"내 헤드폰이 도청기?"…소니·마샬·JBL 무선 헤드셋 보안 위험

 

프리미엄 무선 헤드셋을 자랑스럽게 구매했는데, 혹시 모르게 도청 장비가 되어있다면 어떨까요?

최근 독일의 유명 보안 연구 기관인 ERNW에서 충격적인 사실이 밝혀졌습니다.

전세계에서 사랑받는 소니 WH-1000XM6, 마샬 메이저5, JBL 라이브 버즈 3 등 인기 무선 헤드셋·이어폰 29종에서 심각한 보안 취약점이 발견된 것입니다.

혹시 당신의 헤드폰도 영향을 받고 있지는 않을까요? 이 글에서는 최신 블루투스 보안 위협과 대응 방법을 완벽하게 정리해드립니다.

"헤드폰 재킹" 공격, 무엇이 문제일까?

이번 사태의 원인은 대만 반도체 업체 아이로하(Airoha)가 개발한 블루투스 칩셋에 있습니다. 해당 칩셋에는 'RACE(Remote Access and Configuration Engine)'라는 블루투스 관리 프로토콜이 탑재되어 있는데, 이것이 심각한 보안 결함을 안고 있었던 것입니다. RACE 프로토콜은 본래 제조사가 제품을 점검하거나 펌웨어 업데이트를 진행할 때 사용하는 '관리자 전용 통로'입니다. 그런데 문제는 양산 제품에 출시될 때 최소한의 인증 절차조차 없이 그대로 남겨진 것입니다.

ERNW가 발견한 취약점은 크게 세 가지입니다. CVE-2025-20700은 GATT 인증 부재로 중요 데이터 접근이 가능한 문제, CVE-2025-20701은 페어링 동의 없이 블루투스 연결이 가능한 문제, CVE-2025-20702는 RACE 프로토콜에 대한 인증 없는 접근 문제입니다. 이 중 CVE-2025-20702가 가장 심각한 수준으로 평가됩니다.

"헤드폰 재킹" 공격이 실제로 어떻게 일어나는가?

해커는 특수 제작된 공격 도구를 이용해 반경 10미터 이내의 기기에 비밀번호나 페어링 절차 없이 무단 접속할 수 있습니다. 카페에 앉아있거나 지하철을 탈 때, 누군가 당신의 헤드폰을 해킹할 수 있다는 뜻입니다. 접속에 성공한 해커는 헤드셋 내부 메모리에 저장된 '블루투스 링크 키'를 탈취합니다. 이 키는 마치 당신의 집 열쇠와 같아서, 이를 얻으면 공격자는 당신의 정당한 기기인 척 위장할 수 있게 됩니다.

가장 무서운 부분은 그 다음입니다. 당신의 스마트폰은 평소에 연결하던 헤드폰이 다시 연결되려는 것으로 인식합니다. 이 상태가 되면 공격자는 통화 기록 조회 및 연락처 탈취, 음성 비서 호출을 통한 전화 발신과 메시지 전송, 주변 소리 도청, 개인정보 무단 접근이 가능합니다. 이 모든 것이 당신도 모르는 사이에 일어날 수 있습니다.

내 헤드폰이 위험한가? 확인해보세요

영향받는 제품은 아래와 같습니다.

• 소니 14종 : WH-1000XM6, WH-1000XM5, WH-1000XM4 포함
• 마샬 6종 : Major V, Major III 포함
• JBL : Live Buds 3 포함
• 보스(Bose)
• 자브라(Jabra)

다행히 애플 에어팟은 독자적인 블루투스 아키텍처를 사용하고 있어 이번 취약점의 영향을 받지 않습니다.

지금 바로 할 수 있는 3가지 대응 방법

첫째, 펌웨어 업데이트가 가장 중요합니다.

Airoha는 이미 보안 패치가 포함된 소프트웨어 개발 키트를 배포했으며, 2025년 초부터 각 제조사에 전달됐습니다.

소니 WH-1000XM6의 경우 Sony Headphones Connect 앱을 실행하고 헤드폰을 연결한 후 펌웨어 업데이트를 확인하세요.

2025년 9월 이후 버전 3.0.0 이상이 설치되어야 합니다.

JBL, 마샬 등 다른 브랜드는 각 제조사의 공식 앱 또는 웹사이트에서 최신 펌웨어를 확인하시기 바랍니다.

둘째, 스마트폰 블루투스 관리입니다.

스마트폰 설정에서 블루투스 기기 관리로 들어가 더 이상 사용하지 않는 헤드폰, 스피커 등을 주기적으로 삭제하세요. 잊혀진 연결은 추후 악용될 가능성이 높습니다. 필요할 때만 블루투스를 활성화하고, 공공장소에서 블루투스 검색 가능 모드 설정을 제한하며, 낯선 기기의 페어링 요청은 거절하는 습관을 들이세요.

셋째, 아직 펌웨어 업데이트를 받지 못한 제품을 사용 중이라면 가능한 공공장소에서의 헤드폰 사용을 자제하시기 바랍니다.

꼭 필요할 경우 사람이 많지 않은 장소를 이용하고, 민감한 정보는 블루투스 기기를 통해 공유하지 마세요.