X (Twitter) 비밀번호 변경: 계정 잠금 없이 안전하게 바꾸는 방법

X 계정을 인수받아서, 막 넘겨받은 것에는 뭐든 그렇게 하듯 바로 비밀번호를 바꿨는데, 뭔가가 잘못됐다. 예약 게시 도구가 조용해졌거나, 더 심하면 플랫폼이 내 소유가 아닌 이메일 주소로 변경 확인을 요청한 상황이다.

직감은 옳다. 다만 순서가 틀린 경우가 대부분이고, 그 순서가 결국 계정을 내가 장악하게 될지, 아니면 잠겨서 쫓겨나게 될지를 결정한다.

비밀번호가 첫 단계가 아닌 이유

대부분의 것을 구매할 때 비밀번호를 바꾸는 것이 통제권을 넘겨받는 행위다. 하지만 여기서는 그렇지 않다. X에서 비밀번호를 바꾸는 것은 단순한 양식 제출이 아니기 때문이다. 이는 플랫폼이 평가하는 보안 이벤트다: 어떤 기기인지, 어떤 주소인지, 마지막 로그인 이후 얼마나 지났는지. 이것이 평소와 다르게 읽히면 확인을 요구하고, 확인은 현재 계정에 등록된 이메일 주소나 전화번호로 전송된다.

갓 인수한 계정에서는 바로 그런 것들이 아직 내 통제 하에 있지 않을 수 있다. 그래서 나를 보호하기 위한 단계가 오히려 나를 잠그는 결과를 낳는다. 그리고 보증 기간이 아직 진행 중인데도 계정이 정상 작동했다는 것을 더 이상 입증할 수 없는 상황이 된다.

이것은 가상의 경고가 아니다. 우리 X 셀프에서 900개가 넘는 활성 목록 중 42개는 자체 설명에 제공된 이메일을 사용하지 못할 수 있다고 명시하고 있다. 행동하기 전에 확인하라. 행동한 후가 아니라.

효과가 있는 순서

1. 먼저 받은 편지함. 계정에 등록된 이메일 주소로 로그인하여 실제로 메일을 수신할 수 있는지 확인한다. 이것 없이는 이후의 모든 것이 추측에 불과하다.
2. 조용한 로그인. 정상적으로 로그인한 후 20분 동안 읽기 외에는 아무것도 하지 않는다. 나중에 철거할 임시 설정이 아니라 계속 사용할 연결로 접속한다.
3. 다른 세션 로그아웃. 이것이 실제로 계정을 쥐고 있는 다른 사람을 제거하는 단계이며, 비밀번호와 달리 의심의 여지가 없다. 아래에서 더 자세히 다룬다.
4. 연락처 정보. 이메일 주소와 전화번호를 내 것으로 교체한다. 이것이 통제권을 이전하는 것이다. 비밀번호는 향후 로그인을 관장하고, 복구 주소는 누가 계정을 되찾을 수 있는지를 관장한다.
5. 그다음 비밀번호. 이 시점에서 확인 프롬프트는 무해하다. 확인이 나에게 도착하기 때문이다.
6. 그다음 도구 재연결.

4단계에서 대부분의 사람들이 순서를 뒤집는데, 그것이 비용이 많이 드는 역전이다. 다른 사람의 주소가 계정에 남아 있는 상태에서 비밀번호를 바꾸는 것은 문을 걸어 잠그고 열쇠를 밖에 두는 것과 같다.

구매 후가 아니라 구매 전에 알아둘 가치가 있는 것: 우리 X 셀프의 900개가 넘는 활성 목록 중 단 19개만이 복구 이메일 제공을 언급하고, 단 8개만이 전화번호가 제거되었다고 언급한다. 작동하는 받은 편지함을 포함하는 목록은 셀프의 약 3분의 2로 흔하며, 중간 가격 목록보다 약 10% 더 비싸다. 위의 모든 단계가 의존하는 것을 위한 작은 프리미엄이다.

다른 접근을 확실히 종료하는 단 하나의 조치

이 부분은 주의가 필요하다. 이 페이지의 이전 버전을 포함해 널리 잘못 알려져 있기 때문이다.

X 비밀번호를 변경하면 다른 모든 기기가 로그아웃된다고 흔히 말한다. X는 우리가 읽을 수 있는 어떤 성명도 발표하지 않는다: 도움말 페이지가 자동 요청을 거부하므로 확인할 수 없다. 기록에 남아 있는 것은 2022년 9월 Twitter가 자발적 비밀번호 변경이 다른 기기의 세션을 종료하지 않았다는 사실을 공개했다는 것이다. 이 버그는 수정되기 전까지 몇 달간 지속되었다. 이 이력은 오늘날 어떤 효과가 있든 그 부수 효과에 기대지 말아야 할 충분한 이유다.

신뢰할 수 있는 조치는 다른 것이며, 설정에 있다: 보안 및 계정 액세스, 그다음 앱 및 세션, 그다음 세션. 현재 사용 중인 세션을 제외한 모든 세션을 로그아웃시키는 컨트롤이 있다. 그것은 명시적이고, 내 통제 하에 있으며, 그 효과는 해석의 문제가 아니다.

그러므로 비밀번호 변경을 다른 로그인을 정리하는 방법으로 취급하지 말라. 그것을 비밀번호 변경으로 취급하고, 다른 로그인은 그 목적을 위해 만들어진 목록에서 의도적으로 직접 정리하라.

실제로 무엇이 깨지고, 무엇이 깨지지 않는가

X 계정에는 두 종류의 접근 권한이 연결되어 있고, 그것들은 다르게 작동한다. 이것이 이 전체 영역에서 가장 유용한 구분이다.

복사된 세션 값은 로그인된 브라우저에서 추출된 쿠키로, 많은 자동화 도구가 요구하는 것이다. 그것들은 로그인 세션에 묶여 있으므로 세션을 종료하면 함께 종료된다. 복사된 값으로 실행되는 도구는 보통 이런 일이 발생해도 오류를 보고하지 않는다. 그저 게시를 멈추고, 다음 날에야 알게 된다. 이런 것이 있다면 보안 변경 후 다시 해야 한다고 예상하고, 아무 데나 붙여넣기 전에 auth_token과 ct0이 실제로 무엇을 하는지 읽어보라.

승인된 애플리케이션은 다르다. 공식 인증 흐름을 통해 연결한 앱은 비밀번호나 브라우저 세션에 의존하지 않는 자체 권한을 보유하므로, 이 모든 것을 견뎌낸다. 이것은 양방향으로 작동하며 양쪽 모두 유용하다: 비밀번호를 변경해도 자동화를 중단하지 않을 수 있고, 비밀번호를 건드리지 않고 단일 애플리케이션을 차단할 수 있다. 또한 내가 계정을 소유하기 전에 다른 사람이 부여한 인증은 방금 한 모든 것보다 오래 지속되므로, 연결된 앱 목록을 수동으로 점검해야 한다.

이 비대칭성이 일주일 이상 운영하려는 모든 것에 공식 경로를 사용해야 하는 진짜 이유다. 복사된 값은 빠르지만 내가 취하는 모든 보안 조치에 깨진다. 적절한 인증은 한 번 더 오래 걸리지만 그다음부터는 내 문제가 아니다.

비밀번호 변경이 진행되지 않을 때

"안 된다" 뒤에는 세 가지 다른 상황이 숨어 있고, 각각 다른 대응이 필요하다.

수락되었지만 적용되지 않는다. 거의 항상 받은 편지함에 대기 중인 확인 메시지다. 스팸을 확인하고, 다시 제출하기보다 몇 분 기다렸다가 다시 시도하라.

완료할 수 없는 챌린지가 표시된다. 플랫폼이 내 접근을 평소와 다르게 평가한 것이다. 도움이 되는 것은 인내다: 같은 연결, 같은 기기, 나중에 다시 시도. 도움이 되지 않는 것은 우회하려고 다른 연결로 전환하는 것인데, 평가를 더 악화시킬 뿐이다.

계정이 제한되거나 정지되었다. 그렇다면 비밀번호는 문제가 아니라 증상이며, 돌아오는 길은 다른 것이다. 그 경우는 제한 및 정지 계정 가이드에서 다룬다.

토큰이 유출되는 경로, 생각보다 흔한 일

어딘가에 붙여넣은 세션 값은 세션이 종료될 때까지 계정에 대한 실시간 접근 권한이다. 그것은 기술적 문자열이 아니라 열쇠다. 일상적인 유출 경로:

• 지원 통화 중 개발자 도구가 열린 상태로 화면 공유
• 원시 값을 채팅, 티켓 또는 공유 문서에 붙여넣기
• 클라우드 저장소에 동기화되는 일반 텍스트 파일에 저장
• 페이지 데이터를 읽을 권한이 있는 브라우저 확장 프로그램
• 공유 또는 재판매된 기기에 남겨진 로그인 세션

하나라도 유출되었다고 생각되면 세션 목록으로 가서 모두 종료하라. 그것이 알려진 효과가 있는 조치다. 비밀번호도 물론 변경하되, 그것만으로 끝내지 말라.

아무것도 남지 않았을 때의 복구

계정의 주소가 변경되었고 아무것도 수신할 수 없다면 일반적인 경로는 모두 막혔고, 남은 유일한 방법은 플랫폼 자체의 문의 양식뿐이다. 거기서 중요한 것은 계정이 내 것이라는 증거다: 이전 이메일 주소, 계정에 등록되어 있던 전화번호, 대략적인 생성 시기, 과거 알림 이메일. 양식을 작성하기 전에 그것을 모아두라. 나중에 추가하는 것은 어렵다.

솔직한 부분: 공개된 처리 시간도, 전화번호도, 진행을 앞당길 방법도 없다. 유료 복구를 약속하는 서비스들은 당신이 사용하는 것과 같은 양식을 사용하고 있다.

실제로 작동하는 유일한 예방책은 여전히 로그인된 상태에서 위의 1~4단계를 수행하는 것이다. 목록 중에서 선택한다면, 로그인할 수 있는 받은 편지함이 포함된 목록은 X 계정 목록 페이지에 있다. 동일한 비밀번호-마지막 순서는 Facebook 계정에도 동일한 이유로 적용된다.

X 자체의 도움말 페이지가 공식 참조 자료다. 우리는 여기서 그것을 읽을 수 없었으므로, 그 내용을 특징지으려 하지 않는다.