ZDNET을 팔로우하세요: 우리를 선호 소스로 추가하세요 Google에서.
연구원들은 헤드폰, 이어버드 및 기타 오디오 제품을 Bluetooth 장치와 페어링하는 데 일반적으로 사용되는 프로토콜에 영향을 미치는 취약점 제품군인 WhisperPair를 공개했습니다.
또한: 불쾌한 부트킷 악성 코드를 방지하려면 Windows PC에 이 패치가 필요합니다. 지금 업데이트하세요.
Wired가 처음 보고한 바와 같이, WhisperPair는 정부의 사이버 보안 연구 프로그램의 지원을 받는 벨기에 KU Leuven University의 연구원 팀에 의해 발견되었습니다.
이번 조사 결과는 블루투스 액세서리 전반에 걸쳐 원터치 페어링과 계정 동기화를 가능하게 하는 Google의 빠른 페어링 프로토콜의 부적절한 구현과 관련이 있습니다. 연구원들은 프로토콜이 올바르게 구현되지 않으면 "공격자가 기기를 하이재킹하고 Google의 Find Hub 네트워크를 사용하여 피해자를 추적할 수 있게 하는" 보안 결함이 발생한다고 밝혔습니다.
또한 이 원클릭 Copilot 공격이 보안 제어를 우회한 방법과 Microsoft가 이에 대해 수행한 조치
취약점 연구는 2025년 8월에 Google에 비공개로 보고되었으며 CVE-2025-36911에 따라 중요 등급이 부여되었습니다. 150일 공개 기간이 합의되었고 $15,000의 버그 현상금이 수여되었습니다.
WhisperPair는 많은 오디오 액세서리가 빠른 쌍 페어링 중에 "중요한 단계"를 건너뛰기 때문에 발생합니다. 작동 방식은 다음과 같습니다. Bluetooth 지원 모바일 장치와 같은 "시커"는 오디오 액세서리인 "공급자"에게 메시지를 보냅니다. 메시지에는 페어링 요청이 포함되어 있습니다.
빠른 페어링 프로토콜은 액세서리가 페어링 모드에 있지 않을 때 이러한 메시지를 무시해야 한다고 지정하지만 이 확인이 항상 수행되는 것은 아니므로 승인되지 않은 장치가 허가 없이 페어링을 시작할 수 있습니다.
또한: 2026년 최고의 이어버드: 전문가 테스트 및 검토
연구원들은 “공격자는 취약한 장치로부터 응답을 받은 후 일반 블루투스 페어링을 설정하여 빠른 페어링 절차를 완료할 수 있습니다.”라고 말합니다.
공격자가 시커를 취약한 헤드폰이나 이어버드와 은밀하게 연결할 수 있다면 볼륨과 같은 컨트롤을 조작하는 것을 포함하여 시커를 완벽하게 제어할 수 있습니다. 더 중요한 것은 내장 마이크를 사용하여 대화를 조용히 녹음할 수 있다는 것입니다.
WhisperPair 공격은 최대 14미터 범위에서 테스트되었으며 무선으로 수행될 수 있습니다.
또한: CES 2026에서 선보인 8가지 오디오 제품은 너무 인상적이어서 두 번이나 들어야 했습니다.
불행하게도 여기서 끝나지 않습니다. 장치가 Google의 Find Hub 네트워크를 지원하지만 등록되지 않은 경우 공격자는 이론적으로 대상 장치를 자신의 계정에 등록하고 액세서리와 해당 사용자를 추적할 수 있습니다. 예상치 못한 추적 알림이 표시되는 동안 사용자 소유의 장치만 표시되므로 이 경고는 무시될 수 있습니다.
Google, Sony, Harman(JBL) 및 Anker를 포함한 회사의 헤드폰 및 오디오 액세서리는 이 글을 쓰는 시점에 취약한 것으로 나열되어 있습니다.
WhisperPair는 Bluetooth 액세서리의 빠른 페어링 구현에 있는 결함을 이용하기 때문에 Android 장치만 위험에 처한 것은 아닙니다. 취약한 액세서리를 사용하는 iPhone 사용자도 영향을 받습니다.
연구팀은 테스트를 거친 인기 헤드폰, 이어버드 및 기타 오디오 액세서리의 카탈로그를 게시했습니다. 귀하의 제품이 목록에 있는지 확인하는 데 사용할 수 있는 유용한 검색 기능이 있습니다. 공급업체 이름을 검색하거나 입력하여 관심 있는 제품의 상태를 확인하면 디렉토리에 해당 제품이 WhisperPair 공격에 취약한지 여부가 표시됩니다.
액세서리가 여전히 이 공격에 취약한 것으로 표시되면 먼저 사용 가능한 공급업체 패치가 있는지 확인하세요. 장치가 "취약하지 않음"으로 설명되어 있더라도 잠시 시간을 내어 장치가 최신 상태인지, 새로운 소프트웨어 업데이트가 적용되었는지 확인해야 합니다.
연구원들은 "WhisperPair 공격을 방지하는 유일한 방법은 제조업체에서 발행한 소프트웨어 패치를 설치하는 것"이라고 지적했습니다. 함께 제공되는 공급업체 앱이나 웹사이트를 확인하여 사용 가능한 것이 있는지 확인할 수 있지만, 그렇지 않은 경우 안타깝게도 대기 중인 게임일 뿐입니다. 액세서리가 Find Hub를 지원하지만 Android 기기와 페어링되지 않은 경우 팀은 공격자가 "위치를 추적"할 수 있으므로 수정 사항이 제공되는 즉시 업데이트해야 한다고 말합니다.
추가: 내가 이 4개의 헤드폰을 항상 가지고 다니는 이유
스마트폰에서 빠른 페어링을 비활성화할 수 있더라도 손상 위험이 완화되지는 않습니다.
연구원들은 "우리가 아는 한, 호환 가능한 액세서리에는 비활성화 옵션 없이 기본적으로 빠른 페어링이 활성화되어 있습니다"라고 덧붙였습니다. "WhisperPair 공격을 방지하는 유일한 방법은 액세서리의 펌웨어 업데이트를 수행하는 것입니다."