2026 프리랜서·1인 사업자 계정 보안·해킹 대비 완전 가이드, 디자이너·개발자·마케터가 '비밀번호 하나 털려서' 클라이언트 신뢰까지 잃지 않는 6단계 실전 전략

회사원은 보안팀이 있지만, 프리랜서와 1인 사업자는 내가 곧 보안팀입니다. 그런데 우리의 노트북과 이메일에는 클라이언트의 소스코드, 미공개 디자인 시안, 광고 계정 결제 정보, 계약서와 세금 자료가 전부 들어 있습니다. 계정 하나가 털리면 내 일만 멈추는 게 아니라 클라이언트의 자산까지 새어 나가고, 그 순간 신뢰도와 다음 계약이 함께 사라집니다.

버라이즌의 2025년 데이터 침해 보고서에 따르면 침해 사고 유형 중 '도난된 계정 정보 사용'이 32%로 가장 많았습니다. 해커가 대단한 기술로 뚫고 들어오는 것이 아니라, 유출된 비밀번호로 그냥 '로그인'하는 시대라는 뜻입니다. 오늘은 디자이너·개발자·마케터가 하루 반나절이면 끝낼 수 있는 계정 보안 재정비 6단계를 정리했습니다.

1단계. 내 '디지털 자산 지도'부터 그린다

보안은 무엇을 지켜야 하는지 아는 데서 시작합니다. 메인 이메일, 클라우드 드라이브, GitHub·Figma·Notion 같은 작업 도구, 클라이언트가 공유해준 광고·호스팅·도메인 계정, 은행과 홈택스까지 한 장의 표로 적어 보세요. 그리고 각 계정 옆에 '털리면 피해 규모(상·중·하)'와 '복구용 이메일·전화번호'를 기록합니다.

이 작업을 하면 대부분 두 가지를 발견합니다. 거의 모든 계정의 복구 수단이 하나의 이메일로 모여 있다는 것, 그리고 끝난 프로젝트의 클라이언트 계정 권한을 아직 들고 있다는 것입니다. 첫 번째는 '최우선 방어 대상'이고, 두 번째는 '지금 바로 반납할 위험'입니다.

2단계. 메인 이메일을 '금고'로 만든다

모든 비밀번호 재설정 링크는 이메일로 옵니다. 즉 이메일이 뚫리면 나머지는 도미노처럼 넘어갑니다. 메인 이메일만큼은 가장 강한 인증을 걸어야 합니다. 문자(SMS) 인증은 유심 복제나 번호 이동 사기에 취약하므로, 인증 앱이나 패스키, 가능하면 물리 보안키를 사용하세요.

또한 업무용과 개인용 이메일을 분리하는 것이 좋습니다. 쇼핑몰·커뮤니티 가입에 쓰는 개인 메일이 유출돼도 업무 계정으로 번지지 않도록 '방화벽'을 치는 셈입니다.

3단계. 비밀번호 관리자 + 패스키로 '재사용'을 끊는다

계정 탈취의 가장 흔한 경로는 한 사이트에서 유출된 비밀번호를 다른 사이트에 그대로 대입해 보는 '크리덴셜 스터핑'입니다. 해결책은 단순합니다. 비밀번호 관리자를 도입해 모든 사이트에 서로 다른 무작위 비밀번호를 쓰는 것입니다. 기억할 비밀번호는 관리자 마스터 비밀번호 하나면 충분합니다.

여기에 패스키를 더하면 한층 강해집니다. 구글·애플·마이크로소프트는 물론 네이버, 카카오, 쿠팡 등 국내 플랫폼도 패스키를 속속 도입하고 있습니다. 패스키는 지문·얼굴·PIN으로 로그인하고 서버에 비밀번호 자체를 보내지 않기 때문에 피싱과 비밀번호 유출에 매우 강합니다. 지원하는 서비스부터 하나씩 전환하세요.

4단계. 클라이언트 계정은 '빌려 쓰고 반드시 돌려준다'

프리랜서 보안 사고의 상당수는 클라이언트가 카톡으로 보내준 관리자 아이디·비밀번호에서 시작됩니다. 가능하면 클라이언트 계정의 비밀번호를 받지 말고, 내 계정을 '멤버·협업자'로 초대받는 방식을 제안하세요. 메타 비즈니스 관리자, 구글 애널리틱스, GitHub, Figma 모두 권한 초대 기능이 있습니다.

개발자라면 API 키와 서버 접속 정보를 코드나 채팅방에 평문으로 남기지 마세요. .env 파일은 저장소에서 제외하고, 프로젝트 종료 시 발급받은 키를 폐기해 달라고 요청하는 것까지가 납품입니다. 계약서에 '종료 후 7일 내 모든 접근 권한 반납' 조항을 넣으면 프로다운 인상도 함께 줄 수 있습니다.

5단계. 작업 기기와 AI 도구 사용 습관을 점검한다

패스키가 계정을 지켜줘도 노트북 자체가 악성코드에 감염되면 소용이 없습니다. 운영체제 자동 업데이트, 디스크 암호화(맥 FileVault, 윈도우 BitLocker), 화면 잠금 시간 5분 이내 설정은 기본입니다. 카페 공용 와이파이에서는 휴대폰 핫스팟을 쓰는 편이 안전하고, 출처를 알 수 없는 '크랙 폰트·플러그인·확장 프로그램'은 설치하지 마세요.

AI 도구도 보안 범위에 들어옵니다. 클라이언트의 미공개 기획서나 고객 데이터를 무심코 AI 챗봇에 붙여넣기 전에, 계약상 허용되는지와 해당 서비스가 입력 데이터를 학습에 쓰는지 설정을 확인하세요. 개인정보는 익명화한 뒤 활용하는 습관이 필요합니다.

6단계. '털렸을 때' 대응 매뉴얼을 미리 써 둔다

사고는 준비 여부와 관계없이 옵니다. 차이는 복구 속도입니다. 아래 순서를 메모장에 적어 두세요. ① 다른 기기에서 메인 이메일 비밀번호 변경 및 모든 세션 로그아웃 ② 2단계 인증 수단과 복구 연락처가 바뀌지 않았는지 확인 ③ 연결된 클라이언트 계정 권한 점검 및 영향받은 클라이언트에게 즉시 공유 ④ 결제 수단 정지 ⑤ 한국인터넷진흥원(KISA) 118 상담센터 신고.

특히 ③번이 중요합니다. 사고를 숨기다 클라이언트가 먼저 알게 되면 신뢰는 회복하기 어렵지만, 빠르게 알리고 조치 내역을 공유하면 오히려 '믿을 만한 파트너'라는 평가를 받기도 합니다. 그리고 매 분기 첫 주에 30분만 투자해 1단계의 자산 지도를 업데이트하면, 보안은 일회성 이벤트가 아닌 루틴이 됩니다.