크롬에 저장한 비밀번호를 파일로 내보낼 수 있다는 사실을 모르는 사람도 많습니다. 저도 크롬의 자동 로그인 기능은 사용하지만, 저장된 비밀번호를 한꺼번에 내보낼 수 있다는 것은 이번에 처음 알았습니다. 기기를 바꿀 때 필요한 백업 기능이라고 생각하기 쉽지만, 같은 Google 계정을 계속 사용하거나 사이트별로 다시 인증할 수 있다면 굳이 파일을 만들 필요는 없습니다.
문제는 내보내기 기능 자체보다 만들어진 파일입니다. 이 파일에는 사이트 주소, 아이디와 실제 비밀번호가 읽을 수 있는 형태로 들어갈 수 있습니다. 백업이나 다른 비밀번호 관리 도구로 옮기기 위해 만들었다면 사용 후 저장 위치와 삭제 여부까지 확인해야 합니다.
CSV는 비밀번호를 표처럼 담은 파일
크롬에서 비밀번호를 내보내면 보통 확장자가 .csv인 파일이 만들어집니다. CSV는 여러 정보를 쉼표로 구분해 저장하는 표 형식의 파일입니다. 엑셀 같은 프로그램뿐 아니라 메모장으로도 열 수 있으며, 비밀번호 파일에는 보통 사이트 주소와 사용자 이름, 비밀번호가 열별로 들어갑니다.
여기서 중요한 점은 CSV라는 형식이 원래 위험한 것이 아니라는 사실입니다. 크롬에서 내보낸 CSV에 민감한 로그인 정보가 암호화되지 않은 평문으로 담길 수 있다는 점이 위험합니다. Google도 가져오기를 마친 뒤 파일을 삭제하지 않으면 해당 기기를 사용하는 사람이 파일을 열어 비밀번호에 접근할 수 있다고 안내합니다.
기기를 바꾼다고 반드시 내보낼 필요는 없음
비밀번호 내보내기는 크롬에서 다른 브라우저나 비밀번호 관리 도구로 옮길 때, 서로 다른 저장 환경 사이에서 정보를 이전할 때 유용할 수 있습니다. 그러나 새 노트북으로 바꾼다는 이유만으로 무조건 필요한 절차는 아닙니다.
저는 기기를 바꾼 뒤 평소 이용하던 사이트라도 처음에는 자동 로그인이 되지 않았습니다. 비밀번호를 직접 입력하거나 다른 기기를 통한 본인 인증 등 사이트가 제공하는 방법으로 로그인한 뒤, 비밀번호 저장과 자동 로그인을 다시 설정했습니다. 조금 번거롭더라도 모든 비밀번호가 한꺼번에 보이는 파일을 만드는 것보다 이 방식이 더 안심된다고 판단했습니다.
따라서 먼저 내보내려는 목적을 확인해야 합니다. 단순히 새 기기에서 같은 사이트를 계속 이용하려는 것이라면 Google 계정에 저장된 비밀번호를 사용할 수 있는지, 사이트별 복구·인증 수단으로 다시 로그인할 수 있는지부터 살펴봅니다. 목적이 분명하지 않다면 파일을 만들지 않는 것이 가장 간단한 예방 방법입니다.
꼭 만들었다면 가져오기와 삭제를 한 작업으로 보기
다른 서비스로 비밀번호를 옮기기 위해 CSV가 꼭 필요하다면 다음 순서로 처리합니다.
- 내보내기 전에 가져올 서비스가 CSV를 지원하는지 확인합니다.
- 저장 위치를 직접 확인하고 공유 PC나 동기화 폴더는 피합니다.
- 가져오기가 정상적으로 끝났는지 필요한 계정 몇 개를 확인합니다.
- 원본 CSV 파일을 삭제하고 운영체제의 휴지통도 확인합니다.
- 메일 첨부, 메신저 전송이나 클라우드 업로드 사본이 없는지 살펴봅니다.
파일을 바탕화면이나 다운로드 폴더에서 지웠다고 바로 정리가 끝나는 것은 아닙니다. 일반 삭제라면 휴지통에 남을 수 있고, OneDrive 같은 동기화 폴더에 저장했다면 온라인 공간이나 다른 기기에 사본이 생겼을 가능성도 확인해야 합니다. 다만 저장장치에서 삭제한 파일이 절대로 복구되지 않는다고 단정할 수는 없습니다. 그래서 처음부터 임시 파일의 생성과 복사를 최소화하는 편이 낫습니다.
파일이 노출됐을 가능성이 있다면 삭제만으로 끝내지 않기
CSV를 다른 사람에게 잘못 보냈거나 공용 공간에 올렸다면 파일을 지우는 것만으로는 충분하지 않을 수 있습니다. 상대방이 이미 복사했는지 확인할 방법이 없기 때문입니다. 이때는 파일에 포함된 계정의 비밀번호를 각각 변경하고, 같은 비밀번호를 재사용한 곳도 함께 점검합니다.
Google 계정에서 수상한 활동까지 발견했다면 비밀번호 변경 후 로그인 기기와 연결 앱 점검 방법에 따라 세션과 외부 앱 접근 권한도 확인할 수 있습니다.
크롬 자동 로그인을 사용한다고 비밀번호 CSV가 저절로 만들어지는 것은 아닙니다. 직접 내보내기를 실행해야 파일이 생깁니다. 따라서 특별한 이전 목적이 없다면 내보내지 않고, 꼭 필요하다면 ‘가져오기 완료’가 아니라 ‘남은 사본과 휴지통 확인’까지를 한 작업으로 처리하는 것이 안전한 기준입니다.
공식 자료
- Google Chrome 고객센터 ‘비밀번호 및 패스키 가져오기 또는 내보내기’: https://support.google.com/chrome/answer/13068232?co=GENIE.Platform%3DDesktop&hl=ko