[정보💡] 샤오미 iot제품들 보안 심각한 상황임

스싱갤에도 관련 제품 쓰는사람 있을거같은데 확인해봐

https://www.ddaily.co.kr/page/view/2025070910502237841

[디지털데일리 김문기 기자] 인도 정부와 미국 사이버보안청(CISA)뿐만 아니라 중국에서도 샤오미의 기기간 연동서비스인 '미 커넥트'에 대한 심각한 보안 취약점을 지적한 것으로 드러났다.

최근 GB해커와 사이버프레스, 골든해커스 등 복수의 보안관련 전문매체들에 따르면 샤오미의 공식 기기간 연동 서비스인 ‘미 커넥트(Mi Connect)’ 앱에서 인증 절차를 우회해 스마트폰을 초기화하거나 완전히 장악할 수 있는 치명적 보안 취약점(CVE-2024-45347)이 발견됐다고 지적했다. 특히, 이 결함은 중국 산동(Shandong) 대학교 상하이(Shanghai) 캠퍼스의 리우 샤오펭(Liu Xiaofeng) 교수 연구팀이 공식 보고해 눈길을 끈다. 중국 내 연구팀 역시도 중국 기업 샤오미에 대한 우려를 나타냈기 때문. 결과적으로 연구팀의 연구는 미국 국립취약점데이터베이스(NVD)를 통해 CVSS 9.6점으로 ‘치명적(Critical)’ 등급을 부여 받아 그 심각성이 드러났다.

또한 앞서 인도 인터넷침해대응센터(CERT-In)은 취약점 위험도를 ‘크리티컬(Critical)’ 등급으로 지정한 바 있다. 미국 사이버보안청(CISA) 역시 특정 취약점에 대한 주간 보안 공지 내용에 따르면 샤오미 미 커넥트 보안 문제와 관련해 '기기 무결성과 가용성을 위협하는 심각한 수준의 인증 우회 취약점'이라고 명시하며, 즉각적인 대응을 권고한 바 있다. 아울러 해당 취약점을 정부기관 필수 패치 목록(KEV)에 등재할 가능성을 시사하고 있어, 향후 글로벌 보안 이슈로 확산될 전망이다.

이와 관련해 실제 보안 업계 관계자들은 이 문제의 심각성을 강조하고 있다. 루이스 콤브스 미국의 보안 분석가는 SNS를 통해 이번 취약점은 단순한 정보 유출 수준이 아닌, 사용자의 거실과 주방 전체가 무방비 상태로 전락할 수 있다는 점에서 충격적이라며, 스마트홈 환경 전반에 대한 보안 점검이 시급하다고 밝혔다. 문제가 된 취약점이 동일한 와이파이 네트워크 상에 있는 공격자가 별도의 인증 없이 원격으로 기기를 초기화하거나 루트 권한 수준의 제어를 할 수 있도록 하는 구조적 결함이기 때문이다.

연구를 진행한 리우 샤오펭 교수팀도 이 부분을 지적했다. 미 커넥트(Mi Connect)의 RPC 인터페이스가 인증 과정을 거치지 않고도 일부 고위험 명령어를 수신하도록 허용하는 인증 로직 상의 설계 미스(Design Flaw)를 지적했다. 이로 인해 스마트폰 초기화, 설정 변경, 앱 제거, 임의 명령 실행 등이 가능해진다는 것.

더 큰 문제는 이 보고서에 따르면 해당 취약점은 중국 내 제품에 국한되지 않으며, 글로벌 출시된 레드미(Redmi) 및 포코(POCO) 등 샤오미 브랜드 스마트폰에 동일하게 적용되는 미 커넥트(Mi Connect) 앱 전반에 영향을 준다. 특히 이 서비스는 스마트폰과 스마트TV, IoT 기기 간의 제어를 위해 설치되는 경우가 많아, 사용자가 취약점 존재를 인지하지 못한 채 백그라운드에서 활성화돼 있는 경우가 많다는 게 더 큰 문제다. 사용자가 모르고 있는 사이에 관련 정보를 다 뺏길 수 있다. 골든해커스도 해당 결함은 IoT 게이트웨이 장비와 연동되는 샤오미 생태계 전반에 파급될 수 있는 심각한 문제라고 경고했다.

샤오미는 미 커넥트 앱 최신 버전인 v3.1.921.10 이상으로의 업데이트를 긴급 권고한 상태다. 다만 자동 업데이트가 비활성화된 사용자나 서드파티 마켓에서 앱을 설치한 경우, 여전히 이전 버전을 사용하는 사례가 적지 않다. 게다가 한국의 경우 샤오미 홈페이지 등에서 이번 보안 결함에 대한 안내나 업데이트 권고에 대한 내용이 없다. 이번 보안 이슈에 대해 함구하는 분위기다.

한편, 샤오미는 지난 6월 28일 서울 여의도 IFC몰에 국내 1호 오프라인 매장을 열며 한국 시장 공략의 신호탄을 쐈다. 하지만 이 자리에서도 조니 우 샤오미코리아 사장은 국내에서 정보보호책임자 등 전담 인력이나 조직이 있는지와 관련한 질문에 대해 "유저 프라이버시 보호를 위해 최선을 다 하고 있다"는 원론적 입장만 반복했다. 구체적인 질문에 대해서는 회피하는 모습을 보이기도 했다.

업계에서는 샤오미의 상대적으로 느슨한 앱 검증 체계와 인증 로직 설계에 대한 구조적 재검토가 시급하다는 목소리가 커지고 있다. 특히 글로벌 시장을 대상으로 운영되는 앱임에도 기본적인 인증 우회가 가능했던 점은 향후 타 제조사·IoT 벤더에도 경고가 될 수 있는 사례로 평가하고 있다.

[정보💡] 샤오미 iot제품들 보안 심각한 상황임

댓글 1

다른 게시글