'8만원 가성비템'으로 한국서도 잘 팔렸는데…내 통화정보 줄줄

샤오미 무선 이어폰서 통화정보 샌다
레드미 버즈 프로 일부시리즈, 보안취약점 확인
페어링 없이 원격 공격 가능…사용자 주의

저렴한 가격과 '가성비' 이미지로 인기를 끌어온 샤오미 무선 이어폰 '레드미 버즈' 일부 모델에서 별도 페어링 없이도 통화 관련 정보가 외부로 유출될 수 있는 보안 취약점이 확인됐다. 국내에서 판매 중인 제품도 포함돼 이용자들의 각별한 주의가 요구된다.

샤오미의 블루투스 이어폰 '레드미 버즈 6 프로'. 샤오미 공식 홈페이지

10일 업계에 따르면 한국인터넷진흥원(KISA)은 최근 보안 공지를 통해 샤오미 블루투스 이어폰 '레드미 버즈' 시리즈 일부에서 보안 취약점이 확인됐다며 사용자 주의를 당부했다.

문제가 확인된 제품은 레드미 버즈 3 프로, 4 프로, 5 프로, 6 프로 등 총 4종으로 KISA는 해당 제품에서 정보 노출 취약점(CVE-2025-13834)과 서비스 거부(DoS) 취약점(CVE-2025-13328)이 발견됐다며 "보안 패치가 제공되지 않는 만큼 인파가 몰리는 공공장소 등에서 이어폰을 사용하지 않을 때는 블루투스 기능을 비활성화해야 한다"고 권고했다.

미국 비영리 보안 기관인 CERT 조정 센터도 지난달 레드미 버즈 시리즈 일부 모델에서 정보 유출 및 서비스 거부 취약점이 확인됐다며 각별한 주의를 요청했다.

페어링 없이 공격 가능…통화 정보 유출 우려

두 기관에 따르면 이번에 확인된 취약점은 공격자가 블루투스 연결 범위 내에 있으면 별도의 페어링이나 인증 절차 없이도 악성 트래픽을 전송해 기기를 원격으로 공격할 수 있는 구조다. 특히 가장 심각한 문제는 통화와 관련된 메타데이터가 외부로 유출될 수 있다는 점이다.

정보 노출 취약점(CVE-2025-13834)은 기기가 비정상적인 테스트(TEST) 명령을 수신했을 때 초기화되지 않은 메모리 버퍼를 그대로 반환하는 현상을 악용하는 방식이다. 이를 통해 공격자는 통화 상대방의 전화번호 등 핵심 정보를 포함한 민감 데이터를 탈취할 수 있다. 통화 중이거나 통화가 종료된 직후 공격이 이뤄질 경우 관련 정보가 그대로 노출될 수 있는 것이다.

국내 판매 모델 포함…사용자 주의 필요

서비스 거부 취약점(CVE-2025-13328)은 공격자가 대량의 명령을 한꺼번에 보내 기기 자원을 과도하게 소모시키는 방식으로 이어폰이 정상적으로 동작하지 않거나 사용자의 기기와 연결이 끊기는 상황을 유발할 수 있다.

샤오미의 레드미 버즈 프로 시리즈는 저렴한 가격과 성능을 앞세운 대표적인 '가성비' 무선 이어폰으로 꼽힌다. 국내에서도 인지도가 높은 제품으로 최신 모델인 레드미 버즈 6 프로는 현재 국내 네이버 스마트스토어 등에서 약 8만원 안팎에 판매되고 있다.

이번 취약점과 관련해 샤오미 측은 공급업체들과 협력해 업데이트를 진행할 예정인 것으로 전해졌다. 또 최근 출시된 제품은 이미 업데이트가 적용돼 이번 문제와는 무관한 것으로 알려졌다.

한편 이번 취약점은 이희조 고려대학교 교수 연구팀이 발견해 제보했다.

박은서 인턴기자 rloseo8@asiae.co.kr