WhisperPair es un conjunto de ataques que permite a un atacante secuestrar muchos accesorios de audio Bluetooth populares que utilizan Google Fast Pair y, en algunos casos, incluso rastrear su ubicación a través de la red Find Hub de Google, todo ello sin necesidad de ninguna interacción por parte del usuario.
Investigadores de la Universidad belga de Lovaina revelaron una serie de vulnerabilidades que encontraron en accesorios de audio que utilizan el protocolo Fast Pair de Google. Los accesorios afectados son comercializados por diez empresas diferentes: Sony, Jabra, JBL, Marshall, Xiaomi, Nothing, OnePlus, Soundcore, Logitech y la propia Google.
Google Fast Pair es una función que permite emparejar rápidamente y sin problemas auriculares Bluetooth, cascos y accesorios similares con Android , y los sincroniza a través de la cuenta de Google del usuario.
El servicio Google Fast Pair (GFPS) utiliza Bluetooth Low Energy (BLE) para detectar dispositivos Bluetooth cercanos. Muchas marcas de audio de renombre utilizan Fast Pair en sus productos estrella, por lo que la superficie de ataque potencial abarca cientos de millones de dispositivos.
La vulnerabilidad radica en el hecho de que Fast Pair omite comprobar si un dispositivo se encuentra en modo de emparejamiento. Como resultado, un dispositivo controlado por un atacante, como un ordenador portátil, puede activar Fast Pair incluso cuando los auriculares se encuentran en los oídos o en el bolsillo del usuario, y luego completar rápidamente un emparejamiento Bluetooth normal y tomar el control total.
Lo que permite ese control depende de las capacidades del dispositivo secuestrado. Esto puede ir desde reproducir ruidos molestos hasta grabar audio a través de micrófonos integrados.
La situación empeora si el atacante es el primero en emparejar el accesorio con un Android . En ese caso, la clave de cuenta de propietario del atacante designa su cuenta de Google como la del propietario legítimo del accesorio. Si el accesorio Fast Pair también es compatible con la red Find Hub de Google, que mucha gente utiliza para localizar objetos perdidos, el atacante podría rastrear la ubicación del accesorio.
Google clasificó esta vulnerabilidad, registrada con el número CVE-2025-36911, como crítica. Sin embargo, la única solución real es una actualización del firmware o del software por parte del fabricante del accesorio, por lo que los usuarios deben consultar con su marca específica e instalar las actualizaciones de los accesorios, ya que la actualización del teléfono por sí sola no soluciona el problema.
Cómo mantenerse seguro
Para saber si tu dispositivo es vulnerable, los investigadores han publicado una lista y recomiendan mantener todos los accesorios actualizados. El equipo de investigación probó 25 dispositivos comerciales de 16 fabricantes que utilizaban 17 chipsets Bluetooth diferentes. Consiguieron hacerse con el control de la conexión y espiar el micrófono en el 68 % de los dispositivos probados.
Estos son los dispositivos que los investigadores consideraron vulnerables, pero es posible que haya otros afectados también:
- Anker Soundcore Liberty 4 NC
- Google Pixel Buds Pro 2
- JBL TUNE BEAM
- Jabra Elite Active
- Marshall MOTIF II A.N.C.
- Nothing Ear (a)
- OnePlus Nord Buds 3 Pro
- Sony WF-1000XM5
- Sony WH-1000XM4
- Sony WH-1000XM5
- Sony WH-1000XM6
- Sony WH-CH720N
- Xiaomi Redmi Buds 5 Pro
No nos limitamos a informar sobre la seguridad de los teléfonos: la proporcionamos
Los riesgos de ciberseguridad nunca deben propagarse más allá de un titular. Mantenga las amenazas alejadas de sus dispositivos móviles descargando Malwarebytes para iOS y Malwarebytes para Android hoy mismo.
