샤오미 보안 위험 실태: 중국 연구팀 경고와 글로벌 확산, 한국의 대응은?

1. 개요: 중국 기업도 인정한 샤오미의 보안 위험

2025년 7월, 샤오미(Xiaomi)의 광범위한 보안 취약점이 전 세계적으로 대두되며 사이버 보안 업계에 큰 파장을 일으키고 있다. 특히 중국 내 연구팀마저 샤오미 제품의 보안 위험성을 공개적으로 경고하면서, '대륙의 우려'라는 표현이 나올 정도로 심각성이 부각되고 있다. 샤오미의 미 커넥트(Mi Connect) 앱에서 발견된 치명적 취약점을 비롯해 개인정보 해외 전송, 비표준 암호화 기법 사용 등 다양한 보안 이슈가 연쇄적으로 드러나고 있다.

인도 정부가 전 국민을 대상으로 긴급 보안 경고를 발령하고, 유럽연합이 GDPR 위반 혐의로 조사에 착수한 가운데, 한국은 여전히 뚜렷한 공식 대응을 보이지 않고 있어 소비자 보호 사각지대가 우려되는 상황이다.

2. 샤오미 보안 취약점의 핵심 이슈들

2.1. Mi Connect 앱의 치명적 결함

• 샤오미 스마트폰에 기본 탑재된 통합 제어 앱 'Mi Connect'에서 심각한 인증 절차 결함 발견
• 동일 와이파이 네트워크 내 공격자가 사용자 인증 없이 샤오미 기기를 원격 통제 가능
• 스마트폰, TV, 노트북, 공기청정기, 로봇청소기 등 샤오미 생태계 전체가 노출 위험
• 취약점 발견 버전: 3.1.895.10 이하, 긴급 패치: 3.1.921.10

2.2. 샤오미 앱 스토어의 광범위한 보안 문제

• 샤오미 자체 스토어 등록 인기 안드로이드 앱의 약 50%가 비표준 자체 암호화 기법 사용
• 표준 암호화 프로토콜 우회로 인한 데이터 탈취 및 변조 위험 증가
• 중국 내 보안 전문가들도 "샤오미 생태계 전반의 구조적 보안 문제"라고 지적

2.3. 개인정보 해외 전송과 투명성 부족

• 샤오미 이용약관: "중국 본토 외 지역 스마트폰 개인정보는 싱가포르나 유럽 보관"
• 실제로는 "제3자 서비스 제공업체 및 비즈니스 파트너에게 전송 가능" 명시
• "데이터는 다른 국가나 지역으로도 이전될 수 있고 해당 지역의 데이터 보호 기준은 귀하의 관할권과 다를 수 있다" 조항 포함
• AI 기반 스마트홈·IoT 기기는 '미홈(Mi Home)', '샤오미 클라우드' 등 글로벌 서버와 실시간 데이터 교환

3. 글로벌 대응 현황과 각국 정부의 조치

3.1. 인도 정부의 강력한 대응

• 2025년 6월, 인도 정부가 전 국민 대상 '긴급 보안 경고(Security Alert)' 발령
• Mi Connect 앱의 인증 절차 결함으로 인한 기기 통제 위험 공식 경고
• 샤오미 사용자에게 즉시 앱 업데이트 및 보안 설정 강화 권고
• 스마트홈 보안 전반에 대한 국가 차원의 점검 실시

3.2. 유럽연합의 GDPR 위반 조사

• 2025년 1월, EU 개인정보보호단체가 샤오미 포함 중국계 IT기업 6곳을 GDPR 위반 혐의로 공식 민원 제출
• EU에서 수집한 개인정보를 별도 고지 없이 중국으로 전송했을 가능성 문제 지적
• 유럽 시민단체: "중국은 정부의 데이터 접근을 제한하지 않아, 유럽 시민의 개인정보가 본질적으로 위험에 노출"
• 각국 개인정보보호 당국의 공식 조사 착수

3.3. 대만 정보기관의 경고

• 대만 정보기관이 중국산 앱들에 대한 정보보안 경고 발령
• 샤오홍수(小红书) 등과 함께 샤오미 관련 앱들의 데이터 수집 위험성 지적
• 국가 보안 차원에서 중국 IT 기업 제품 사용 제한 권고

4. 한국의 대응 부족과 제도적 공백

4.1. 정부 차원의 공식 대응 부재

• 인도, EU 등 주요국이 공식 경고 및 조사에 나선 가운데 한국 정부는 뚜렷한 대응 없음
• 방송통신위원회, 개인정보보호위원회 등 관련 기관의 공식 입장 발표 없음
• 소비자 보호 차원의 주의 권고나 가이드라인 제공 부족

4.2. 정보보호 공시제도의 사각지대

• 샤오미는 방송통신위원회 정보보호 공시제도 대상에서 제외
• 보안 시스템 수준, 침해 대응 체계 등 핵심 정보보호 조치 현황 공개 의무 없음
• 국내 통신사·플랫폼 기업은 매년 의무적 공시 참여로 개인정보 보호 수준 점검
• 해외 IT 기업의 국내 진출 확대에 따른 소비자 보호 사각지대 확대 우려

4.3. 법제도적 한계

• 국외로 이전된 정보에 대해서는 국내법의 효력이 미치기 어려운 구조적 한계
• 포괄적 동의 조항만으로는 실질적인 개인정보 보호 장치 작동 불가
• 글로벌 기업의 국내 정보보호 의무 강화 방안 부족

5. 샤오미의 한국 시장 공략과 보안 리스크

5.1. 오프라인 시장 진출 가속화

• 2025년 6월, 서울 여의도 IFC몰에 국내 첫 공식 오프라인 매장 오픈
• 스마트폰, TV, 공기청정기, 로봇청소기 등 전 제품군 체험·구매·A/S 통합 서비스
• 전국적으로 '샤오미스토어' 확장 계획, 브랜드 프리미엄화 전략
• 온라인 중심에서 오프라인 접점 확대로 소비자 신뢰도 제고 시도

5.2. 스마트홈·IoT 생태계 확장의 위험성

• AI 기반 스마트홈 기기들이 실시간으로 글로벌 서버와 데이터 교환
• 개인정보 무단 수집, 국외 전송 가능성 지속적 제기
• 홈 네트워크 전체가 보안 위험에 노출될 수 있는 구조
• Mi Connect 취약점으로 인한 스마트홈 전체 통제권 탈취 가능성

6. 기술적 분석: 샤오미 보안 취약점의 구조적 문제

6.1. Mi Connect 앱의 기술적 결함

• WiFi 네트워크 내 기기 간 통신에서 인증 프로토콜 누락
• 중간자 공격(Man-in-the-Middle Attack)에 취약한 구조
• 기기 간 암호화되지 않은 통신으로 인한 데이터 탈취 위험
• 원격 코드 실행(RCE) 취약점으로 인한 완전한 기기 장악 가능

6.2. 비표준 암호화의 문제점

• 업계 표준 암호화 프로토콜(AES, RSA 등) 대신 자체 개발 암호화 사용
• 검증되지 않은 암호화 알고리즘으로 인한 취약점 존재 가능성
• 보안 전문가들의 검증 부족으로 숨겨진 백도어 우려
• 국제 보안 표준 미준수로 인한 상호 운용성 문제

6.3. 데이터 수집 및 전송 구조

• 사용자 동의 없이 광범위한 시스템 정보 수집
• 위치 정보, 연락처, 앱 사용 패턴 등 민감 정보 자동 전송
• 클라우드 서버와의 지속적 통신으로 실시간 모니터링 가능
• 데이터 최소화 원칙 위반 및 목적 외 사용 우려

7. 글로벌 사이버 보안 관점에서의 평가

7.1. 공급망 보안(Supply Chain Security) 위험

• 샤오미 제품이 전 세계 수억 대 규모로 확산되어 글로벌 공급망 보안 위험 증대
• 하드웨어 및 소프트웨어 차원의 잠재적 백도어 우려
• 국가 차원의 사이버 공격 인프라로 악용 가능성

7.2. 데이터 주권(Data Sovereignty) 이슈

• 각국 국민의 개인정보가 중국 서버로 집중되는 구조적 문제
• 국가 기밀이나 중요 정보의 의도치 않은 유출 위험
• 데이터 지역화(Data Localization) 법규 우회 시도

7.3. 국제 표준 미준수 문제

• ISO 27001, SOC 2 등 국제 보안 표준 인증 부족
• GDPR, CCPA 등 개인정보보호 법규 준수 미흡
• 투명성 보고서(Transparency Report) 미발행으로 정보 공개 부족

8. 대응 방안 및 보안 강화 전략

8.1. 정부 차원의 대응 방안

• 해외 IT 기업에 대한 정보보호 공시제도 확대 적용
• 국외 데이터 이전에 대한 사전 승인 및 모니터링 체계 구축
• 중요 인프라에서의 중국산 IT 제품 사용 제한 검토
• 소비자 대상 보안 가이드라인 및 주의 권고 발령

8.2. 기업 및 조직의 보안 대책

• 샤오미 제품 사용 시 네트워크 분리 및 접근 통제 강화
• 중요 정보가 포함된 환경에서의 샤오미 기기 사용 제한
• 정기적인 보안 업데이트 및 취약점 점검
• 대안 제품 검토 및 다변화 전략 수립

8.3. 개인 사용자의 보안 수칙

• Mi Connect 앱 최신 버전(3.1.921.10 이상)으로 즉시 업데이트
• 불필요한 권한 요청 거부 및 개인정보 수집 최소화 설정
• 공용 WiFi에서 샤오미 기기 사용 자제
• 중요 개인정보나 업무 관련 데이터 저장 금지
• 정기적인 기기 보안 설정 점검 및 의심스러운 활동 모니터링

9. 결론 및 향후 전망

샤오미의 광범위한 보안 취약점은 단순한 기업의 기술적 문제를 넘어 글로벌 사이버 보안과 데이터 주권의 핵심 이슈로 부상했다. 특히 중국 내 연구팀마저 우려를 표명할 정도로 심각한 상황임에도 불구하고, 한국 정부의 대응은 여전히 미흡한 실정이다.

인도, EU 등 주요국이 강력한 대응 조치를 취하는 가운데, 한국도 소비자 보호와 국가 사이버 보안 강화를 위한 종합적 대책 마련이 시급하다. 특히 해외 IT 기업에 대한 정보보호 의무 강화, 데이터 지역화 정책 수립, 중요 인프라 보호 방안 등 제도적 보완이 필요하다.

개인 사용자와 기업들도 샤오미 제품 사용 시 보안 위험을 충분히 인식하고, 적절한 보안 조치를 취해야 한다. 편의성과 가격 경쟁력만을 고려하기보다는 보안성과 개인정보 보호를 우선순위에 두는 신중한 선택이 필요한 시점이다.

향후 글로벌 IT 기업들의 보안 표준 준수와 투명성 제고, 그리고 각국 정부의 효과적인 규제 체계 구축이 디지털 시대의 안전한 생태계 조성의 핵심 요소가 될 것이다.