세션 데이터, 인증 토큰까지 수집해 공격자에게 전송합니다. 마이크로소프트 Defender 보안 연구팀은 2026년 2월 macOS와 Python 기반 인포스틸러를 분석했습니다. 이 연구에서 최신 인포스틸러가 브라우저 자격증명 외에 세션 데이터, 키체인 정보, 개발자용 비밀정보까지 노릴 수 있다고 설명했습니다.
세션은 로그인한 뒤 일정 시간 동안 비밀번호를 다시 입력하지 않아도 서비스를 이용하게 해 주는 ‘로그인 상태’입니다. 세션 쿠키나 인증 토큰이 탈취되면 서비스 구조에 따라 공격자가 비밀번호 없이도 이미 인증된 상태를 악용할 수 있습니다.
2) 240억 건 노출 사례가 보여 준 점
Cybernews 연구진은 2026년 6월 12일, 외부에서 접근할 수 있는 데이터 클러스터에서 240억 건, 8.3TB가 넘는 계정정보를 발견했습니다. 여기에는 사용자명, 이메일 주소, 평문 비밀번호, 로그인 URL 등이 담겨 있었습니다. 연구진은 36개 출처에서 모인 데이터 가운데 대다수가 인포스틸러 로그로 보인다고 설명했습니다. 6월 15일에는 이 클러스터가 외부에 노출되지 않는 상태로 확인됐습니다. 다만 240억 건이 240억 명의 피해자를 뜻하는 것은 아닙니다. 중복 레코드 수와 실제 피해자 수는 확인되지 않았습니다.
Proofpoint는 2026년 9월 14일 공개한 분석에서 이 사례를 다시 짚었습니다. 인포스틸러 감염이 확인되면 비밀번호만 바꾸지 말고 세션 무효화와 단말 조치까지 함께 해야 한다는 것입니다. 비밀번호 유출 사실뿐 아니라 기기 감염 여부까지 확인해야 한다는 뜻입니다.
3) 비밀번호 밖까지 넓혀야 하는 기업 계정 점검
업무 계정은 점검 범위가 더 넓어집니다. 개인 서비스와 업무 계정에 같거나 비슷한 비밀번호를 쓰면 한 곳의 유출이 다른 계정으로 이어질 수 있습니다. 특히 메일, 가상사설망(VPN), 클라우드, 관리자 계정이 위험합니다. 비밀번호를 바꾸는 데서 그치지 않아야 합니다. 재사용 비밀번호, 활성 세션, 감염 단말, 다중 인증(MFA) 정책, 이상 로그인·다운로드 징후를 하나의 계정 탈취 대응 흐름으로 함께 점검해야 합니다.
NCSC도 같은 맥락에서, 브라우저와 운영체제의 보안 자동 업데이트를 끄지 말라고 당부합니다. 브라우저에 저장한 비밀번호는 기기와 계정의 보안 수준만큼만 안전하기 때문입니다.
■ 비밀번호 관리자를 안전하게 쓰는 5가지 기준
출처: AI(ChatGPT) 생성 이미지
기기와 계정부터 지키기: 브라우저와 운영체제의 보안 자동 업데이트를 켜 둡니다. 브라우저에 저장한 비밀번호는 기기와 계정만큼만 안전합니다.
공용·공유 기기에는 저장하지 않기: 학교, 도서관 등 집 밖의 공용 PC에서는 비밀번호를 브라우저에 저장하지 않습니다. 가족이나 룸메이트와 함께 쓰는 기기라면 누가 접근할 수 있는지 먼저 따져 봅니다.
2단계 인증 켜기: 비밀번호가 피싱이나 유출로 알려져도 계정을 지킬 수 있도록 2단계 인증을 설정합니다. 비밀번호 관리자 계정에도 켜 두면 주 비밀번호가 알려져도 접근을 막을 수 있습니다.
저장된 크롬 비밀번호 점검하기: 컴퓨터에서 Chrome을 열고, 오른쪽 위 ‘더보기’ > ‘비밀번호 및 자동 완성’ > ‘Google 비밀번호 관리자’를 선택합니다. 이어서 왼쪽의 ‘진단’을 누르면 정보 유출로 노출됐거나 추측하기 쉬운 취약한 비밀번호를 확인할 수 있습니다.
비밀번호 재사용하지 않기: 같은 비밀번호를 여러 계정에 쓰면 한 곳이 뚫렸을 때 공격자가 같은 비밀번호로 다른 계정에 접속을 시도할 수 있습니다. 서비스마다 다른 비밀번호를 사용합니다.
Chrome에서는 비밀번호 저장을 시작하거나 중지할 수 있고, 사이트와 앱의 자동 로그인 설정도 관리할 수 있습니다. 저장하고 싶지 않은 계정은 저장을 중지하고, 자동 로그인 설정은 기기 환경에 맞게 점검합니다.
■ 브라우저 내장 기능과 별도 앱 비교
비밀번호 관리자는 브라우저에 내장된 기능을 사용할 수도 있고, 별도 앱을 설치해 사용할 수도 있습니다. 어느 쪽이 더 낫다고 단정하기보다 사용 환경에 맞고 꾸준히 쓰기 쉬운 것을 고르는 것이 중요합니다.
| 구분 | 브라우저 내장(Chrome 등) | 별도 비밀번호 관리자 앱 |
|---|---|---|
| 설치 | 별도 설치 없이 브라우저에서 사용 | 앱을 직접 설치(휴대폰·태블릿 앱, 웹 브라우저 이용 가능) |
| 동기화 | Chrome에 로그인하면 Google 계정으로 여러 기기에서 사용 | 브라우저와 기기가 섞여 있어도 비밀번호 동기화 가능 |
| 선택 시 고려할 점 | 같은 운영체제·브라우저를 쓴다면 가장 쉬운 방법 | 여러 기기·운영체제 지원, 비밀번호 생성 방식, 무료·유료, 유출 알림 등 추가 기능 |
[표] 브라우저 내장 비밀번호 관리자와 별도 앱 비교
어느 쪽을 쓰든 비밀번호 관리자의 주 비밀번호는 잊지 않아야 합니다. 많은 비밀번호 관리자가 복구 옵션을 제공하지만, 비밀번호 관리자 계정에는 2단계 인증을 켜 두는 것이 안전합니다.
■ 패스키와 비밀번호 관리자의 병행
패스키는 FIDO(Fast IDentity Online) 표준에 기반한 인증 수단입니다. 휴대폰이나 컴퓨터, 하드웨어 보안 키에 저장됩니다. 기기를 잠금 해제할 때 쓰는 생체 인증, PIN(개인 식별 번호), 패턴으로 로그인을 승인하므로 아이디와 비밀번호를 직접 입력하지 않아도 됩니다.
패스키를 지원하는 서비스에서는 비밀번호 대신 사용할 수 있습니다. 반면 패스키를 지원하지 않는 서비스에서는 비밀번호가 여전히 필요합니다. 따라서 비밀번호 관리자와 패스키를 함께 사용하게 됩니다.
■ 비밀번호 유출이 의심될 때의 대응
출처: AI(ChatGPT) 생성 이미지
유출 알림을 받았거나 로그인 기록에 낯선 기기가 보인다면, 비밀번호 변경과 함께 로그인된 기기와 세션을 정리해야 합니다. 이미 계정이 의심스러운 상황이라면 낯선 기기의 로그인을 해제합니다. 이어서 비밀번호를 바꾸고 2단계 인증을 켜는 순서로 복구합니다.
회사 계정에서 인포스틸러 감염이 의심된다면 비밀번호 변경만으로는 부족합니다. 감염된 단말과 세션까지 확인해야 합니다. SK쉴더스는 중소·중견기업을 위한 해킹사고 대응 구독서비스를 통해 해킹사고 대응 경험과 포렌식 분석 도구를 활용한 신속한 대응을 지원합니다.
■ 자주 묻는 질문(FAQ)
Q1. 크롬에 비밀번호를 저장해도 안전한가요?
A. NCSC는 본인 기기에서 브라우저에 비밀번호를 저장하는 것은 안전하다고 설명합니다. 다만 저장한 비밀번호는 기기와 계정의 보안 수준만큼만 안전합니다. 따라서 보안 자동 업데이트를 켜 두고, 학교·도서관 같은 공용 기기에는 저장하지 말라고 당부합니다.
Q2. 크롬에 저장한 비밀번호는 어디에 저장되나요?
A. Chrome에 로그인한 상태라면 Google 계정에 저장되어 여러 기기와 일부 앱에서 사용할 수 있습니다. 로그인하지 않았다면 기기에만 저장됩니다. Google 계정에 저장된 비밀번호는 passwords.google.com에서 관리할 수 있습니다.
Q3. 저장한 비밀번호가 유출됐는지 어떻게 확인하나요?
A. Chrome을 열고 오른쪽 위 ‘더보기’ > ‘비밀번호 및 자동 완성’ > ‘Google 비밀번호 관리자’를 선택합니다. 이어서 왼쪽의 ‘진단’을 누르면 정보 유출로 노출됐거나 추측하기 쉬운 비밀번호를 한 번에 확인할 수 있습니다.
Q4. 인포스틸러는 무엇인가요?
A. 기기에 저장된 로그인 정보를 훔치는 정보탈취형 악성코드입니다. 종류에 따라 브라우저에 저장된 사용자명과 비밀번호뿐 아니라 쿠키, 세션 데이터, 인증 토큰 등을 수집할 수 있습니다.
Q5. 2단계 인증은 왜 켜야 하나요?
A. NCSC는 비밀번호가 피싱이나 유출로 알려지더라도 계정을 지킬 수 있도록 2단계 인증을 켜는 것이 가장 중요한 첫 단계라고 설명합니다. 비밀번호 관리자 계정에 켜 두면 주 비밀번호가 알려져도 접근을 막을 수 있습니다.
Q6. 패스키는 비밀번호 관리자를 대체하나요?
A. 패스키는 기기 잠금 해제와 같은 방식(생체 인증, PIN, 패턴)으로 로그인을 승인하는 인증 수단입니다. 지원하는 서비스에서는 비밀번호를 대신할 수 있습니다. 하지만 패스키를 지원하지 않는 서비스에서는 여전히 비밀번호가 필요합니다. 따라서 비밀번호 관리자와 함께 사용하게 됩니다.
[참고자료]
Chrome에서 비밀번호 관리하기 | Google Chrome 고객센터
Managing your passwords | NCSC(영국 국가사이버보안센터)
Passkeys: Passwordless Authentication | FIDO Alliance
24 billion records, including usernames and passwords, exposed in colossal data leak | Cybernews
Infostealers without borders: macOS, Python stealers, and platform abuse | Microsoft Security Blog
