인터넷에서 새로운 사이트를 이용하다 보면 회원가입 화면에서 ‘Google로 로그인’, ‘Microsoft로 로그인’, ‘Apple로 로그인’과 같은 버튼을 자주 볼 수 있습니다.

이런 방식을 흔히 외부 로그인 또는 소셜 로그인이라고 합니다.

아이디와 비밀번호를 새로 만들 필요가 없다는 점 때문에 매우 편리하지만, 한편으로는 이런 의문이 생깁니다.

“Google로 로그인하면 내가 입력한 Google 비밀번호를 해당 사이트에서도 알 수 있는 것 아닐까?”

또한 하나의 Google 계정을 여러 사이트에 연결하는 것이 과연 안전한지도 궁금할 수 있습니다.

결론부터 말하면 정상적으로 구현된 외부 로그인은 일반적으로 안전한 인증 방식입니다.

특히 Google이나 Microsoft의 비밀번호를 각각의 사이트에 직접 알려주는 방식이 아니기 때문에, 여러 사이트에서 동일한 비밀번호를 사용하는 것보다 보안 측면에서 유리한 부분도 있습니다.

하지만 외부 로그인도 피싱 사이트나 계정 탈취와 같은 위험에서 완전히 자유로운 것은 아닙니다.

이번 글에서는 외부 로그인이 실제로 어떻게 작동하는지, 왜 비밀번호가 다른 사이트에 전달되지 않는지, 어떤 경우에 위험할 수 있는지를 쉽게 알아보겠습니다.

Table of Contents

외부 로그인이란 무엇인가?

외부 로그인은 현재 이용하려는 웹사이트의 자체 아이디와 비밀번호를 새로 만드는 대신, 이미 가지고 있는 다른 서비스의 계정을 이용하여 로그인하는 방식입니다.

대표적인 예는 다음과 같습니다.

Google로 로그인
Microsoft로 로그인
Apple로 로그인
네이버로 로그인
카카오로 로그인

예를 들어 처음 방문한 쇼핑몰에 회원가입하려고 하는데 다음과 같은 버튼이 있다고 생각해 보겠습니다.

[Google로 로그인]

이 버튼을 누르면 쇼핑몰에서 Google 비밀번호를 직접 입력받는 것이 아닙니다.

일반적인 인증 과정에서는 Google의 인증 시스템으로 이동하여 사용자가 Google 계정을 인증하고, 인증이 완료되면 쇼핑몰이 “이 사용자는 Google에서 정상적으로 인증된 사용자”라는 결과를 전달받는 구조로 작동합니다.

즉, 외부 로그인에서 중요한 것은 아이디와 비밀번호를 사이트끼리 공유하는 것이 아니라 인증 결과를 전달한다는 것입니다.

Google로 로그인하면 해당 사이트가 Google 비밀번호를 알 수 있을까?

많은 사람들이 가장 궁금해하는 부분입니다.

정상적인 Google 외부 로그인이라면 해당 사이트가 Google 계정의 비밀번호를 알 수 없습니다.

예를 들어 A라는 웹사이트에서 Google 로그인을 선택했다고 가정해 보겠습니다.

전체적인 흐름은 다음과 같습니다.

A 웹사이트
   ↓
Google 인증 페이지
   ↓
사용자가 Google 계정 인증
   ↓
Google이 인증 결과를 전달
   ↓
A 웹사이트 로그인 완료

여기에서 Google 비밀번호를 입력하는 과정은 Google의 인증 시스템에서 처리됩니다.

따라서 A 웹사이트가 Google 비밀번호를 직접 전달받는 구조가 아닙니다.

이것이 외부 로그인과 일반적인 사이트 회원가입의 중요한 차이입니다.

그렇다면 웹사이트는 어떤 정보를 받는 것일까?

외부 로그인이라고 해서 해당 사이트가 아무런 정보를 받지 않는 것은 아닙니다.

서비스와 로그인 방식에 따라 Google이나 Microsoft에서 다음과 같은 정보가 전달될 수 있습니다.

이메일 주소
이름
프로필 사진
계정 식별 정보
서비스 이용에 필요한 최소한의 정보

어떤 정보가 제공되는지는 해당 서비스가 요청한 권한과 사용자가 동의한 내용에 따라 달라질 수 있습니다.

따라서 “외부 로그인은 비밀번호만 안 알려주면 되니까 아무것이나 눌러도 된다”고 생각해서는 안 됩니다.

로그인 과정에서 어떤 정보에 대한 접근을 요청하는지 확인하는 것도 중요합니다.

외부 로그인은 왜 편리한가?

가장 큰 장점은 새로운 사이트마다 비밀번호를 만들 필요가 없다는 것입니다.

예를 들어 20개의 웹사이트를 이용한다고 생각해 보겠습니다.

각 사이트마다 별도의 아이디와 비밀번호를 만들면 다음과 같은 문제가 발생할 수 있습니다.

비밀번호를 잊어버림
여러 사이트에서 같은 비밀번호를 사용함
오래된 사이트의 비밀번호가 유출됨
유출된 비밀번호가 다른 사이트 공격에 사용됨
비밀번호를 여러 곳에 저장해야 함

특히 가장 위험한 것이 비밀번호 재사용입니다.

외부 로그인이 비밀번호 재사용 문제를 줄여주는 이유

예를 들어 어떤 사람이 다음과 같은 비밀번호를 사용한다고 가정해 보겠습니다.

MyPassword123!

이 비밀번호를 쇼핑몰, 커뮤니티, 게임 사이트 등에 모두 사용하고 있다면 문제가 발생할 수 있습니다.

어느 한 사이트에서 비밀번호가 유출되면 공격자는 다른 사이트에서도 같은 아이디와 비밀번호를 시도할 수 있습니다.

이것을 흔히 크리덴셜 스터핑(Credential Stuffing)이라고 합니다.

반면 Google 로그인 등을 사용하면 각 사이트에 Google 계정의 비밀번호를 직접 입력하지 않습니다.

따라서 특정 사이트에서 발생한 비밀번호 유출이 Google 계정 비밀번호 유출로 바로 이어지는 구조는 아닙니다.

물론 외부 로그인 자체가 모든 보안 문제를 해결해 주는 것은 아닙니다.

외부 로그인에도 위험한 경우가 있다

그렇다면 Google이나 Microsoft에서 제공하는 외부 로그인은 무조건 안전할까요?

그렇지는 않습니다.

가장 대표적인 위험이 피싱(Phishing)입니다.

특히 사용자가 가장 주의해야 하는 것은 가짜 Google 로그인 페이지입니다.

Google 로그인 화면과 똑같이 만든 가짜 사이트

공격자가 다음과 같은 웹사이트를 만들었다고 생각해 보겠습니다.

Google 계정으로 로그인하세요.

화면도 Google과 똑같이 만들었습니다.

Google 로고도 있고 이메일 입력창도 있고 비밀번호 입력창도 있습니다.

사용자가 아무 생각 없이 자신의 Google 이메일과 비밀번호를 입력하면 어떻게 될까요?

그 사이트가 실제 Google이 아니라면 Google 비밀번호를 공격자에게 직접 전달하게 됩니다.

따라서 외부 로그인에서 가장 중요한 보안 습관은 다음과 같습니다.

화면이 진짜처럼 보이는지보다 주소창의 실제 도메인을 확인해야 합니다.

HTTPS라고 해서 무조건 안전한 것은 아니다

많은 사람들이 주소창에 자물쇠 표시가 있으면 안전한 사이트라고 생각합니다.

하지만 이것도 정확하지 않습니다.

HTTPS는 사용자와 웹사이트 사이의 통신을 암호화하는 기능입니다.

즉,

“통신이 암호화되어 있다.”

는 의미이지,

“이 웹사이트가 Google의 진짜 사이트다.”

라는 의미는 아닙니다.

피싱 사이트도 HTTPS를 사용할 수 있습니다.

따라서 HTTPS 여부만 확인해서는 충분하지 않습니다.

진짜 Google 로그인 페이지인지 어떻게 확인할까?

가장 중요한 것은 도메인입니다.

예를 들어 Google의 정상적인 인증 과정에서는 다음과 같은 Google 공식 도메인을 볼 수 있습니다.

accounts.google.com

반면 다음과 같은 주소는 주의해야 합니다.

accounts.google.com.example.com

이 주소는 얼핏 보면 accounts.google.com처럼 보일 수 있습니다.

하지만 실제 사이트의 도메인은 example.com입니다.

따라서 주소를 볼 때는 앞부분의 글자만 보지 말고 실제 도메인의 위치를 확인하는 습관이 중요합니다.

외부 로그인 과정에서 권한 요청도 확인해야 한다

외부 로그인에서 또 하나 알아둘 부분이 있습니다.

어떤 사이트가 Google 계정으로 로그인하면서 추가적인 권한을 요청할 수 있다는 것입니다.

예를 들어 로그인 과정에서 특정 개인정보나 Google 서비스의 데이터에 접근할 수 있도록 권한을 요청할 수 있습니다.

이때는 무조건 ‘허용’을 누르기보다 무슨 정보를 요청하고 있는지 확인하는 것이 좋습니다.

특히 단순히 로그인만 하면 되는 서비스인데 지나치게 많은 권한을 요구한다면 한 번 더 확인할 필요가 있습니다.

외부 로그인과 일반 회원가입 중 어느 것이 더 안전할까?

상황에 따라 다르지만 일반적인 사용자 입장에서는 검증된 대형 인증 서비스의 외부 로그인을 사용하는 것이 편리하면서 보안 측면에서도 유리한 경우가 많습니다.

예를 들어 여러 사이트에서 각각 비밀번호를 만드는 대신 Google 계정을 이용하면 비밀번호를 여러 사이트에 반복해서 입력하는 상황을 줄일 수 있습니다.

하지만 여기에는 중요한 조건이 있습니다.

Google이나 Microsoft 계정 자체의 보안이 매우 중요해집니다.

하나의 계정을 여러 서비스에서 사용하기 때문에 해당 계정이 탈취되면 연결된 서비스에도 영향을 줄 수 있기 때문입니다.

따라서 Google이나 Microsoft 계정에는 다음과 같은 보안 설정을 해두는 것이 좋습니다.

강력하고 고유한 비밀번호 사용
2단계 인증 활성화
복구 이메일 및 전화번호 관리
로그인 기록 주기적 확인
사용하지 않는 연결된 서비스 제거
가능하면 패스키와 같은 강력한 인증 방식 사용

외부 로그인에서 가장 중요한 것은 ‘인증 제공자’의 보안이다

외부 로그인을 이해할 때 중요한 개념이 하나 있습니다.

Google이나 Microsoft처럼 사용자의 신원을 확인해 주는 서비스를 인증 제공자(Identity Provider)라고 생각할 수 있습니다.

사용자가 어떤 웹사이트에서 Google 로그인을 선택하면 해당 웹사이트가 Google의 인증 시스템을 이용해 사용자를 확인하는 것입니다.

쉽게 표현하면 다음과 같습니다.

사용자
  ↓
Google에서 본인 확인
  ↓
Google이 인증 결과 전달
  ↓
웹사이트가 로그인 허용

웹사이트가 Google 계정의 비밀번호를 직접 관리하는 것이 아니라는 것이 핵심입니다.

이 때문에 외부 로그인을 사용하는 사이트가 많아지고 있습니다.

그렇다면 Google 계정 하나를 여러 사이트에 연결해도 괜찮을까?

이 부분은 장점과 위험을 함께 봐야 합니다.

장점

여러 사이트에 Google 비밀번호를 직접 입력할 필요가 없습니다.

또한 사이트마다 서로 다른 비밀번호를 관리해야 하는 부담이 줄어듭니다.

단점

Google 계정 자체가 매우 중요해집니다.

Google 계정이 공격당하면 그 계정을 이용해 로그인했던 여러 서비스에도 영향을 받을 수 있기 때문입니다.

따라서 외부 로그인은 Google 계정을 아무렇게나 사용해도 된다는 의미가 아니라, 오히려 Google 계정을 더욱 철저하게 보호해야 한다는 의미이기도 합니다.

외부 로그인에서 비밀번호보다 중요한 것은 ‘계정 자체의 보안’

외부 로그인을 사용한다고 해서 사용자가 보안을 신경 쓰지 않아도 되는 것은 아닙니다.

오히려 Google이나 Microsoft 같은 중앙 계정의 보안 상태를 잘 관리해야 합니다.

특히 다음 세 가지는 중요합니다.

1. 비밀번호 재사용을 피한다

Google이나 Microsoft 계정의 비밀번호를 다른 사이트에서 사용하지 않는 것이 좋습니다.

2. 2단계 인증을 사용한다

비밀번호가 노출되더라도 추가적인 인증을 요구하도록 설정하면 계정 탈취 위험을 줄일 수 있습니다.

3. 피싱 사이트에 비밀번호를 입력하지 않는다

아무리 강력한 계정 보안을 설정해도 사용자가 가짜 로그인 페이지에 비밀번호를 직접 입력하면 위험할 수 있습니다.

따라서 주소창과 도메인을 확인하는 습관은 여전히 중요합니다.

외부 로그인은 해킹을 막아주는 만능 방패가 아니다

외부 로그인에 대해 가장 흔하게 생길 수 있는 오해는 다음과 같습니다.

“Google로 로그인하면 무조건 안전하다.”

정확하지 않습니다.

외부 로그인은 비밀번호를 여러 사이트에 전달하고 저장하는 문제를 줄여주는 인증 방식이지, 모든 해킹을 막아주는 기능은 아닙니다.

사용자의 Google 계정 자체가 탈취되거나 피싱 공격에 속거나, 악성 프로그램에 감염되거나, 로그인된 기기를 다른 사람이 직접 사용할 수 있다면 문제가 발생할 수 있습니다.

따라서 외부 로그인은 보안을 강화하는 하나의 방법으로 이해하는 것이 가장 정확합니다.

외부 로그인은 사용해도 괜찮을까?

결론적으로 Google, Microsoft, Apple과 같이 신뢰할 수 있는 인증 제공자의 공식 로그인 기능을 정상적인 사이트에서 사용하는 것은 일반적으로 안전한 방법입니다.

특히 여러 사이트에서 같은 비밀번호를 반복해서 사용하는 것과 비교하면 장점이 큽니다.

다만 다음과 같은 원칙을 지키는 것이 좋습니다.

외부 로그인 보안 체크리스트

첫째. Google이나 Microsoft의 비밀번호를 여러 사이트에서 재사용하지 않습니다.

둘째. 로그인할 때 주소창의 실제 도메인을 확인합니다.

셋째. HTTPS만 보고 안전한 사이트라고 판단하지 않습니다.

넷째. 외부 로그인 과정에서 어떤 권한을 요청하는지 확인합니다.

다섯째. Google이나 Microsoft 계정에는 2단계 인증을 설정합니다.

여섯째. 가능하다면 패스키와 같은 피싱에 강한 인증 방법을 사용합니다.

일곱째. 사용하지 않는 사이트와 계정 연결은 정리합니다.

결론: 외부 로그인은 안전한가?

정상적인 외부 로그인이라면 상당히 안전한 로그인 방법이라고 볼 수 있습니다.

특히 중요한 점은 ‘Google로 로그인’한다고 해서 해당 사이트에 Google 비밀번호를 넘겨주는 것이 아니라는 것입니다.

이 방식은 사이트마다 동일한 비밀번호를 사용하는 문제를 줄여주고, 사용자가 수많은 사이트의 비밀번호를 직접 관리해야 하는 부담도 줄여줍니다.

하지만 외부 로그인에도 피싱이라는 큰 위험이 있습니다.

가짜 Google 로그인 화면에 속아 직접 Google 비밀번호를 입력하면 외부 로그인 자체가 아니라 사용자의 인증 정보가 공격자에게 넘어가는 문제가 발생할 수 있습니다.

따라서 외부 로그인을 사용할 때는 다음 한 문장을 기억하면 좋습니다.

“외부 로그인은 비밀번호를 사이트에 넘기지 않기 때문에 안전하지만, 내가 로그인하는 곳이 진짜 인증 사이트인지 확인하는 것은 여전히 내 몫이다.”

그리고 최근에는 여기에서 한 단계 더 발전한 패스키(Passkey)라는 로그인 방식이 등장했습니다.

패스키는 비밀번호를 직접 입력하지 않고도 암호학적인 방식으로 사용자를 인증하며, 일반적인 피싱 공격에 강하도록 설계되었습니다.

다음 글에서는 “패스키란 정확히 무엇이며, 왜 비밀번호보다 안전하다고 하는가?”를 Windows Hello, PIN, 스마트폰, TPM과 함께 아주 쉽게 알아보겠습니다.