클라이언트 계정 비밀번호·2단계 인증, 팀 전체가 안전하게 공유하는 실무 방법

대행사에서 계정을 여러 개 굴리다 보면 어느 순간 이런 상황이 옵니다. 팀원이 갑자기 '팀장님, 그 클라이언트 인스타 비번 뭐였죠?' 하고 묻고, 저는 카톡 어딘가에서 찾아 복사해서 다시 카톡으로 보내요. 그리고 2단계 인증 코드는 제 폰으로만 오니까 새벽에도 '코드 좀 불러주세요' 연락이 옵니다. 제가 이 방식으로 몇 번 사고를 겪고 나서 정리한 실무 방법을 공유합니다. 거창한 보안 솔루션 이야기가 아니라, 5~15명 규모 팀이 당장 바꿀 수 있는 것들 위주입니다.

1. 카톡·메모장·엑셀 공유가 사고로 이어지는 이유

먼저 흔한 공유 방식이 왜 위험한지부터 짚어볼게요.

• 메신저 대화방: 퇴사자나 나간 팀원의 기기에 내용이 그대로 남습니다. 검색도 되기 때문에 누군가 폰을 잃어버리면 그 안의 모든 클라이언트 계정이 노출 가능 상태가 돼요.
• 공유 엑셀·메모장: 열람 기록이 없어서 누가 언제 봤는지 알 수 없습니다. 비밀번호를 바꿔도 예전 버전 문서에 옛 값이 남는 경우가 많고요.
• 팀원 개인 기기 로그인: 각자 자기 PC 브라우저에 로그인하면 클라이언트 계정이 여러 기기·여러 위치에서 접속한 것처럼 보입니다. 플랫폼 입장에서는 '갑자기 낯선 환경에서 로그인이 잦아진 계정'이 되어서 추가 인증을 요구하거나 임시 잠금이 걸리기도 합니다.

결국 문제는 두 가지예요. 누가 접근했는지 추적이 안 된다는 것, 그리고 접속 환경이 계속 바뀐다는 것입니다. 이 두 가지를 잡는 게 이 글의 핵심입니다.

2. 원칙 1: 비밀번호는 '알려주는' 게 아니라 '쓰게 해주는' 것

팀원이 비밀번호 자체를 알 필요는 거의 없습니다. 필요한 건 그 계정에 들어가서 일할 수 있는 상태예요. 그래서 저희 팀은 이렇게 나눴습니다.

1. 팀 공용 비밀번호 금고를 하나 정합니다. 팀 단위 공유 기능이 있는 비밀번호 관리 서비스면 뭐든 괜찮아요. 핵심은 폴더를 클라이언트별로 나누고, 폴더마다 열람 가능한 사람을 지정하는 겁니다.

2. 담당하지 않는 클라이언트 폴더는 아예 보이지 않게 합니다. 호기심으로라도 볼 수 없게 하는 게 사고 예방에 가장 효과적이에요.

3. 비밀번호는 보기 전용 vs 복사·자동입력 전용으로 나눌 수 있으면 나눕니다. 자동입력만 허용하면 팀원이 값을 직접 보지 않고도 로그인할 수 있어요.

4. 금고 자체의 마스터 계정에는 반드시 2단계 인증을 겁니다. 금고가 뚫리면 전부 뚫리는 구조라서요.

다만 플랫폼 로그인 화면에 비밀번호를 붙여넣는 순간은 결국 팀원의 브라우저에서 일어납니다. 그래서 다음 원칙인 로그인 환경 고정이 같이 가야 해요.

3. 원칙 2: 2단계 인증을 '사람 한 명의 폰'에 묶지 않기

2단계 인증이 제일 골치 아픕니다. 클라이언트 계정에 인증 앱이 제 폰에만 등록돼 있으면, 제가 휴가 중이거나 폰을 바꾸는 날 팀 전체가 멈춰요. 제가 실제로 겪은 일입니다.

현실적인 대안은 세 가지예요.

• 공유 가능한 인증 코드 저장 방식: 팀 금고가 인증 코드(일회용 코드 생성 기능)를 지원하면 계정 정보와 함께 넣어둡니다. 팀원은 금고에서 그때그때 코드를 확인하고, 열람 기록이 남아요.
• 업무용 전용 번호·전용 기기: 클라이언트 계정 인증만 받는 업무용 단말을 하나 두고, 사내 규칙에 따라 보관자를 정합니다. 개인 폰에 인증을 묶는 것보다 인수인계가 쉬워요.
• 백업 코드 분리 보관: 대부분의 플랫폼이 2단계 인증 설정 시 백업 코드를 줍니다. 이걸 팀원 누구나 볼 수 있는 곳이 아니라, 책임자 두 명만 접근 가능한 별도 폴더에 넣어두세요. 비상용이라는 점을 팀에 분명히 알려두고요.

주의할 점이 하나 있어요. 문자 인증(SMS)에만 의존하는 클라이언트 계정이 아직 꽤 많습니다. 가능하면 인증 앱 방식으로 바꾸고, 복구용 이메일·전화번호가 누구 개인 것으로 등록돼 있는지도 함께 확인하세요. 복구 수단이 퇴사한 담당자 개인 메일이면 나중에 정말 곤란해집니다.

4. 원칙 3: 역할별로 접근 범위를 나누기

모든 팀원이 모든 계정의 모든 권한을 가질 필요는 없어요. 저희는 표로 정리해서 씁니다.

가능하면 플랫폼 자체의 역할 초대 기능(비즈니스 관리자, 채널 관리자 권한 등)을 먼저 쓰세요. 원래 계정 비밀번호를 공유하는 것보다 각자 자기 계정으로 권한을 받는 편이 훨씬 안전하고, 나중에 회수도 쉽습니다. 비밀번호 공유는 이런 권한 초대가 안 되는 경우에만 쓰는 차선책이라고 생각하시면 돼요.

5. 원칙 4: 로그인 환경을 고정해서 '낯선 접속'을 줄이기

비밀번호와 인증을 아무리 잘 나눠도, 팀원마다 다른 PC·다른 IP·다른 브라우저로 접속하면 플랫폼은 그걸 계정 탈취 시도와 구분하기 어렵습니다. 그래서 요즘 저희 팀은 다음 방식을 씁니다.

• 클라이언트 계정마다 독립된 브라우저 프로필을 하나씩 만들고, 그 프로필 안에서만 로그인합니다. 쿠키와 로그인 세션이 프로필에 저장되니 팀원이 매번 다시 로그인할 필요도 줄어요.
• 안티디텍트 브라우저처럼 프로필 단위로 브라우저 지문과 접속 환경을 분리해서 관리할 수 있는 도구를 쓰면, 계정별로 접속 환경이 일정하게 유지됩니다. 어떤 팀원이 열어도 플랫폼 입장에서는 같은 환경에서의 접속으로 보이도록 하는 거예요.
• 프로필마다 프록시(접속 IP) 설정을 고정합니다. 클라이언트의 평소 접속 지역과 크게 어긋나지 않는 지역으로 맞춰두면 좋고요. 같은 계정에 IP가 자주 튀는 것보다 훨씬 안정적입니다.
• 프로필을 팀원과 공유하는 기능이 있다면, 비밀번호 자체를 알려주는 대신 프로필 사용 권한만 부여합니다. 팀원이 비밀번호를 몰라도 로그인된 상태에서 일할 수 있는 구조예요.

이렇게 해도 계정 정지나 추가 인증 요구가 절대 생기지 않는다고 말씀드릴 수는 없습니다. 다만 '누가 접속하든 환경이 일관된다'는 점만으로도, 제 경험상 원인 모를 보안 확인 요청은 눈에 띄게 줄었어요. 이건 어디까지나 제 팀의 경험이고, 계정 상태나 플랫폼 정책에 따라 결과는 다를 수 있습니다.

6. 원칙 5: 퇴사·담당 변경 때 실행할 순서

공유 체계는 사람이 나갈 때 진짜 시험대에 오릅니다. 저는 아래 순서를 체크리스트로 만들어 두고 매번 그대로 진행해요.

1. 금고 접근 권한 즉시 회수 (당일)

2. 해당 인원이 접근 가능했던 클라이언트 계정 목록 뽑기

3. 각 계정의 비밀번호 변경 및 로그인된 기기 전체 로그아웃

4. 2단계 인증 재등록(인증 앱 재연결)과 백업 코드 재발급

5. 복구용 이메일·전화번호가 퇴사자 개인 것이 아닌지 확인

6. 플랫폼 내 역할 초대 목록에서 해당 인원 제거

7. 공유된 브라우저 프로필 권한 회수

8. 변경 일자·담당자를 기록하고 클라이언트에게 필요 시 공유

특히 3번, 로그인된 기기 전체 로그아웃을 자주 빼먹습니다. 비밀번호만 바꿔도 이미 열려 있는 세션이 살아 있는 경우가 있으니 꼭 함께 하세요.

7. 월 1회 점검 체크리스트

• 금고 폴더별 열람 권한이 현재 담당 배정과 일치하는지
• 금고 접근 기록에서 평소와 다른 시간대·횟수가 있었는지
• 백업 코드가 아직 유효하게 보관되어 있는지
• 복구용 이메일·전화번호가 회사 자산인지
• 오래 로그인되지 않은 계정의 비밀번호가 초기값 그대로인지
• 플랫폼 내 역할 초대 목록에 모르는 계정이 없는지

8. 마무리

정리하면 이렇습니다. 비밀번호는 금고로, 인증은 한 사람 폰이 아닌 팀 자산으로, 권한은 담당별로 쪼개고, 접속 환경은 계정별로 고정하고, 사람이 나갈 때는 순서대로 회수하는 거예요. 하나하나는 소소해 보여도 이 다섯 가지가 함께 돌아가야 계정 사고가 줄어듭니다.

처음부터 다 바꾸려면 부담스러우니, 이번 주에는 딱 하나만 해보세요. 카톡 대화방에 흩어진 비밀번호부터 금고로 옮기는 겁니다. 그것만 해도 다음 달 퇴사자가 생겼을 때 훨씬 편해질 거예요.